| 用途 | 识别绕行通道 |
|---|---|
| 错配示例 | 443 无 TLS 握手 / 53 上非 DNS 载荷 / ICMP 携带长数据 |
抽查
抽查
tshark -r sample.pcap -Y 'tcp.port==443 and not tls' -T fields -e ip.src -e ip.dst | head
tshark -r sample.pcap -Y 'icmp and data.len>100' | head确认错配后回到端点进程找主体。
隧道协议识别要点
非标准隧道常借常见端口：协议特征与端口的错配（如 443 端口跑非 TLS）是重要观察点。
易错点
- 部分私有协议会自建加密且复用 443，需多特征交叉
- 中间设备改写端口会干扰错配判断
数据来源与参考
- RFC 793/768（TCP/UDP）
- ICMP 隧道检测实践文章