Näin luet VPN-socketin luottamatta verkkotunnukseen
Prosessin vieressä oleva isäntänimi on arvaus osoitteesta. Lue numeeriset päätepisteet, yhteyden tila ja sen omistava PID ennen kuin syytät VPN-asiakasta.
Päätepisten katseluohjelmasi listaa VPN-prosessin mainosyrityksen verkkotunnuksen vieressä, ja tuo pari aloittaa tarinan, jota tiedot eivät pysty tukemaan. Nimi on numeerisen päätepisteen päälle maalattu käänteishaku, ja se muuttuu aina, kun haku muuttuu. Sarakkeet, jotka kestävät tarkastelun, ovat osoitteet, yhteyden tila ja socketin omistava PID.
Mikään socket-taulukossa ei kuvaa, mitä yhteyden sisällä kulki. Kaikki isäntänimen kantava on jo tulkittu puolestasi.
Ratkaistu nimi on käännös, ei kenttä
Katseluohjelma pyytää ratkaisijaa muuttamaan osoitteen nimeksi samalla tavalla kuin PTR-kysely toimii DNS:ssä. Vastaus voi tulla paikallisesta välimuistista, hosts-tiedoston merkinnästä, naapureiden löytämisen ilmoituksesta tai palveluntarjoajalta, joka antoi osoitteen jollekin toiselle viime viikolla, eikä työkalulla ole keinoa erottaa näitä lähteitä. Kaksi yhtä yhteyttä tarkkailevaa konetta voivat tulostaa eri nimet samalle vertaisosoitteelle, mitä on vaikea selittää, jos uskot nimen tulleen johdosta. Kohtele tunnistetta ihmisen silmille tarkoitettuna mukavuutena, älä väitteenä siitä, kuka tavut vastaanotti.
TCPView-dokumentaatio kuvaa päätepisteen, tilan ja prosessin sarakkeet ja dokumentoi ratkaistujen nimien poiskytkemisen, mikä kannattaa tehdä ennen kuin luet verkkotunnukseen mitään merkitystä. Ratkaisun poiskytkeminen tekee epävarmuudesta näkyvää sen sijaan että loisi sitä: sinulla on yhä osoite, ja työ päättää sen merkityksestä on yksinkertaisesti siirtynyt takaisin sinulle.
Lue numeeriset sarakkeet järjestyksessä
Työskentele vasemmalta oikealle ja pysähdy ensimmäiseen sarakkeeseen, joka vastaa kysymykseesi. Paikallinen päätepiste näyttää, mihin prosessi sitoutui, etäinen päätepiste näyttää, onko vertaista lainkaan, tila näyttää, onko liitos elossa, ja PID yhdistää rivin suoritettavaan tiedostoon.
Kolme alla olevaa havaintoa ovat havainnollistavia muotoja, eivät tällä koneella tallennettua tulostetta. Ne on ryhmitelty sen mukaan, mitä kukin voi tukea, koska juuri sitä kysymystä ihmiset todella esittävät socket-riville:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
Avoin kuuntelija, johon muut koneet eivät pääse, sidottu takaisinkytkentäosoitteeseen, on tapa, jolla monet VPN-asiakkaat paljastavat oman ohjauskanavansa. Jokerimerkkisidonta tarkoittaa, että prosessi hyväksyi yhteyksiä kaikilla liittymillä, ja onko se vaarallista, riippuu isännän palomuurista eikä rivistä itsestään. Vain olemassa oleva ja laskureita kantava liitos muistuttaa syytöstä, jonka ihmiset yleensä haluavat esittää, ja jopa se rivi pysähtyy ennen hyötykuormaa.
Varmista omistus ennen kuin nimeät syyllisen
Prosessin identiteetti on se kohta, jossa useimmat syytökset todella epäonnistuvat. PID:t käytetään uudelleen, päivittäjät ja selaimen apurit synnyttävät lyhytikäisiä lapsia, ja VPN-asiakas voi luovuttaa liikenteensä etuoikeutetulle järjestelmäpalvelulle. Vertaa suoritettavan tiedoston polkua ja yläprosessia näyttönimen sijaan, koska näyttönimen valitsee se, joka binäärin rakensi.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, PathSama luenta on olemassa Linuxissa, jossa socket-tilastot voivat kantaa prosessitietoa, kun sinulla on tarpeeksi oikeuksia nähdä muiden käyttäjien socketit. Pyyntö porttiin 443 sidotuista tai siitä lähtevistä muodostetuista socketeista kaventaa tulosteen riveihin, joilla on merkitystä:
ss -tunp state established '( sport = :443 or dport = :443 )'Tallenna aikaleima rivin kanssa. PID yksinään on liikkuva viite, koska kun avaat prosessinhallinnan, socket voi kuulua seuraajalle eikä tutkimasi polku välttämättä ole se, joka piti yhteyttä. Kirjaa päätepistepari, tila ja PID yhtenä havaintona, niin löydös kestää uudelleenkäynnistyksen tai toisen mielipiteen.
Mitä nimi vielä on arvoinen
Isäntänimi ei ole arvoton todiste. Se tallentaa, että joku yhdisti tuon osoitteen tuohon nimeen jossain vaiheessa. Se yhdistäminen ansaitsee huomiota, kun osoite kuuluu palveluntarjoajalle, joka palvelee tuhansia toisiinsa liittymättömiä asiakkaita. Se on heikompi väite kuin kohde, ja se on ainoa väite, jota tunniste voi tukea.
Kun nimi näyttää väärältä, vertaa osoitetta palveluntarjoajan julkaistuihin alueisiin ja kysy sitten, mitä prosessi teki sillä hetkellä: päivitystarkistus, lisenssikutsu, telemetrialähetys tai tunnelin kättely. Ne toiminnot jättävät erilaisia yhteyden muotoja, ja muodon sovittaminen hetkeen kertoo enemmän kuin nimen sovittaminen yritykseen, johon et luota.
Säilytä rivi ennen kuin lopetat jaetun apurin tai poistat jotain. Puolustettava johtopäätös kattaa yhden havaitun päätepisteen, sen tilan ja omistajan; ratkaistulle tunnisteelle rakennettu koko brändin tuomio ei ole todiste, eikä sitä ole sekään rauhoittelu, että tutun latausisännän täytyy olla vaaraton.