Hoe je een VPN-socket leest zonder een domeinnaam te vertrouwen
Een hostnaam naast een proces is een gok over een adres. Lees de numerieke eindpunten, de verbindingsstatus en de PID die hem bezit voordat je een VPN-client de schuld geeft.
Je eindpuntviewer toont een VPN-proces naast het domein van een reclamebedrijf, en die combinatie begint een verhaal dat de gegevens niet kunnen ondersteunen. De naam is een reverse lookup die over een numeriek eindpunt is geschilderd, en hij verandert zodra de lookup verandert. De kolommen die een onderzoek doorstaan, zijn de adressen, de verbindingsstatus en de PID die de socket bezit.
Niets in een sockettabel beschrijft wat er binnen een verbinding is gepasseerd. Alles wat een hostnaam draagt, is al voor je geïnterpreteerd.
Een opgeloste naam is een vertaling, geen veld
De viewer vraagt de resolver een adres in een naam te veranderen, zoals een PTR-query in DNS werkt. Het antwoord kan komen uit een lokale cache, een regel in het hosts-bestand, een aankondiging van buurdetectie of van een provider die het adres vorige week aan iemand anders gaf, en de tool kan die bronnen niet onderscheiden. Twee machines die één verbinding observeren, kunnen verschillende namen afdrukken voor hetzelfde peeradres, wat moeilijk te verklaren is als je gelooft dat de naam van de lijn kwam. Behandel het label als gemak voor menselijke ogen en niet als een bewering over wie de bytes heeft ontvangen.
De TCPView-documentatie beschrijft de kolommen voor eindpunt, status en proces en documenteert het uitschakelen van opgeloste namen, wat de moeite waard is voordat je iets in een domein leest. Het uitschakelen van resolutie maakt de onzekerheid zichtbaar in plaats van hem te creëren: je hebt nog steeds een adres, en het werk om te bepalen wat het betekent is gewoon naar je teruggekeerd.
Lees de numerieke kolommen op volgorde
Werk van links naar rechts en stop bij de eerste kolom die je vraag beantwoordt. Het lokale eindpunt toont waaraan het proces zich bond, het externe eindpunt toont of er überhaupt een peer is, de status toont of de associatie leeft, en de PID verbindt de rij met een uitvoerbaar bestand.
De drie observaties hieronder zijn illustratieve vormen en geen uitvoer die op een machine hier is vastgelegd. Ze zijn gegroepeerd naar wat elk kan ondersteunen, want dat is de vraag die mensen werkelijk aan een socketrij stellen:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
Een open luisteraar die andere machines niet kunnen bereiken, gebonden aan het loopbackadres, is hoe veel VPN-clients hun eigen besturingskanaal blootleggen. Een wildcardbinding betekent dat het proces verbindingen op elke interface heeft aanvaard, en of dat gevaarlijk is, hangt af van de hostfirewall en niet van de rij zelf. Alleen een associatie die bestaat en tellers draagt, lijkt op de beschuldiging die mensen gewoonlijk willen uiten, en zelfs die rij stopt voor de payload.
Controleer eigenaarschap voordat je een schuldige noemt
Procesidentiteit is waar de meeste beschuldigingen in werkelijkheid mislukken. PID's worden hergebruikt, updaters en browserhulpen starten kortlevende kinderen, en een VPN-client kan zijn verkeer aan een bevoorrechte systeemdienst overdragen. Vergelijk het pad van het uitvoerbare bestand en het ouderproces in plaats van de weergavenaam, want de weergavenaam wordt gekozen door wie het binaire bestand heeft gebouwd.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, PathDezelfde lezing bestaat op Linux, waar socketstatistieken procesinformatie kunnen dragen wanneer je genoeg rechten hebt om de sockets van andere gebruikers te zien. Vragen naar gevestigde sockets die aan poort 443 zijn gebonden of ervan uitgaan, vernauwt de uitvoer tot de rijen die ertoe doen:
ss -tunp state established '( sport = :443 or dport = :443 )'Leg de tijdstempel samen met de rij vast. Een PID alleen is een bewegende verwijzing, want tegen de tijd dat je een procesbeheerder opent, kan de socket al aan een opvolger toebehoren en het pad dat je onderzoekt is misschien niet het pad dat de verbinding hield. Noteer het eindpuntpaar, de status en de PID als één observatie, en de bevinding overleeft een herstart of een tweede mening.
Wat een naam nog waard is
Een hostnaam is geen waardeloos bewijs. Hij legt vast dat iemand dat adres ooit aan die naam heeft gekoppeld. Die koppeling verdient aandacht wanneer het adres toebehoort aan een provider die duizenden ongerelateerde klanten bedient. Het is een zwakkere bewering dan een bestemming, en het is de enige bewering die het label kan ondersteunen.
Als een naam verkeerd lijkt, vergelijk het adres dan met de gepubliceerde bereiken van de provider en vraag vervolgens wat het proces op dat moment deed: een updatecontrole, een licentieaanroep, een telemetrie-POST of een tunnelhandshake. Die activiteiten laten verschillende verbindingsvormen achter, en de vorm aan het moment koppelen is informatiever dan de naam aan een bedrijf koppelen dat je wantrouwt.
Bewaar de rij voordat je een gedeelde helper beëindigt of iets verwijdert. Een verdedigbare conclusie dekt één waargenomen eindpunt, zijn status en zijn eigenaar; een merkbreed oordeel dat op een opgelost label is gebouwd, is geen bewijs, en de geruststelling dat een bekende downloadhost onschadelijk moet zijn, is dat ook niet.