איך לקרוא סוקט VPN בלי לסמוך על שם תחום
שם מארח לצד תהליך הוא ניחוש לגבי כתובת. קראו את נקודות הקצה המספריות, את מצב החיבור ואת ה-PID שמחזיק בו לפני שאתם מאשימים לקוח VPN.
מציג נקודות הקצה שלכם מפרט תהליך VPN לצד התחום של חברת פרסום, והצירוף הזה מתחיל סיפור שהנתונים אינם יכולים לתמוך בו. השם הוא חיפוש הפוך שמצויר מעל נקודת קצה מספרית, והוא משתנה בכל פעם שהחיפוש משתנה. העמודות ששורדות בדיקה הן הכתובות, מצב החיבור וה-PID שמחזיק בסוקט.
שום דבר בטבלת סוקטים אינו מתאר מה עבר בתוך חיבור. כל מה שנושא שם מארח כבר פורש עבורכם.
שם שנפתר הוא תרגום, לא שדה
המציג מבקש מהפותר להפוך כתובת לשם, כפי ששאילתת PTR פועלת ב-DNS. התשובה יכולה להגיע ממטמון מקומי, מרשומה בקובץ hosts, מהכרזת גילוי שכנים או מספק שמסר את הכתובת למישהו אחר בשבוע שעבר, ולכלי אין דרך להבחין בין המקורות האלה. שתי מכונות שצופות בחיבור אחד יכולות להדפיס שמות שונים לאותה כתובת עמית, וזה קשה להסביר אם אתם מאמינים שהשם הגיע מהחוט. התייחסו לתווית כנוחות לעיני אדם ולא כהצהרה על מי קיבל את הבתים.
תיעוד TCPView מתאר את עמודות נקודת הקצה, המצב והתהליך ומתעד את כיבוי השמות שנפתרו, וכדאי לעשות זאת לפני שאתם קוראים משמעות כלשהי לתוך תחום. כיבוי הפתרון הופך את אי-הוודאות לגלויה במקום ליצור אותה: עדיין יש לכם כתובת, והעבודה להחליט מה היא אומרת פשוט חזרה אליכם.
קראו את העמודות המספריות לפי הסדר
עבדו משמאל לימין ועצרו בעמודה הראשונה שעונה על שאלתכם. נקודת הקצה המקומית מראה למה התהליך נקשר, נקודת הקצה המרוחקת מראה אם קיים עמית בכלל, המצב מראה אם השיוך חי, וה-PID מקשר את השורה לקובץ הרצה.
שלוש התצפיות שלמטה הן צורות המחשה ולא פלט שנלכד ממכונה כלשהי כאן. הן מקובצות לפי מה שכל אחת יכולה לתמוך בו, כי זו השאלה שאנשים באמת שואלים שורת סוקט:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
מאזין פתוח שמכונות אחרות אינן יכולות להגיע אליו, קשור לכתובת הלולאה, הוא הדרך שבה לקוחות VPN רבים חושפים את ערוץ השליטה שלהם. כריכה עם תו כללי פירושה שהתהליך קיבל חיבורים בכל ממשק, והאם זה מסוכן תלוי בחומת האש של המארח ולא בשורה עצמה. רק שיוך שקיים ונושא מונים דומה להאשמה שאנשים בדרך כלל רוצים להעלות, וגם השורה הזו נעצרת לפני המטען.
אמתו בעלות לפני שאתם נוקבים באשם
זהות התהליך היא המקום שבו רוב ההאשמות נכשלות בפועל. מזהי PID נעשים בהם שימוש חוזר, מעדכנים ועוזרי דפדפן מולידים צאצאים קצרי חיים, ולקוח VPN עשוי למסור את התעבורה שלו לשירות מערכת בעל הרשאות. השוו את נתיב קובץ ההרצה ואת תהליך האב במקום את שם התצוגה, כי את שם התצוגה בוחר מי שבנה את הבינארי.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, Pathאותה קריאה קיימת ב-Linux, שם סטטיסטיקת סוקטים יכולה לשאת מידע על התהליך כאשר יש לכם הרשאות מספיקות לראות סוקטים של משתמשים אחרים. בקשה של סוקטים מבוססים הקשורים לפורט 443 או ממנו מצמצמת את הפלט לשורות החשובות:
ss -tunp state established '( sport = :443 or dport = :443 )'לכדו את חותמת הזמן יחד עם השורה. PID לבדו הוא הפניה נעה, כי עד שתפתחו מנהל תהליכים הסוקט עשוי להשתייך ליורש והנתיב שאתם בודקים עשוי שלא להיות זה שהחזיק בחיבור. רשמו את זוג נקודות הקצה, המצב וה-PID כתצפית אחת, והממצא ישרוד אתחול מחדש או חוות דעת שנייה.
מה עדיין שווה שם
שם מארח אינו ראיה חסרת ערך. הוא רושם שמישהו קישר את הכתובת הזו לשם הזה בשלב כלשהו. הקישור הזה ראוי לתשומת לב כאשר הכתובת שייכת לספק שמשרת אלפי לקוחות לא קשורים. זו טענה חלשה יותר מיעד, והיא הטענה היחידה שהתווית יכולה לתמוך בה.
כאשר שם נראה שגוי, השוו את הכתובת לטווחים המפורסמים של הספק ואז שאלו מה עשה התהליך באותו רגע: בדיקת עדכון, קריאת רישיון, שליחת טלמטריה או לחיצת יד של מנהרה. הפעילויות האלה מותירות צורות חיבור שונות, והתאמת הצורה לרגע מאירת עיניים יותר מהתאמת השם לחברה שאתם חשדנים כלפיה.
שמרו את השורה לפני שאתם מסיימים עוזר משותף או מסירים משהו. מסקנה ניתנת להגנה מכסה נקודת קצה אחת שנצפתה, את מצבה ואת בעליה; פסק דין ברמת מותג שנבנה על תווית שנפתרה אינו ראיה, וגם לא ההרגעה שמארח הורדה מוכר חייב להיות בלתי מזיק.