Så läser du en VPN-socket utan att lita på ett domännamn
Ett värdnamn bredvid en process är en gissning om en adress. Läs de numeriska ändpunkterna, anslutningens tillstånd och den PID som äger den innan du skyller på en VPN-klient.
Din ändpunktsvisare listar en VPN-process bredvid en reklamfirmas domän, och den kopplingen startar en historia som data inte kan stödja. Namnet är en omvänd sökning målad över en numerisk ändpunkt, och det ändras varje gång sökningen ändras. Kolumnerna som klarar granskning är adresserna, anslutningens tillstånd och den PID som äger socketen.
Ingenting i en sockettabell beskriver vad som reste inuti en anslutning. Allt som bär ett värdnamn har redan tolkats åt dig.
Ett upplöst namn är en översättning, inte ett fält
Visaren ber resolvern göra om en adress till ett namn, på samma sätt som en PTR-fråga fungerar i DNS. Svaret kan komma från en lokal cache, en post i hosts-filen, ett meddelande om granndetektering eller en leverantör som gav adressen till någon annan förra veckan, och verktyget har inget sätt att skilja dessa källor. Två maskiner som övervakar en anslutning kan skriva ut olika namn för samma peer-adress, vilket är svårt att förklara om du tror att namnet kom från ledningen. Behandla etiketten som en bekvämlighet för människoögon och inte som ett påstående om vem som tog emot byten.
TCPView-dokumentationen beskriver kolumnerna för ändpunkt, tillstånd och process och dokumenterar hur upplösta namn stängs av, vilket är värt att göra innan du läser in något i en domän. Att stänga av upplösningen gör osäkerheten synlig i stället för att skapa den: du har fortfarande en adress, och arbetet med att avgöra vad den betyder har bara flyttat tillbaka till dig.
Läs de numeriska kolumnerna i ordning
Arbeta från vänster till höger och stanna vid den första kolumnen som svarar på din fråga. Den lokala ändpunkten visar vad processen band till, den fjärra ändpunkten visar om det finns någon peer alls, tillståndet visar om associationen lever, och PID:n kopplar raden till en körbar fil.
De tre observationerna nedan är illustrativa former och inte utdata fångade från någon maskin här. De är grupperade efter vad var och en kan stödja, eftersom det är frågan folk faktiskt ställer till en socketrad:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
En öppen lyssnare som andra maskiner inte kan nå, bunden till loopback-adressen, är hur många VPN-klienter exponerar sin egen kontrollkanal. En jokerteckenbindning betyder att processen tog emot anslutningar på varje gränssnitt, och om det är farligt beror på värdens brandvägg och inte på raden själv. Bara en association som finns och bär räknare liknar den anklagelse folk vanligtvis vill framföra, och även den raden stannar före nyttolasten.
Verifiera ägarskap innan du utpekar en skyldig
Processidentitet är där de flesta anklagelser faktiskt misslyckas. PID:er återanvänds, uppdaterare och webbläsarhjälpare skapar kortlivade barn, och en VPN-klient kan lämna sin trafik till en privilegierad systemtjänst. Jämför sökvägen till den körbara filen och föräldraprocessen i stället för visningsnamnet, eftersom visningsnamnet väljs av den som byggde binären.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, PathSamma läsning finns på Linux, där socketstatistik kan bära processinformation när du har tillräckliga privilegier för att se andra användares sockets. Att fråga efter etablerade sockets bundna till eller från port 443 snävar in utdata till de rader som spelar roll:
ss -tunp state established '( sport = :443 or dport = :443 )'Fånga tidsstämpeln tillsammans med raden. En PID ensam är en rörlig referens, för när du öppnar en processhanterare kan socketen redan tillhöra en efterträdare och sökvägen du granskar är kanske inte den som höll anslutningen. Notera ändpunktsparet, tillståndet och PID:n som en enda observation, och fyndet överlever en omstart eller en andra åsikt.
Vad ett namn fortfarande är värt
Ett värdnamn är inte värdelöst bevis. Det registrerar att någon någon gång kopplade den adressen till det namnet. Den kopplingen förtjänar uppmärksamhet när adressen tillhör en leverantör som betjänar tusentals orelaterade kunder. Det är ett svagare påstående än en destination, och det är det enda påstående etiketten kan stödja.
När ett namn ser fel ut, jämför adressen med leverantörens publicerade intervall och fråga sedan vad processen gjorde i det ögonblicket: en uppdateringskontroll, ett licensanrop, en telemetri-POST eller en tunnelhandskakning. De aktiviteterna lämnar olika anslutningsformer, och att matcha formen mot ögonblicket är mer informativt än att matcha namnet mot ett företag du misstror.
Bevara raden innan du avslutar en delad hjälpare eller avinstallerar något. En försvarbar slutsats täcker en observerad ändpunkt, dess tillstånd och dess ägare; en dom över ett helt varumärke byggd på en upplöst etikett är inte bevis, och det är inte heller lugnandet att en välkänd nedladdningsvärd måste vara ofarlig.