Hogyan olvassunk VPN-socketet anélkül, hogy megbíznánk egy domainnévben
Egy folyamat mellett álló hosztnév találgatás egy címről. Olvassa el a numerikus végpontokat, a kapcsolat állapotát és a birtokló PID-et, mielőtt egy VPN-klienst okolna.
A végpontmegjelenítője egy VPN-folyamatot listáz egy reklámcég domainje mellett, és ez a párosítás olyan történetet indít, amelyet az adatok nem tudnak alátámasztani. A név egy numerikus végpontra festett fordított keresés, és megváltozik, valahányszor a keresés megváltozik. A vizsgálatot kiálló oszlopok a címek, a kapcsolat állapota és a socketet birtokló PID.
Semmi sem írja le egy socket-táblázatban, mi utazott egy kapcsolat belsejében. Minden, ami hosztnevet hordoz, már értelmezve lett Ön helyett.
A feloldott név fordítás, nem mező
A megjelenítő megkéri a feloldót, hogy alakítson egy címet névvé, ahogyan a PTR-lekérdezés működik a DNS-ben. A válasz érkezhet helyi gyorsítótárból, a hosts-fájl egy bejegyzéséből, szomszédos felfedezési bejelentésből vagy olyan szolgáltatótól, amely múlt héten valaki másnak adta a címet, és az eszköznek nincs módja ezeket a forrásokat megkülönböztetni. Két gép, amely ugyanazt a kapcsolatot figyeli, különböző neveket nyomtathat ugyanarra a partnercímre, amit nehéz megmagyarázni, ha hisz abban, hogy a név a vezetékről jött. Kezelje a címkét emberi szemnek szóló kényelemként, nem pedig állításként arról, ki kapta a bájtokat.
A TCPView dokumentációja leírja a végpont-, állapot- és folyamatoszlopokat, és dokumentálja a feloldott nevek kikapcsolását, amit érdemes megtenni, mielőtt bármit is beolvasna egy domainbe. A feloldás kikapcsolása láthatóvá teszi a bizonytalanságot ahelyett, hogy létrehozná: továbbra is van egy címe, és a döntés munkája, hogy mit jelent, egyszerűen visszakerült Önhöz.
Olvassa a numerikus oszlopokat sorrendben
Haladjon balról jobbra, és álljon meg az első oszlopnál, amely megválaszolja a kérdését. A helyi végpont megmutatja, mihez kötődött a folyamat, a távoli végpont megmutatja, létezik-e egyáltalán partner, az állapot megmutatja, él-e a társítás, és a PID összeköti a sort egy futtatható fájllal.
Az alábbi három megfigyelés szemléltető formák, nem itt bármely gépen rögzített kimenet. Aszerint vannak csoportosítva, hogy mit tud alátámasztani mindegyik, mert valójában ezt a kérdést teszik fel az emberek egy socket-sornak:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
Egy nyitott figyelő, amelyet más gépek nem érnek el, a loopback-címhez kötve, így teszik közzé sok VPN-kliens a saját vezérlőcsatornájukat. A helyettesítő karakteres kötés azt jelenti, hogy a folyamat minden interfészen elfogadott kapcsolatokat, és hogy ez veszélyes-e, a gazdagép tűzfalától függ, nem magától a sortól. Csak egy létező és számlálókat hordozó társítás hasonlít arra a vádra, amelyet az emberek általában meg akarnak fogalmazni, és még az a sor is megáll a hasznos teher előtt.
Ellenőrizze a tulajdonjogot, mielőtt bűnöst nevezne meg
A folyamat identitása az a pont, ahol a legtöbb vád valójában megbukik. A PID-ek újrahasznosulnak, a frissítők és a böngésző-segédek rövid életű gyermekeket indítanak, és egy VPN-kliens átadhatja a forgalmát egy kiemelt rendszerszolgáltatásnak. Hasonlítsa össze a futtatható fájl útvonalát és a szülőfolyamatot a megjelenített név helyett, mert a megjelenített nevet az választja, aki a binárist építette.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, PathUgyanez az olvasat létezik Linuxon, ahol a socket-statisztika hordozhat folyamatinformációt, ha elég jogosultsága van más felhasználók socketjeinek látásához. A 443-as porthoz kötött vagy onnan induló létesített socketek kérése leszűkíti a kimenetet a számító sorokra:
ss -tunp state established '( sport = :443 or dport = :443 )'Rögzítse az időbélyeget a sorral együtt. Egy PID önmagában mozgó hivatkozás, mert mire megnyit egy folyamatkezelőt, a socket már egy utódé lehet, és a vizsgált útvonal nem biztos, hogy az, amely a kapcsolatot tartotta. Jegyezze fel a végpontpárt, az állapotot és a PID-et egyetlen megfigyelésként, és a megállapítás túléli az újraindítást vagy egy második véleményt.
Mit ér még egy név
A hosztnév nem értéktelen bizonyíték. Rögzíti, hogy valaki egy adott pillanatban összekapcsolta azt a címet azzal a névvel. Ez a kapcsolat figyelmet érdemel, ha a cím olyan szolgáltatóé, amely több ezer nem kapcsolódó ügyfelet szolgál ki. Gyengébb állítás egy célnál, és ez az egyetlen állítás, amelyet a címke alátámaszthat.
Ha egy név hibásnak tűnik, hasonlítsa össze a címet a szolgáltató közzétett tartományaival, majd kérdezze meg, mit tett a folyamat abban a pillanatban: frissítésellenőrzés, licenchívás, telemetria-küldés vagy alagút-kézfogás. Ezek a tevékenységek különböző kapcsolati formákat hagynak maguk után, és a forma összevetése a pillanattal többet mond, mint a név összevetése egy olyan céggel, amelyben nem bízik.
Őrizze meg a sort, mielőtt leállít egy megosztott segédet vagy eltávolít valamit. Egy védhető következtetés egy megfigyelt végpontot, annak állapotát és tulajdonosát fedi le; egy feloldott címkére épített márka szintű ítélet nem bizonyíték, és az a megnyugtatás sem, hogy egy ismerős letöltési hosztnak ártalmatlannak kell lennie.