Korleis lese ein VPN-socket utan å stole på eit domenenamn
Eit vertsnamn ved sida av ein prosess er eit gjetting om ei adresse. Les dei numeriske endepunkta, tilkoplingsstatusen og PID-en som eig han, før du klandrar ein VPN-klient.
Endepunktsvisaren din listar ein VPN-prosess ved sida av domenet til eit reklamefirma, og den koplinga startar ei historie som dataa ikkje kan støtte. Namnet er eit omvendt oppslag måla over eit numerisk endepunkt, og det endrar seg kvar gong oppslaget endrar seg. Kolonnane som toler gransking, er adressene, tilkoplingsstatusen og PID-en som eig socketen.
Ingenting i ein sockettabell skildrar kva som reiste inne i ei tilkopling. Alt som ber eit vertsnamn, er allereie tolka for deg.
Eit oppløyst namn er ei omsetjing, ikkje eit felt
Visaren ber resolvatoren gjere ei adresse om til eit namn, på same måte som ein PTR-førespurnad verkar i DNS. Svaret kan kome frå ein lokal hurtigbuffer, ei oppføring i hosts-fila, ei kunngjering om nabo-oppdaging eller ein leverandør som gav adressa til nokon andre førre veke, og verktøyet har ingen måte å skilje desse kjeldene. To maskinar som overvakar éi tilkopling, kan skrive ut ulike namn for same peer-adresse, noko som er vanskeleg å forklare om du trur namnet kom frå leidninga. Handsame etiketten som ei bekvemmelegheit for menneskeauga og ikkje som ei påstand om kven som tok imot byta.
Dokumentasjonen for TCPView skildrar kolonnane for endepunkt, status og prosess og dokumenterer korleis oppløyste namn blir slått av, noko som er verdt å gjere før du les noko inn i eit domene. Å slå av oppløysing gjer usikkerheita synleg i staden for å skape henne: du har framleis ei adresse, og arbeidet med å avgjere kva ho tyder har berre flytta tilbake til deg.
Les dei numeriske kolonnane i rekkjefølgje
Arbeid frå venstre mot høgre og stopp ved den første kolonnen som svarar på spørsmålet ditt. Det lokale endepunktet viser kva prosessen batt til, det fjerne endepunktet viser om det finst ein peer i det heile, statusen viser om assosiasjonen er levande, og PID-en knyter rada til ei køyrbar fil.
Dei tre observasjonane nedanfor er illustrerande former og ikkje utdata fanga frå nokon maskin her. Dei er grupperte etter kva kvar av dei kan støtte, fordi det er spørsmålet folk faktisk stiller til ei socket-rad:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
Ein open lyttar som andre maskinar ikkje kan nå, bunden til loopback-adressa, er korleis mange VPN-klientar legg fram sin eigen kontrollkanal. Ei jokerteiknbinding tyder at prosessen tok imot tilkoplingar på kvart grensesnitt, og om det er farleg avheng av brannmuren til verten og ikkje av rada sjølv. Berre ein assosiasjon som finst og ber teljarar liknar skuldinga folk vanlegvis vil kome med, og sjølv den rada stoppar før nyttelasta.
Stadfest eigarskap før du peikar ut ein skuldig
Prosessidentitet er der dei fleste skuldingane faktisk feilar. PID-ar blir brukte om att, oppdateringsprogram og nettlesarhjelparar skaper kortliva born, og ein VPN-klient kan overlevere trafikken sin til ein privilegert systemteneste. Samanlikn stien til den køyrbare fila og foreldreprosessen i staden for visningsnamnet, fordi visningsnamnet blir valt av den som bygde binærfila.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, PathDen same lesinga finst på Linux, der socketstatistikk kan bere prosessinformasjon når du har nok privilegium til å sjå socketane til andre brukarar. Å be om etablerte socketar bundne til eller frå port 443 snevrar inn utdataa til radene som tel:
ss -tunp state established '( sport = :443 or dport = :443 )'Ta vare på tidsstempelet saman med rada. Ein PID åleine er ei flyttande tilvising, fordi når du opnar ein prosesshandsamar, kan socketen alt tilhøyre ein etterfølgjar, og stien du granskar er kanskje ikkje den som heldt tilkoplinga. Skriv ned endepunktparet, statusen og PID-en som éin observasjon, så overlever funnet ein omstart eller ei anna meining.
Kva eit namn framleis er verdt
Eit vertsnamn er ikkje verdlaust prov. Det registrerer at nokon knytte den adressa til det namnet på eit tidspunkt. Den koplinga fortener merksemd når adressa tilhøyrer ein leverandør som tener tusenvis av urelaterte kundar. Det er ei svakare påstand enn ein destinasjon, og det er den einaste påstanden etiketten kan støtte.
Når eit namn ser feil ut, samanlikn adressa med dei publiserte områda til leverandøren og spør deretter kva prosessen gjorde i det augneblinken: ein oppdateringssjekk, eit lisenkall, ei telemetri-sending eller eit tunnelhandtrykk. Dei aktivitetane etterlèt ulike tilkoplingsformer, og å matche forma med augneblinken er meir informativt enn å matche namnet med eit firma du ikkje stoler på.
Ta vare på rada før du avsluttar ein delt hjelpar eller avinstallerer noko. Ei forsvarleg slutning dekkjer eitt observert endepunkt, statusen og eigaren; ein dom over eit heilt merke bygd på ei oppløyst etikett er ikkje prov, og det er heller ikkje trygginga om at ein kjend nedlastingsvert må vere uskadeleg.