Како читати VPN сокет без поверења у име домена
Име хоста поред процеса је претпоставка о адреси. Прочитајте нумеричке крајње тачке, стање везе и PID који га поседује пре него што оптужите VPN клијента.
Ваш прегледач крајњих тачака приказује VPN процес поред домена рекламне компаније, и тај пар започиње причу коју подаци не могу да подрже. Име је обрнута претрага насликана преко нумеричке крајње тачке, и мења се сваки пут када се претрага промени. Колоне које издржавају проверу су адресе, стање везе и PID који поседује сокет.
Ништа у табели сокета не описује шта је прошло унутар везе. Све што носи име хоста већ је протумачено уместо вас.
Решено име је превод, а не поље
Прегледач тражи од решавача да претвори адресу у име, исто како што ради PTR захтев у DNS-у. Одговор може да дође из локалног кеша, записа у датотеци hosts, објаве о откривању суседа или од добављача који је адресу прошле недеље дао неком другом, а алат нема начин да разликује те изворе. Две машине које посматрају једну везу могу да испишу различита имена за исту адресу партнера, што је тешко објаснити ако верујете да је име дошло са жице. Третирајте ознаку као погодност за људске очи, а не као тврдњу о томе ко је примио бајтове.
Документација TCPView описује колоне крајње тачке, стања и процеса и документује искључивање решених имена, што вреди урадити пре него што у домен учитате било какво значење. Искључивање решавања чини несигурност видљивом уместо да је ствара: још увек имате адресу, а посао одлучивања шта она значи једноставно се вратио вама.
Читајте нумеричке колоне редом
Радите слева надесно и зауставите се на првој колони која одговара на ваше питање. Локална крајња тачка показује на шта се процес везао, удаљена крајња тачка показује да ли партнер уопште постоји, стање показује да ли је асоцијација жива, а PID повезује ред са извршном датотеком.
Три запажања испод су илустративни облици, а не излаз забележен са било које машине овде. Груписана су по томе шта свако може да подржи, јер је то питање које људи заиста постављају реду сокета:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
Отворени слушалац до којег друге машине не могу да стигну, везан за адресу повратне петље, начин је на који многи VPN клијенти излажу сопствени контролни канал. Везивање џокер знаком значи да је процес прихватио везе на сваком интерфејсу, а да ли је то опасно зависи од заштитног зида хоста, а не од самог реда. Само асоцијација која постоји и носи бројаче наликује оптужби коју људи обично желе да изнесу, и чак и тај ред стаје пре корисног терета.
Проверите власништво пре него што именујете кривца
Идентитет процеса је место где већина оптужби заиста пропада. PID-ови се поново користе, програми за ажурирање и помагачи прегледача стварају краткотрајну децу, а VPN клијент може да преда свој саобраћај привилегованој системској служби. Упоредите путању извршне датотеке и родитељски процес уместо приказаног имена, јер приказано име бира онај који је изградио бинарну датотеку.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, PathИсто читање постоји на Linux-у, где статистика сокета може да носи информације о процесу када имате довољно привилегија да видите сокете других корисника. Захтев за успостављене сокете везане за порт 443 или са њега сужава излаз на редове који су важни:
ss -tunp state established '( sport = :443 or dport = :443 )'Забележите временску ознаку заједно са редом. Сам PID је покретна референца, јер док отворите менаџер процеса сокет може да припада наследнику, а путања коју прегледате можда није она која је држала везу. Запишите пар крајњих тачака, стање и PID као једно запажање, и налаз ће преживети поновно покретање или друго мишљење.
Шта још вреди једно име
Име хоста није безвредан доказ. Оно бележи да је неко у неком тренутку повезао ту адресу са тим именом. Та веза заслужује пажњу када адреса припада добављачу који опслужује хиљаде неповезаних клијената. То је слабија тврдња од одредишта, и то је једина тврдња коју ознака може да подржи.
Када име изгледа погрешно, упоредите адресу са објављеним опсезима добављача и затим питајте шта је процес радио у том тренутку: провера ажурирања, позив за лиценцу, слање телеметрије или руковање тунела. Те активности остављају различите облике везе, а усклађивање облика са тренутком је поучније од усклађивања имена са компанијом којој не верујете.
Сачувајте ред пре него што прекинете заједничког помагача или деинсталирате нешто. Одбрањив закључак покрива једну посматрану крајњу тачку, њено стање и њеног власника; пресуда на нивоу бренда изграђена на решеној ознаци није доказ, а ни уверавање да познати хост за преузимање мора да буде безопасан није доказ.