Entradas estranhas na saída do Netstat

Question 1

Você pode obter informações mais úteis noNetstatcomando adicionando os parâmetros -fe -b, assim:

netstat -f -b

De acordo com a ajuda ( netstat -?) do -fswitch:

Exibe nomes de domínio totalmente qualificados (FQDN) para endereços estrangeiros.

E a -bmudança:

Exibe o executável envolvido na criação de cada conexão ou porta de escuta. Em alguns casos, executáveis bem conhecidos hospedam vários componentes independentes e, nesses casos, a sequência de componentes envolvidos na criação da conexão ou porta de escuta é exibida. Neste caso o nome do executável está em [] na parte inferior, na parte superior está o componente que ele chamou e assim por diante até que o TCP/IP seja alcançado. Observe que esta opção pode ser demorada e falhará, a menos que você tenha permissões suficientes.

Junte os dois e você verá quais processos estão criando cada conexão e o nome completo do host remoto.

Para ajudar na investigação dos executáveis (e das conexões que eles estão fazendo), use o Microsoft'sExplorador de processos. Ao executar o programa, você verá uma lista de tudo que está em execução no seu sistema, assim:

Então, para ver as conexões feitas por um executável, clique duas vezes nele e dê uma olhada noTCP/IPaba:

Answer

Você pode obter informações mais úteis noNetstatcomando adicionando os parâmetros -fe -b, assim:

netstat -f -b

De acordo com a ajuda ( netstat -?) do -fswitch:

Exibe nomes de domínio totalmente qualificados (FQDN) para endereços estrangeiros.

E a -bmudança:

Exibe o executável envolvido na criação de cada conexão ou porta de escuta. Em alguns casos, executáveis bem conhecidos hospedam vários componentes independentes e, nesses casos, a sequência de componentes envolvidos na criação da conexão ou porta de escuta é exibida. Neste caso o nome do executável está em [] na parte inferior, na parte superior está o componente que ele chamou e assim por diante até que o TCP/IP seja alcançado. Observe que esta opção pode ser demorada e falhará, a menos que você tenha permissões suficientes.

Junte os dois e você verá quais processos estão criando cada conexão e o nome completo do host remoto.

Para ajudar na investigação dos executáveis (e das conexões que eles estão fazendo), use o Microsoft'sExplorador de processos. Ao executar o programa, você verá uma lista de tudo que está em execução no seu sistema, assim:

Então, para ver as conexões feitas por um executável, clique duas vezes nele e dê uma olhada noTCP/IPaba:

Question 2

As outras respostas esclarecem isso muito bem na maioria dos casos, mas gostaria de elaborar o 40caso - por exemplo. mostrando uma entrada com apenas alguns dígitos e nada mais, nada em ordem alfabética.

Para mim, o estranho eram as entradas que apareciam apenas como um único número decimal. Não é totalmente óbvio o que são e também não é algo fácil para o Google. Tenho uma vida inteira de experiência em networking e isso ainda me deixou empatado.

Por exemplo, eu tinha uma entrada como:

Active Connections

  Proto  Local Address          Foreign Address        State
  TCP    10.10.10.10:7890       38:https               ESTABLISHED

Correndo netstat -npara mostrar o IP, percebi que era um dos meus próprios servidores GCP - o que me fez pensar ainda mais no que estava acontecendo, pensando talvez em DNS reverso ou até mesmo em um dos meus servidores DNS ou algo estava configurado incorretamente ou algo assim. O DNS reverso parecia bom, embora devesse ter clicado assim que vi o DNS reverso.

Eu já tinha investigado isso antes e não me lembro se cheguei a uma resposta satisfatória, então quando vi hoje me deparei com esse tópico e também tentei -f- foi aí que deu certo!

Com -fele mostrado (IP real alterado):

TCP    10.10.10.10:7890         38.255.255.255.bc.googleusercontent.com

Ah! 38é a primeira parte do subdomínio e muitas vezes o hostnamede um sistema é considerado a primeira parte, por exemplo. pois myfileserver.westoffice.mycompany.como nome do host seria myfileserver.

O GCP neste caso retorna 38.255.255.255.bc.googleusercontent.compara a pesquisa reversa de DNS, este Windows netstatsegue esta convenção normal pensando 38que é o nome do host da máquina e portanto só aparece 38na lista.

Agora estou curioso/suspeito se esse é o motivo pelo qual a AWS usa -(por exemplo, um nome de host da AWS como este seria ec2-54-255-255-255.compute-1.amazonaws.com) em seus nomes de host gerados automaticamente em vez dos .que o GCP usa.

Para aqueles que têm conhecimento, mas paranóicos, em networking, ver uma listagem como essa quase imediatamente faz você ficar surpreso.

Mesmo que você não tenha especificado -na exibição de IPs, qualquer conexão netstatlistada que falhe em uma pesquisa reversa de DNS será mostrada como um endereço IP numérico - portanto, você não tem 100% de certeza de que está vendo apenas parte de um nome DNS e não faz parte de um IP (embora o nome DNS neste caso contenha o IP para o qual aponta, ainda é tecnicamente impresso como um nome DNS aqui).

Além disso, os endereços IP não precisam ser representados em x.x.x.xformato; por exemplo, o servidor DNS do CloudFlare 1.1.1.1também pode ser representado como 16843009, qualquer endereço IP com uma 0parte nele pode ser descartado, por exemplo, e 10.0.0.1são 10.1equivalentes, etc.38poderiatecnicamente be 0.0.0.38, que é obviamente um endereço IP não utilizável.

Se você tivesse 38uma entrada em seu arquivo hosts apontando para um determinado IP, isso também poderia aparecer netstatassim.

Uma das entradas do OP foi de fato 40e teria sido vítima disso. Todos os outros endereços listados pelo OP não me fariam pensar, mas um número por si só é um caso único.

Eu culpo o Google/GCP por ter seus nomes de host automáticos/configuração de DNS reverso para usar .em vez de -ou de outra forma. Ele ignora pelo menos tão antigo quanto a web em relação ao DNS e nomes de host de máquinas/serviços específicos.

Também culpo netstata implementação da Microsoft por geralmente assumir que esta convenção é sempre respeitada, especialmente na Internet pública. Eu talvez tivesse truncado o domínio para o comprimento do campo, -fpermitindo ainda que o domínio completo fosse mostrado, em vez de assumir que o primeiro subdomínio é sempre um nome de host e truncar no primeiro .- é isso que a versão do netstatUbuntu parece fazer no Linux e evita essa confusão, de qualquer forma a pesquisa reversa de DNS ainda está acontecendo. Se você realmente precisava/queria ver apenas a primeira parte como um nome de host, talvez adicione uma -hopção para isso ou algo assim.

Talvez eu também culpe o padrão DNS por não permitir dígitos como o primeiro caractere de um subdomínio; embora seja compreensível como o DNS funciona, domínios e subdomínios não são tratados de maneira diferente, portanto, se isso fosse uma regra quando o DNS foi inicialmente projetado, você não poderia ter 123plumbing.comum nome de domínio.

Answer