Стандартные утилиты вроде TCPView(судя по названию) показывают только процесс и тот локальный порт что он использует для UDP протокола. О удаленном адресе/порте ни слова. То же и другие подобные приложения - Outpost FierWall(думаю и другие фаеры) отображает, но не устанавливать же его из-за этого.
Подскажите как это можно сделать в Win NT.
Спасибо.
netstat -abp UDP не помогает?
Насколько мне известно UDP не устанавливает соединения как TCP.
[QUOTE=DoggoD;269171]netstat -abp UDP не помогает?[/QUOTE]
Показывает тоже самое как и TCPView, CurrPorts, и др.
[QUOTE=zerocorporated;269190]Насколько мне известно UDP не устанавливает соединения как TCP.[/QUOTE]
Верно.
Проблема в том, что UDP это протокол в принципе без направления и без соединения.
Он не нуждается в 'handshake' (квитирование установление связи?), согласовывать что-нибудь как в TCP с другими клиентами не требуется, соединения совсем не требуется. Не зря же я здесь и в других местах уже говорил, что это для файрволов ОЧЕНЬ сложный протокол...
Paul
[QUOTE=p2u;269191]
Проблема в том, что UDP это протокол в принципе без направления и без соединения.
Paul[/QUOTE]
Ну так поэтому там есть foreign address * : * что является удаленным адресом, который хотел увидеть автор [QUOTE]О удаленном адресе/порте ни слова.[/QUOTE] :O
[QUOTE=DoggoD;269195]Ну так поэтому там есть foreign address * : * что является удаленным адресом, который хотел увидеть автор :O[/QUOTE]
Netstat и все приложения, которые его читают (TCPView, Currports) просто НЕ МОГУТ выражать удалённый адрес в чём-нибудь конкретном... ;)
Paul
[QUOTE=p2u;269469]Netstat и все приложения, которые его читают (TCPView, Currports) просто НЕ МОГУТ выражать удалённый адрес в чём-нибудь конкретном... ;)
Paul[/QUOTE]
Ключевое выражение - "в чём-нибудь конкретном" или я вообще чего-то не догоняю? Что тогда делает ключ [B]b[/B] или вы одругом?
[QUOTE=DoggoD;269853]Ключевое выражение - "в чём-нибудь конкретном" или я вообще чего-то не догоняю?[/quote]
Не указанные или 'обобщённые' адреса и порты показываются как '[b]*[/b]'. По UDP вы увидите только [b]*.*[/b]
[QUOTE=DoggoD;269853] Что тогда делает ключ [B]b[/B] или вы о другом?[/QUOTE]
[url]http://ru.wikipedia.org/wiki/Netstat[/url]
Ключ [b]-b[/b] (не обсуждается в статье) показывает насколько я помню состояние портов (+ приложения, которые их занимают + Идентификатор Процесса этих приложений) ТОЛЬКО для [b]TCP[/b].
[quote][b]-a[/b] Показывать состояние всех сокетов; обычно сокеты, используемые серверными процессами, не показываются.
[b]-A[/b] Показывать адреса любых управляющих блоков протокола, связанных с сокетами; используется для отладки.
[b]-i[/b] Показывать состояние автоматически сконфигурированных (auto-configured) интерфейсов. Интерфейсы, статически сконфигурированные в системе, но не найденные во время загрузки, не показываются.
[b]-n[/b] Показывать сетевые адреса как числа. netstat обычно показывает адреса как символы. Эту опцию можно использовать с любым форматом показа.
[b]-r[/b] Показать таблицы маршрутизации. При использовании с опцией -s, показывает статистику маршрутизации.
[b]-s[/b] Показать статистическую информацию по протоколам. При использовании с опцией -r, показывает статистику маршрутизации.[/quote]
Paul
Статью приведенную уже читал давно :)
[QUOTE=p2u;269885]
Ключ [b]-b[/b] (не обсуждается в статье) показывает насколько я помню состояние портов (+ приложения, которые их занимают) ТОЛЬКО для [b]TCP[/b].
Paul[/QUOTE]
Мой частичный вывод [B]netstat -abp udp[/B]
Proto Local Address Foreign
UDP 0.0.0.0:123 * : *
W32Time
[svchost.exe]
UDP 0.0.0.0:500 * : *
IKEEXT
[svchost.exe]
UDP 0.0.0.0:4500 * : *
IKEEXT
[svchost.exe]
UDP 0.0.0.0:5355 * : *
Dnscache
[svchost.exe]
UDP 0.0.0.0:55389 * : *
[spoolsv.exe]
UDP 127.0.0.1:55387 * : *
NlaSvc
[svchost.exe]
UDP 192.168.2.34:137 * : *
[QUOTE=DoggoD;269897]Мой частичный вывод [B]netstat -abp udp[/B][/QUOTE]
Красиво, когда [b]комбинируете[/b] ключи, угу. А теперь посмотрите для себя вывод данных ключа [b]-b[/b] отдельно, о котором вы говорили, для того, чтобы понять, что он делает. У меня выдаёт:
[URL=http://www.radikal.ru][IMG]http://s55.radikal.ru/i147/0808/1e/ca4d5e7c1b97.jpg[/IMG][/URL]
Только TCP + процесс + идентификатор.
ЛОКАЛЬНЫЕ Адреса и порты по UDP показываются; Mad Scientist (топик страртер) это уже указал в первом сообщении. Но в смысле безопасности это ничего дополнительного не даёт. А где удалённые адреса, и состояние сокетов у вас?
Повторяю: Не указанные или 'обобщённые' адреса и порты показываются как '[b]*[/b]'. По UDP вы увидите только '[b]*.*[/b]'.
Вот, что ваша команда у меня выдаёт:
[URL=http://www.radikal.ru][IMG]http://s53.radikal.ru/i139/0808/01/5a30d53d3a51.jpg[/IMG][/URL]
То, что мы видим здесь: так называемые 'Unconnected Endpoints'. Это у меня vpn-туннель по протоколу L2TP (порт 1701). Комьютер зовут [b]P2U[/b]. Удалённый адрес у меня tp.corbina.net; удалённый порт тоже 1701. Но ни адреса, ни удалённого порта не видно. :)
Paul
[QUOTE=p2u;269906]Красиво, когда [b]комбинируете[/b] ключи, угу. А теперь посмотрите для себя вывод данных ключа [b]-b[/b] отдельно, о котором вы говорили, для того, чтобы понять, что он делает...
Только TCP + процесс + идентификатор.
[/QUOTE]
ОК, понял смысел..
Добавлю только немного по части цитаты сверху.. Про [B]-b[/B]
[QUOTE]Displays the executable involved in creating each connection or
listening port. In some cases well-known executables host
multiple independent components, and in these cases the
sequence of components involved in creating the connection
or listening port is displayed. In this case the executable
name is in [] at the bottom, on top is the component it called,
and so forth until TCP/IP was reached. Note that this option
can be time-consuming and will fail unless you have sufficient
permissions.[/QUOTE] Это из встроенной справки.. Я к тому, что речи о [I]ТОЛЬКО[/I] TCP тут нет - это просто дает вывод исполняемого файла.
[QUOTE=Mad Scientist;269138]О удаленном адресе/порте ни слова[/QUOTE][B]Mad Scientist[/B], удаленный адрес - это имя или IP-адрес Вашего текущего DNS-сервера, а порт у него стандартный для запросов по UDP - 53-й.
Утилита для запросов к DNS-серверу: [B]nslookup <имя или IP-адрес DNS-сервера> <имя или IP-адрес, которые требуется получить>[/B]
Если имя или IP-адрес DNS-сервера не указывать, будет выбран текущий DNS-сервер: [B]nslookup <имя или IP-адрес, которые требуется получить>[/B]
Например, запрос может быть таким: [B]nslookup virusinfo.info[/B]
В ответе будут указаны имя и IP-адрес текущего DNS-сервера и имя и IP-адрес сайта вирусинфо.
Доступные команды DNS-серверу: [B]nslookup help[/B]
[QUOTE=p2u]это для файрволов ОЧЕНЬ сложный протокол[/QUOTE][B]p2u[/B], извините, очень сложный чем или почему?
И еще, пожалуйста, что Вы думаете об этом:
если имеется любимый DNS-сервер (надежный, доступный, не отравленный), его айпишник можно вбить в свойства сетевого подключения. Туда же можно добавить и еще один запасной, чуть менее любимый.
если запущена Служба DNS-клиента, то будет сформирован локальный кэш доменных имен, что избавит от повторных запросов и уменьшит время запуска сетевых приложений.
Извините, может кто-то еще поделится соображениями, в чем простота/сложность анализа пакетов по TCP или UDP? И, в частности, для различных утилит или файерволов?
хм..обширную тему Вы хотите затронуть...
PS: используйте TCPDump и будет счастье :)
Ок. Понятно, что слишком открытые обсуждения приносят не только пользу, но и вред.
ну не так все плохо...
по-моему было бы более продуктивным поделиться друг с другом статьями по этому поводу и обсудить их, чем просто высказываться кто что про это думает..
Спасибо за предложение, но у меня нет статей. "Я не волшебник, а только учусь." И учусь не по основному профилю. А Ваши, [B]priv8v[/B], прочел бы с удовольствием.
Эмм... Я имел в виду делиться не своими статьями:) - а вообще - найти что-то (какую-либо большую и подробную статью по этому вопросу) и пообсуждать...
:)
Ок. Буду иметь ввиду.
А пока: Люди! У кого есть интересные статьи? Или ссылки на них? Заранее спасибо.
И опять же: TCPView... TCPDump...
Похоже, что разработчики, наоборот, считают UDP и легальную область его применения настолько простыми, что не заморачиваются всякими утилитами.
Например, применение UDP в приложениях для трансляции/воспроизведения потоковых сервисов реального времени. Простота даже с некоторым ущербом для качества обслуживания.
Еще раз прошу прощения, но мне не дает покоя некоторая недосказанность по сложно/просто. Возможно, кому-то известно больше сведений, чем те, которые есть в известных мне открытых источниках.
В чем сложность/простота для файервола/утилиты в фильтрации данных по UDP/TCP?
1. в определении принадлежности к протоколу UDP/TCP
2. в определении принадлежности к протоколу UDP/TCP и направления IN/OUT
3. в определении принадлежности к протоколу UDP/TCP, направления IN/OUT и записей об UDP сокетах/TCP парах сокетов
4. что-то еще
Спасибо.
[QUOTE=ananas;275335]Еще раз прошу прощения, но мне не дает покоя некоторая недосказанность по сложно/просто. Возможно, кому-то известно больше сведений, чем те, которые есть в известных мне открытых источниках.
В чем сложность/простота для файервола/утилиты в фильтрации данных по UDP/TCP?
1. в определении принадлежности к протоколу UDP/TCP
2. в определении принадлежности к протоколу UDP/TCP и направления IN/OUT
3. в определении принадлежности к протоколу UDP/TCP, направления IN/OUT и записей об UDP сокетах/TCP парах сокетов
4. что-то еще
Спасибо.[/QUOTE]
Можно предположить (могу ошибаться), что Паул имел в виду "то что для передачи данных не нужно устанавливать соединения" - можно данные легче подделать к примеру.
Могу поделиться необычным художественным образом UDP:
[IMG]http://s43.radikal.ru/i100/0808/8d/8f40dc87f8ee.gif[/IMG]
По-моему, эта картинка наиболее наглядно и образно отображает сущность UDP.
;)
zerocorporated, установка соединения в TCP нужна для проверки целостности данных подсчетом числа сегментов для обнаружения потерянных. А целостность самих сегментов TCP, как и датаграмм UDP, проверяется аналогично - по MD5.
priv8v, но это недостаток протокола, а не файервола.
я не говорил про недостатки))
я просто пофлудил)
обсуждать начну завтра утром. сейчас после работы соображалка не работает)
просто раз обсуждаем UDP я решил его наглядно так показать)
Ок. Спасибо, priv8v, буду ждать. Пока у меня созрело только такое суждение: файерволу сложно фильтровать данные по UDP потому, что вилкой сложно хлебать суп.
[QUOTE=ananas;275423]zerocorporated, установка соединения в TCP нужна для проверки целостности данных подсчетом числа сегментов для обнаружения потерянных. А целостность самих сегментов TCP, как и датаграмм UDP, проверяется аналогично - по MD5.
priv8v, но это недостаток протокола, а не файервола.[/QUOTE]
[QUOTE=priv8v;275430]
обсуждать начну завтра утром. сейчас после работы соображалка не работает)
просто раз обсуждаем UDP я решил его наглядно так показать)
[/QUOTE]
Голова у меня тоже шас не очень - дело не в целостности переданных данных а в самом факте установки соединения.
zerocorporated, Ваши и мои данные по Сети гуляют в виде канальных кадров, а не битовой последовательности. Соединение - логическое, т.е. виртуальное.
Согласен с Вами, да, может изначально имелось в виду следующее: к примеру, данные состоят из UDP-датаграмм или TCP-сегментов (некоторые приложения сами могут выбирать протокол). Полученные датаграммы передаются приложению по мере поступления. Сегменты же собираются в кучу кэшем, выстраиваются как единое целое, проверяются, подтверждаются, а затем только передаются приложению. Если произошла подмена части данных, то выявить ее легче среди сегментов при анализе всего объема данных, чем при проверке отдельных датаграмм.
Но и это не проблема файервола.
[QUOTE=ananas;275446]zerocorporated, Ваши и мои данные по Сети гуляют в виде канальных кадров, а не битовой последовательности. Соединение - логическое, т.е. виртуальное.
Согласен с Вами, да, может изначально имелось в виду следующее: к примеру, данные состоят из UDP-датаграмм или TCP-сегментов (некоторые приложения сами могут выбирать протокол). Полученные датаграммы передаются приложению по мере поступления. Сегменты же собираются в кучу кэшем, выстраиваются как единое целое, проверяются, подтверждаются, а затем только передаются приложению. Если произошла подмена части данных, то выявить ее легче среди сегментов при анализе всего объема данных, чем при проверке отдельных датаграмм.
Но и это не проблема файервола.[/QUOTE]
Опять не верно поняли - я имел в виду к примеру то что [URL="http://ru.wikipedia.org/wiki/IP-спуфинг"]IP-спуфинг[/URL] труднее будет провести...
[URL="http://ru.wikipedia.org/wiki/Сетевая_модель_ВОС"]модель OSI[/URL] посмотрите - физический уровень хоть как может передать данные только как поток битов, они просто собираются в так называемые "фрэймы" на уровне выше.
[QUOTE]можно данные легче подделать к примеру[/QUOTE]Я это неправильно понял?[QUOTE]IP-спуфинг труднее будет провести[/QUOTE]Да. Разница принципиальная в контексте. [B]zerocorporated[/B], спасибо за комментарий. И за то, что открыли мне глаза на разницу для физического уровня между протоколами уровней вышележащих. Наконец-то еще кто-то взглянул на модель OSI. Осталось еще и на модель TCP/IP взглянуть. Только, что имел ввиду [B]p2u[/B], так и остается загадкой.
[B]p2u[/B], Вы охотно делитесь своими знаниями и даете много полезных советов, за что, как говорится, Вам большой респект и уважуха. Но поясните, пожалуйста, что Вы имели ввиду.
А для все желающих мини-опрос.
Если кому-то не удобно вилкой хлебать суп, то чья в этом вина?
1. вилки (файервола)
2. супа (UDP трафика)
3. того, кто хлебает
Спасибо.
Юзайте RFC 798 !
[url]http://www.faqs.org/rfcs/rfc768.html[/url]
Ответ исчерпываюший!
[b]Jolly Rojer[/b], простите, это исчерпывающий ответ на какой вопрос?
видимо, имеется в виду, что это ответ на все вопросы - поняв хорошо работу udp можно уже потом самому додумать ответы на все остальные вопросы :)
хотя, возможно, я ошибаюсь :)
Ага, только тем и занимаемся - додумываем. Или вроде, уже додумали. Я уже не вижу, над чем еще думать по поводу UDP. Хотя может, еще кто отпишется.