Cara membaca soket VPN tanpa mempercayai nama domain
Nama hos di sebelah proses ialah tekaan tentang alamat. Baca titik akhir berangka, keadaan sambungan dan PID pemiliknya sebelum menyalahkan klien VPN.
Pelihat titik akhir anda menyenaraikan proses VPN di sebelah domain syarikat pengiklanan, dan pasangan itu memulakan cerita yang data tidak dapat sokong. Nama itu ialah carian songsang yang dilukis di atas titik akhir berangka, dan ia berubah setiap kali carian berubah. Lajur yang bertahan dalam penelitian ialah alamat, keadaan sambungan dan PID yang memiliki soket itu.
Tiada apa-apa dalam jadual soket menerangkan apa yang bergerak di dalam sesuatu sambungan. Apa-apa yang membawa nama hos sudah ditafsirkan untuk anda.
Nama yang diselesaikan ialah terjemahan, bukan medan
Pelihat meminta penyelesai menukar alamat menjadi nama, sama seperti pertanyaan PTR berfungsi dalam DNS. Jawapannya boleh datang dari cache tempatan, entri fail hosts, pengumuman penemuan jiran atau pembekal yang menyerahkan alamat itu kepada orang lain minggu lalu, dan alat itu tiada cara membezakan sumber-sumber tersebut. Dua mesin yang memerhati satu sambungan boleh mencetak nama berbeza untuk alamat rakan yang sama, yang sukar dijelaskan jika anda percaya nama itu datang dari wayar. Anggap label sebagai kemudahan untuk mata manusia dan bukan sebagai kenyataan tentang siapa yang menerima bait.
Dokumentasi TCPView menerangkan lajur titik akhir, keadaan dan proses serta mendokumentasikan cara mematikan nama yang diselesaikan, yang wajar dilakukan sebelum anda membaca sebarang makna ke dalam domain. Mematikan penyelesaian menjadikan ketidakpastian kelihatan dan bukan menciptanya: anda masih memegang alamat, dan kerja memutuskan apa maksudnya baru sahaja kembali kepada anda.
Baca lajur berangka mengikut urutan
Bekerja dari kiri ke kanan dan berhenti pada lajur pertama yang menjawab soalan anda. Titik akhir tempatan menunjukkan apa yang proses ikat, titik akhir jauh menunjukkan sama ada rakan wujud, keadaan menunjukkan sama ada persatuan itu hidup, dan PID menghubungkan baris dengan fail boleh laku.
Tiga pemerhatian di bawah ialah bentuk ilustratif dan bukan output yang ditangkap daripada mana-mana mesin di sini. Ia dikumpulkan mengikut apa yang setiap satu dapat sokong, kerana itulah soalan yang orang sebenarnya tanyakan kepada baris soket:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
Pendengar terbuka yang tidak dapat dicapai oleh mesin lain, terikat pada alamat gelung balik, ialah cara banyak klien VPN mendedahkan saluran kawalan mereka sendiri. Ikatan kad bebas bermaksud proses menerima sambungan pada setiap antara muka, dan sama ada itu berbahaya bergantung pada tembok api hos dan bukan pada baris itu sendiri. Hanya persatuan yang wujud dan membawa pembilang menyerupai tuduhan yang biasanya ingin dibuat orang, dan baris itu pun berhenti sebelum muatan.
Sahkan pemilikan sebelum menamakan pesalah
Identiti proses ialah tempat kebanyakan tuduhan sebenarnya gagal. PID digunakan semula, pengemas kini dan pembantu pelayar melahirkan anak yang berumur pendek, dan klien VPN boleh menyerahkan trafiknya kepada perkhidmatan sistem yang istimewa. Bandingkan laluan fail boleh laku dan proses induk dan bukan nama paparan, kerana nama paparan dipilih oleh sesiapa yang membina binari itu.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, PathBacaan yang sama wujud di Linux, di mana statistik soket boleh membawa maklumat proses apabila anda mempunyai keistimewaan yang cukup untuk melihat soket pengguna lain. Meminta soket mantap yang terikat pada atau dari port 443 menyempitkan output kepada baris yang penting:
ss -tunp state established '( sport = :443 or dport = :443 )'Tangkap cap masa bersama baris itu. PID semata-mata ialah rujukan yang bergerak, kerana apabila anda membuka pengurus proses soket itu mungkin sudah milik pengganti dan laluan yang anda periksa mungkin bukan yang memegang sambungan itu. Catat pasangan titik akhir, keadaan dan PID sebagai satu pemerhatian, maka penemuan itu bertahan selepas mula semula atau pendapat kedua.
Apa lagi nilai sesuatu nama
Nama hos bukan bukti tanpa nilai. Ia merekodkan bahawa seseorang pernah mengaitkan alamat itu dengan nama itu pada satu ketika. Kaitan itu wajar diberi perhatian apabila alamat itu milik pembekal yang melayani ribuan pelanggan tidak berkaitan. Ia dakwaan yang lebih lemah daripada destinasi, dan itulah satu-satunya dakwaan yang label itu dapat sokong.
Apabila nama kelihatan salah, bandingkan alamat dengan julat yang diterbitkan pembekal dan kemudian tanyakan apa yang proses itu lakukan pada saat itu: pemeriksaan kemas kini, panggilan lesen, penghantaran telemetri atau jabat tangan terowong. Aktiviti itu meninggalkan bentuk sambungan yang berbeza, dan memadankan bentuk dengan saatnya lebih bermaklumat daripada memadankan nama dengan syarikat yang anda syaki.
Pelihara baris itu sebelum anda menamatkan pembantu kongsi atau menyahpasang apa-apa. Kesimpulan yang boleh dipertahankan merangkumi satu titik akhir yang diperhatikan, keadaannya dan pemiliknya; keputusan seluruh jenama yang dibina atas label yang diselesaikan bukan bukti, dan keyakinan bahawa hos muat turun yang dikenali pasti tidak berbahaya juga bukan bukti.