Como ler um socket VPN sem confiar num nome de domínio
Um nome de anfitrião ao lado de um processo é um palpite sobre um endereço. Leia os extremos numéricos, o estado da ligação e o PID proprietário antes de culpar um cliente VPN.
O seu visualizador de extremos lista um processo VPN ao lado do domínio de uma empresa de publicidade, e esse emparelhamento começa uma história que os dados não podem sustentar. O nome é uma pesquisa inversa pintada sobre um extremo numérico, e muda sempre que a pesquisa muda. As colunas que resistem ao escrutínio são os endereços, o estado da ligação e o PID que possui o socket.
Nada numa tabela de sockets descreve o que viajou dentro de uma ligação. Tudo o que traz um nome de anfitrião já foi interpretado por si.
Um nome resolvido é uma tradução, não um campo
O visualizador pede ao resolvedor que transforme um endereço num nome, tal como uma consulta PTR funciona no DNS. A resposta pode vir de uma cache local, de uma entrada no ficheiro hosts, de um anúncio de descoberta de vizinhos ou de um fornecedor que entregou o endereço a outra pessoa na semana passada, e a ferramenta não tem forma de distinguir essas fontes. Duas máquinas que observam uma ligação podem imprimir nomes diferentes para o mesmo endereço de par, o que é difícil de explicar se acredita que o nome veio do cabo. Trate a etiqueta como uma comodidade para olhos humanos e não como uma afirmação sobre quem recebeu os bytes.
A documentação do TCPView descreve as colunas de extremo, estado e processo e documenta como desativar os nomes resolvidos, o que vale a pena fazer antes de ler qualquer significado num domínio. Desativar a resolução torna a incerteza visível em vez de a criar: continua a ter um endereço, e o trabalho de decidir o que significa simplesmente voltou para si.
Leia as colunas numéricas por ordem
Trabalhe da esquerda para a direita e pare na primeira coluna que responde à sua pergunta. O extremo local mostra a que o processo se ligou, o extremo remoto mostra se existe algum par, o estado mostra se a associação está viva, e o PID liga a linha a um executável.
As três observações abaixo são formas ilustrativas e não saída capturada de qualquer máquina aqui. Estão agrupadas pelo que cada uma pode sustentar, porque é essa a pergunta que as pessoas fazem realmente a uma linha de socket:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
Um ouvinte aberto a que outras máquinas não chegam, ligado ao endereço de retorno, é como muitos clientes VPN expõem o seu próprio canal de controlo. Uma ligação com curinga significa que o processo aceitou ligações em todas as interfaces, e se isso é perigoso depende da firewall do anfitrião e não da linha em si. Só uma associação que existe e transporta contadores se parece com a acusação que as pessoas costumam querer fazer, e mesmo essa linha pára antes da carga útil.
Verifique a propriedade antes de nomear um culpado
A identidade do processo é onde a maioria das acusações falha de facto. Os PID são reutilizados, os atualizadores e os ajudantes do navegador geram filhos de vida curta, e um cliente VPN pode entregar o seu tráfego a um serviço de sistema privilegiado. Compare o caminho do executável e o processo pai em vez do nome apresentado, porque o nome apresentado é escolhido por quem construiu o binário.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, PathA mesma leitura existe no Linux, onde as estatísticas de sockets podem transportar informação do processo quando tem privilégios suficientes para ver os sockets de outros utilizadores. Pedir os sockets estabelecidos ligados à porta 443 ou a partir dela estreita a saída para as linhas que importam:
ss -tunp state established '( sport = :443 or dport = :443 )'Capture a marca temporal junto com a linha. Um PID sozinho é uma referência móvel, porque quando abre um gestor de processos o socket pode já pertencer a um sucessor e o caminho que inspeciona pode não ser o que mantinha a ligação. Registe o par de extremos, o estado e o PID como uma única observação, e a descoberta sobrevive a um reinício ou a uma segunda opinião.
Quanto ainda vale um nome
Um nome de anfitrião não é prova sem valor. Regista que alguém associou esse endereço a esse nome em algum momento. Essa associação merece atenção quando o endereço pertence a um fornecedor que serve milhares de clientes não relacionados. É uma afirmação mais fraca do que um destino, e é a única afirmação que a etiqueta pode sustentar.
Quando um nome parece errado, compare o endereço com os intervalos publicados pelo fornecedor e depois pergunte o que o processo estava a fazer nesse momento: uma verificação de atualização, uma chamada de licença, um envio de telemetria ou um aperto de mão do túnel. Essas atividades deixam formas de ligação diferentes, e emparelhar a forma com o momento informa mais do que emparelhar o nome com uma empresa de que desconfia.
Preserve a linha antes de terminar um ajudante partilhado ou desinstalar algo. Uma conclusão defensável cobre um extremo observado, o seu estado e o seu proprietário; um veredicto de marca inteira construído sobre uma etiqueta resolvida não é prova, e também não o é a tranquilidade de que um anfitrião de descargas conhecido deva ser inofensivo.