Стандартные утилиты вроде TCPView(судя по названию) показывают только процесс и тот локальный порт что он использует для UDP протокола. О удаленном адресе/порте ни слова. То же и другие подобные приложения - Outpost FierWall(думаю и другие фаеры) отображает, но не устанавливать же его из-за этого.
Подскажите как это можно сделать в Win NT.
Спасибо.
netstat -abp UDP не помогает?
Насколько мне известно UDP не устанавливает соединения как TCP.
[QUOTE=DoggoD;269171]netstat -abp UDP не помогает?[/QUOTE]
Показывает тоже самое как и TCPView, CurrPorts, и др.
[QUOTE=zerocorporated;269190]Насколько мне известно UDP не устанавливает соединения как TCP.[/QUOTE]
Верно.
Проблема в том, что UDP это протокол в принципе без направления и без соединения.
Он не нуждается в 'handshake' (квитирование установление связи?), согласовывать что-нибудь как в TCP с другими клиентами не требуется, соединения совсем не требуется. Не зря же я здесь и в других местах уже говорил, что это для файрволов ОЧЕНЬ сложный протокол...
Paul
[QUOTE=p2u;269191]
Проблема в том, что UDP это протокол в принципе без направления и без соединения.
Paul[/QUOTE]
Ну так поэтому там есть foreign address * : * что является удаленным адресом, который хотел увидеть автор [QUOTE]О удаленном адресе/порте ни слова.[/QUOTE] :O
[QUOTE=DoggoD;269195]Ну так поэтому там есть foreign address * : * что является удаленным адресом, который хотел увидеть автор :O[/QUOTE]
Netstat и все приложения, которые его читают (TCPView, Currports) просто НЕ МОГУТ выражать удалённый адрес в чём-нибудь конкретном... ;)
Paul
[QUOTE=p2u;269469]Netstat и все приложения, которые его читают (TCPView, Currports) просто НЕ МОГУТ выражать удалённый адрес в чём-нибудь конкретном... ;)
Paul[/QUOTE]
Ключевое выражение - "в чём-нибудь конкретном" или я вообще чего-то не догоняю? Что тогда делает ключ [B]b[/B] или вы одругом?
[QUOTE=DoggoD;269853]Ключевое выражение - "в чём-нибудь конкретном" или я вообще чего-то не догоняю?[/quote]
Не указанные или 'обобщённые' адреса и порты показываются как '[b]*[/b]'. По UDP вы увидите только [b]*.*[/b]
[QUOTE=DoggoD;269853] Что тогда делает ключ [B]b[/B] или вы о другом?[/QUOTE]
[url]http://ru.wikipedia.org/wiki/Netstat[/url]
Ключ [b]-b[/b] (не обсуждается в статье) показывает насколько я помню состояние портов (+ приложения, которые их занимают + Идентификатор Процесса этих приложений) ТОЛЬКО для [b]TCP[/b].
[quote][b]-a[/b] Показывать состояние всех сокетов; обычно сокеты, используемые серверными процессами, не показываются.
[b]-A[/b] Показывать адреса любых управляющих блоков протокола, связанных с сокетами; используется для отладки.
[b]-i[/b] Показывать состояние автоматически сконфигурированных (auto-configured) интерфейсов. Интерфейсы, статически сконфигурированные в системе, но не найденные во время загрузки, не показываются.
[b]-n[/b] Показывать сетевые адреса как числа. netstat обычно показывает адреса как символы. Эту опцию можно использовать с любым форматом показа.
[b]-r[/b] Показать таблицы маршрутизации. При использовании с опцией -s, показывает статистику маршрутизации.
[b]-s[/b] Показать статистическую информацию по протоколам. При использовании с опцией -r, показывает статистику маршрутизации.[/quote]
Paul
Статью приведенную уже читал давно :)
[QUOTE=p2u;269885]
Ключ [b]-b[/b] (не обсуждается в статье) показывает насколько я помню состояние портов (+ приложения, которые их занимают) ТОЛЬКО для [b]TCP[/b].
Paul[/QUOTE]
Мой частичный вывод [B]netstat -abp udp[/B]
Proto Local Address Foreign
UDP 0.0.0.0:123 * : *
W32Time
[svchost.exe]
UDP 0.0.0.0:500 * : *
IKEEXT
[svchost.exe]
UDP 0.0.0.0:4500 * : *
IKEEXT
[svchost.exe]
UDP 0.0.0.0:5355 * : *
Dnscache
[svchost.exe]
UDP 0.0.0.0:55389 * : *
[spoolsv.exe]
UDP 127.0.0.1:55387 * : *
NlaSvc
[svchost.exe]
UDP 192.168.2.34:137 * : *
[QUOTE=DoggoD;269897]Мой частичный вывод [B]netstat -abp udp[/B][/QUOTE]
Красиво, когда [b]комбинируете[/b] ключи, угу. А теперь посмотрите для себя вывод данных ключа [b]-b[/b] отдельно, о котором вы говорили, для того, чтобы понять, что он делает. У меня выдаёт:
[URL=http://www.radikal.ru][IMG]http://s55.radikal.ru/i147/0808/1e/ca4d5e7c1b97.jpg[/IMG][/URL]
Только TCP + процесс + идентификатор.
ЛОКАЛЬНЫЕ Адреса и порты по UDP показываются; Mad Scientist (топик страртер) это уже указал в первом сообщении. Но в смысле безопасности это ничего дополнительного не даёт. А где удалённые адреса, и состояние сокетов у вас?
Повторяю: Не указанные или 'обобщённые' адреса и порты показываются как '[b]*[/b]'. По UDP вы увидите только '[b]*.*[/b]'.
Вот, что ваша команда у меня выдаёт:
[URL=http://www.radikal.ru][IMG]http://s53.radikal.ru/i139/0808/01/5a30d53d3a51.jpg[/IMG][/URL]
То, что мы видим здесь: так называемые 'Unconnected Endpoints'. Это у меня vpn-туннель по протоколу L2TP (порт 1701). Комьютер зовут [b]P2U[/b]. Удалённый адрес у меня tp.corbina.net; удалённый порт тоже 1701. Но ни адреса, ни удалённого порта не видно. :)
Paul
[QUOTE=p2u;269906]Красиво, когда [b]комбинируете[/b] ключи, угу. А теперь посмотрите для себя вывод данных ключа [b]-b[/b] отдельно, о котором вы говорили, для того, чтобы понять, что он делает...
Только TCP + процесс + идентификатор.
[/QUOTE]
ОК, понял смысел..
Добавлю только немного по части цитаты сверху.. Про [B]-b[/B]
[QUOTE]Displays the executable involved in creating each connection or
listening port. In some cases well-known executables host
multiple independent components, and in these cases the
sequence of components involved in creating the connection
or listening port is displayed. In this case the executable
name is in [] at the bottom, on top is the component it called,
and so forth until TCP/IP was reached. Note that this option
can be time-consuming and will fail unless you have sufficient
permissions.[/QUOTE] Это из встроенной справки.. Я к тому, что речи о [I]ТОЛЬКО[/I] TCP тут нет - это просто дает вывод исполняемого файла.
[QUOTE=Mad Scientist;269138]О удаленном адресе/порте ни слова[/QUOTE][B]Mad Scientist[/B], удаленный адрес - это имя или IP-адрес Вашего текущего DNS-сервера, а порт у него стандартный для запросов по UDP - 53-й.
Утилита для запросов к DNS-серверу: [B]nslookup <имя или IP-адрес DNS-сервера> <имя или IP-адрес, которые требуется получить>[/B]
Если имя или IP-адрес DNS-сервера не указывать, будет выбран текущий DNS-сервер: [B]nslookup <имя или IP-адрес, которые требуется получить>[/B]
Например, запрос может быть таким: [B]nslookup virusinfo.info[/B]
В ответе будут указаны имя и IP-адрес текущего DNS-сервера и имя и IP-адрес сайта вирусинфо.
Доступные команды DNS-серверу: [B]nslookup help[/B]
[QUOTE=p2u]это для файрволов ОЧЕНЬ сложный протокол[/QUOTE][B]p2u[/B], извините, очень сложный чем или почему?
И еще, пожалуйста, что Вы думаете об этом:
если имеется любимый DNS-сервер (надежный, доступный, не отравленный), его айпишник можно вбить в свойства сетевого подключения. Туда же можно добавить и еще один запасной, чуть менее любимый.
если запущена Служба DNS-клиента, то будет сформирован локальный кэш доменных имен, что избавит от повторных запросов и уменьшит время запуска сетевых приложений.
Извините, может кто-то еще поделится соображениями, в чем простота/сложность анализа пакетов по TCP или UDP? И, в частности, для различных утилит или файерволов?
хм..обширную тему Вы хотите затронуть...
PS: используйте TCPDump и будет счастье :)
Ок. Понятно, что слишком открытые обсуждения приносят не только пользу, но и вред.
ну не так все плохо...
по-моему было бы более продуктивным поделиться друг с другом статьями по этому поводу и обсудить их, чем просто высказываться кто что про это думает..
Спасибо за предложение, но у меня нет статей. "Я не волшебник, а только учусь." И учусь не по основному профилю. А Ваши, [B]priv8v[/B], прочел бы с удовольствием.
Эмм... Я имел в виду делиться не своими статьями:) - а вообще - найти что-то (какую-либо большую и подробную статью по этому вопросу) и пообсуждать...
:)
Ок. Буду иметь ввиду.
А пока: Люди! У кого есть интересные статьи? Или ссылки на них? Заранее спасибо.
И опять же: TCPView... TCPDump...
Похоже, что разработчики, наоборот, считают UDP и легальную область его применения настолько простыми, что не заморачиваются всякими утилитами.
Например, применение UDP в приложениях для трансляции/воспроизведения потоковых сервисов реального времени. Простота даже с некоторым ущербом для качества обслуживания.
Еще раз прошу прощения, но мне не дает покоя некоторая недосказанность по сложно/просто. Возможно, кому-то известно больше сведений, чем те, которые есть в известных мне открытых источниках.
В чем сложность/простота для файервола/утилиты в фильтрации данных по UDP/TCP?
1. в определении принадлежности к протоколу UDP/TCP
2. в определении принадлежности к протоколу UDP/TCP и направления IN/OUT
3. в определении принадлежности к протоколу UDP/TCP, направления IN/OUT и записей об UDP сокетах/TCP парах сокетов
4. что-то еще
Спасибо.