Bir VPN soketini alan adına güvenmeden okumak
Bir sürecin yanındaki ana makine adı, bir adres hakkında tahmindir. Bir VPN istemcisini suçlamadan önce sayısal uç noktaları, bağlantı durumunu ve soketi sahiplenen PID'yi okuyun.
Uç nokta görüntüleyiciniz bir VPN sürecini bir reklam şirketinin alan adının yanında listeliyor ve bu eşleşme verinin destekleyemeyeceği bir hikâye başlatıyor. Ad, sayısal bir uç noktanın üzerine boyanmış bir ters aramadır ve arama değiştikçe değişir. İncelemeye dayanan sütunlar adresler, bağlantı durumu ve soketi sahiplenen PID'dir.
Bir soket tablosunda bağlantının içinde neyin gittiğini tanımlayan hiçbir şey yoktur. Ana makine adı taşıyan her şey sizin için zaten yorumlanmıştır.
Çözümlenmiş ad bir çeviridir, alan değil
Görüntüleyici çözümleyiciden bir adresi ada çevirmesini ister, tıpkı DNS'te bir PTR sorgusunun çalıştığı gibi. Yanıt yerel bir önbellekten, hosts dosyasındaki bir girdiden, komşu keşfi duyurusundan veya geçen hafta adresi başkasına veren bir sağlayıcıdan gelebilir ve aracın bu kaynakları ayırt etme yolu yoktur. Tek bir bağlantıyı izleyen iki makine aynı eş adresi için farklı adlar yazdırabilir; adın kablodan geldiğine inanıyorsanız bunu açıklamak zordur. Etiketi insan gözü için bir kolaylık olarak görün, baytları kimin aldığına dair bir beyan olarak değil.
TCPView belgeleri uç nokta, durum ve süreç sütunlarını açıklar ve çözümlenmiş adların kapatılmasını belgeler; bir alan adına herhangi bir anlam yüklemeden önce bunu yapmaya değer. Çözümlemeyi kapatmak belirsizliği yaratmak yerine görünür kılar: hâlâ bir adresiniz var ve bunun ne anlama geldiğine karar verme işi yalnızca size geri döndü.
Sayısal sütunları sırayla okuyun
Soldan sağa çalışın ve sorunuzu yanıtlayan ilk sütunda durun. Yerel uç nokta sürecin neye bağlandığını gösterir, uzak uç nokta bir eşin olup olmadığını gösterir, durum ilişkinin canlı olup olmadığını gösterir ve PID satırı çalıştırılabilir bir dosyaya bağlar.
Aşağıdaki üç gözlem, buradaki herhangi bir makineden alınmış çıktı değil, örnek biçimlerdir. Her birinin neyi destekleyebileceğine göre gruplanmışlardır, çünkü insanların bir soket satırına gerçekte sorduğu soru budur:
| What the row shows | What it rules out | What it cannot show |
|---|---|---|
| An open listener with no peer address | Any remote party; nothing beyond this host has reached the port | Whether the local service is well configured, or who is allowed to use it |
| An association in the open state | That the entry is cosmetic; a peer address exists and was accepted | Which application data crossed it, or whether that peer is trustworthy |
| An association whose counters move | That the conversation is idle or already stale | What was requested, what came back, or who started it |
Diğer makinelerin ulaşamadığı, geri döngü adresine bağlı açık bir dinleyici, birçok VPN istemcisinin kendi denetim kanalını açığa çıkarma biçimidir. Joker karakterli bağlama, sürecin her arayüzde bağlantı kabul ettiği anlamına gelir ve bunun tehlikeli olup olmadığı satıra değil ana makinenin güvenlik duvarına bağlıdır. Yalnızca var olan ve sayaç taşıyan bir ilişki, insanların genellikle dile getirmek istediği suçlamaya benzer ve o satır bile yükten önce durur.
Bir suçlu adlandırmadan önce sahipliği doğrulayın
Süreç kimliği, çoğu suçlamanın gerçekte başarısız olduğu yerdir. PID'ler yeniden kullanılır, güncelleyiciler ve tarayıcı yardımcıları kısa ömürlü çocuklar doğurur ve bir VPN istemcisi trafiğini ayrıcalıklı bir sistem hizmetine devredebilir. Görünen ad yerine çalıştırılabilir dosyanın yolunu ve ana süreci karşılaştırın, çünkü görünen adı ikili dosyayı derleyen seçer.
tcpvcon -n -a
Get-Process -Id 4188 | Select-Object Id, ProcessName, PathAynı okuma Linux'ta da vardır; burada başka kullanıcıların soketlerini görmek için yeterli ayrıcalığınız olduğunda soket istatistikleri süreç bilgisi taşıyabilir. 443 numaralı bağlantı noktasına veya oradan bağlanmış kurulmuş soketleri istemek çıktıyı önemli satırlara daraltır:
ss -tunp state established '( sport = :443 or dport = :443 )'Zaman damgasını satırla birlikte yakalayın. Tek başına PID hareketli bir referanstır, çünkü süreç yöneticisini açtığınızda soket artık bir halefin olabilir ve incelediğiniz yol bağlantıyı tutan yol olmayabilir. Uç nokta çiftini, durumu ve PID'yi tek bir gözlem olarak kaydedin; bulgu bir yeniden başlatmadan veya ikinci bir görüşten sonra da ayakta kalır.
Bir ad hâlâ neye değer
Ana makine adı değersiz kanıt değildir. Birinin bir noktada o adresi o adla ilişkilendirdiğini kaydeder. Bu ilişki, adres binlerce ilgisiz müşteriye hizmet veren bir sağlayıcıya ait olduğunda dikkate değer. Bir hedeften daha zayıf bir iddiadır ve etiketin destekleyebileceği tek iddia budur.
Bir ad yanlış göründüğünde adresi sağlayıcının yayımladığı aralıklarla karşılaştırın ve ardından sürecin o anda ne yaptığını sorun: güncelleme denetimi, lisans çağrısı, telemetri gönderimi veya tünel el sıkışması. Bu etkinlikler farklı bağlantı biçimleri bırakır ve biçimi ana eşleştirmek, adı güvenmediğiniz bir şirketle eşleştirmekten daha bilgilendiricidir.
Paylaşılan bir yardımcıyı sonlandırmadan veya bir şeyi kaldırmadan önce satırı koruyun. Savunulabilir bir sonuç gözlenen tek bir uç noktayı, durumunu ve sahibini kapsar; çözümlenmiş bir etiket üzerine kurulmuş marka çapında bir yargı kanıt değildir ve tanıdık bir indirme ana makinesinin zararsız olması gerektiği rahatlığı da kanıt değildir.