Paano basahin ang isang VPN socket nang hindi nagtitiwala sa pangalan ng domain

Ang iyong endpoint viewer ay naglilista ng isang VPN na proseso sa tabi ng domain ng isang kumpanya ng advertising, at ang pagtatambal na iyon ay nagsisimula ng kuwentong hindi kayang suportahan ng datos. Ang pangalan ay isang reverse lookup na pinintahan sa isang numeric na endpoint, at nagbabago ito sa tuwing nagbabago ang lookup. Ang mga column na nakakalampas sa pagsusuri ay ang mga address, ang estado ng koneksyon at ang PID na nagmamay-ari ng socket.

Wala sa isang socket table ang naglalarawan kung ano ang naglakbay sa loob ng isang koneksyon. Anumang may dalang hostname ay naipaliwanag na para sa iyo.

Ang naresolbang pangalan ay salin, hindi field

Hinihiling ng viewer sa resolver na gawing pangalan ang isang address, tulad ng paggana ng PTR query sa DNS. Maaaring dumating ang sagot mula sa lokal na cache, sa isang entry sa hosts file, sa isang anunsyo ng neighbor discovery o sa isang provider na nagbigay ng address sa ibang tao noong nakaraang linggo, at walang paraan ang tool na makilala ang mga pinagmulang iyon. Dalawang makina na nanonood ng isang koneksyon ay maaaring maglimbag ng magkaibang pangalan para sa parehong peer address, na mahirap ipaliwanag kung naniniwala kang galing sa wire ang pangalan. Ituring ang label bilang kaginhawahan para sa mata ng tao at hindi bilang pahayag tungkol sa kung sino ang tumanggap ng mga byte.

Inilalarawan ng dokumentasyon ng TCPView ang mga column ng endpoint, estado at proseso at idinodokumento ang pagpatay sa mga naresolbang pangalan, na sulit gawin bago ka magbasa ng anumang kahulugan sa isang domain. Ang pagpatay sa resolution ay ginagawang nakikita ang kawalan ng katiyakan sa halip na likhain ito: mayroon ka pa ring address, at ang gawaing magpasya kung ano ang ibig sabihin nito ay bumalik lamang sa iyo.

Basahin ang mga numeric na column sa pagkakasunod-sunod

Magtrabaho mula kaliwa pakanan at huminto sa unang column na sumasagot sa iyong tanong. Ang lokal na endpoint ay nagpapakita kung saan nakatali ang proseso, ang malayong endpoint ay nagpapakita kung may peer man, ang estado ay nagpapakita kung buhay ang asosasyon, at ang PID ay nag-uugnay ng hilera sa isang executable file.

Ang tatlong obserbasyon sa ibaba ay mga halimbawang hugis at hindi output na nakunan mula sa anumang makina dito. Nakagrupo ang mga ito ayon sa kayang suportahan ng bawat isa, dahil iyon ang tanong na talagang itinatapat ng mga tao sa isang socket row:

Ang bukas na listener na hindi maabot ng ibang makina, nakatali sa loopback address, ay paraan ng maraming VPN client na ilantad ang sarili nilang control channel. Ang wildcard bind ay nangangahulugang tumanggap ang proseso ng mga koneksyon sa bawat interface, at kung mapanganib iyon ay nakasalalay sa firewall ng host at hindi sa hilera mismo. Tanging asosasyong umiiral at may dalang counter ang kahawig ng paratang na karaniwang gustong ibigay ng mga tao, at kahit ang hilerang iyon ay humihinto bago ang payload.

Tiyakin ang pagmamay-ari bago pangalanan ang salarin

Ang pagkakakilanlan ng proseso ang lugar kung saan talagang nabibigo ang karamihan ng paratang. Ginagamit muli ang mga PID, ang mga updater at browser helper ay nagsilang ng panandaliang anak, at maaaring ipaubaya ng VPN client ang trapiko nito sa isang privileged system service. Ihambing ang landas ng executable file at ang parent process sa halip na ang display name, dahil ang display name ay pinipili ng gumawa ng binary.

tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, Path

Umiiral din ang parehong pagbasa sa Linux, kung saan ang socket statistics ay maaaring magdala ng impormasyon ng proseso kapag may sapat kang pribilehiyo upang makita ang mga socket ng ibang user. Ang paghingi ng mga established socket na nakatali sa o mula sa port 443 ay nagpapaliit ng output sa mga hilerang mahalaga:

ss -tunp state established '( sport = :443 or dport = :443 )'

Kunin ang timestamp kasama ng hilera. Ang PID lamang ay isang gumagalaw na sanggunian, dahil pagbukas mo ng process manager maaaring pag-aari na ng kahalili ang socket at ang landas na sinusuri mo ay maaaring hindi ang humawak ng koneksyon. Itala ang pares ng endpoint, ang estado at ang PID bilang isang obserbasyon, at ang natuklasan ay mabubuhay pagkatapos ng restart o ng ikalawang opinyon.

Ano pa ang halaga ng isang pangalan

Ang hostname ay hindi walang halagang ebidensya. Itinatala nito na may nag-ugnay sa address na iyon sa pangalang iyon sa isang punto. Ang ugnayang iyon ay karapat-dapat sa pansin kapag ang address ay pag-aari ng isang provider na naglilingkod sa libu-libong walang kaugnayang customer. Ito ay isang mas mahinang pag-aangkin kaysa sa destinasyon, at ito ang tanging pag-aangkang kayang suportahan ng label.

Kapag ang pangalan ay mukhang mali, ihambing ang address sa mga nailathalang range ng provider at pagkatapos ay itanong kung ano ang ginagawa ng proseso sa sandaling iyon: pagsusuri ng update, tawag sa lisensya, pagpapadala ng telemetry o handshake ng tunnel. Ang mga gawaing iyon ay nag-iiwan ng magkaibang hugis ng koneksyon, at ang pagtutugma ng hugis sa sandali ay mas nagbibigay-alam kaysa sa pagtutugma ng pangalan sa isang kumpanyang hindi mo pinagkakatiwalaan.

Pangalagaan ang hilera bago mo wakasan ang isang shared helper o mag-uninstall ng anuman. Ang isang maipagtatanggol na konklusyon ay sumasaklaw sa isang naobserbahang endpoint, ang estado nito at ang may-ari nito; ang hatol sa buong brand na itinayo sa isang naresolbang label ay hindi ebidensya, at ang kapanatagan na ang isang pamilyar na download host ay dapat na walang pinsala ay hindi rin ebidensya.