Namenlose TCP-Verbindungen

[Roland (Gast)]

Hallo,

im Ressourcenmonitor von Windows 8 gibt es eine Übersicht des 
Netzwerkstatus des Computers, in der unter anderem die aktuellen 
TCP-Verbindungen aufgelistet werden. Dabei ist ersichtlich, welcher 
Prozess TCP-Verbindungen aufbaut.

Was mir heute jedoch aufgefallen ist, gelegentlich tauchen Verbindungen 
auf, die offensichtlich keinem Prozess oder einer Prozess-ID zugeordnet 
und lediglich mit '-' bezeichnet werden (siehe Screenshot). Teilweise 
haben diese namenlosen Verbindungen einen scheinbaren Bezug zur 
geöffneten Webseiten im Browser, was auch der verwendetete Port 
nahelegt. Andere Verbindungen widerum stehen - zumindest nicht 
ersichtlich - in keinem Zusammenhang zu Webseiten im Browser oder 
anderen Programmen mit Internetzugriff. Beispielsweise hatte ein 
namenloser Prozess eine Verbindung zu einem russischen Server 
(5.199.212.212), die so in keinem Zusammenhang zu den geöffneten 
Programmen und Webseiten steht.

Da mit das doch etwas seltsam vorkommt, möchte ich Euch gerne fragen, ob 
ihr ähnliches festgestellt habt, oder vielleich eine Erklärung habt.

Vielen Dank,
Roland.

[(prx) A. K. (prx)]

Das sind ehemalige schon lokal geschlossene Verbindungen, die noch ein 
Weilchen aufgehoben werden, damit irgendwelche Nachzügler-Pakete richtig 
verstanden werden. Da sie lokal geschlossen wurden ist keine Assoziation 
mit einem Prozess mehr vorhanden.

Etwas deutlicher wird das in der Kommandozeile mit
  netstat -o
Dort sind das jene mit PID 0. Der Status steht davor, als WARTEND. 
Leider hat Microsoft sich entschlossen, die TCP Zustände einzudeutschen, 
hier TIME_WAIT.

[Roland (Gast)]

Danke für die Erklärung.

Da wird also der Sendetransfer einer Verbindung vom TCP-Stack 
abgearbeitet, wenn der Prozess alle Daten übergeben hat und die 
Verbindung selbst nicht mehr braucht und schließt?

[Axel S. (a-za-z0-9)]

Roland schrieb:
> Da wird also der Sendetransfer einer Verbindung vom TCP-Stack
> abgearbeitet, wenn der Prozess alle Daten übergeben hat und die
> Verbindung selbst nicht mehr braucht und schließt?

Nicht so ganz. TCP ist einigermaßen kompliziert. Siehe das Zustands- 
diagramm z.B. hier: http://www.tcpipguide.com/free/diagrams/tcpfsm.png

Es geht um den Zustand TIME-WAIT, den Microsoft aus irgendeinem Grund 
glaubte, eindeutschen zu müssen. Aus diesem Zustand kommt eine 
TCP-Verbindung nur durch einen Timeout raus. Bessere TCP-Stacks 
verwenden einen dynamischen Timeout, basierend auf der Round-Trip-Time 
zur Lebenszeit der Verbindung. Andere warten einfach stur eine bestimmte 
Zeit. Windows defaultmäßig 4 Minuten(!)

Hintergrund ist, daß noch TCP-Segmente auf der Strecke herumgammeln und 
nach dem Abbau der Verbindung eintreffen können. Der TCP-Stack merkt 
sich, daß er da eine Verbindung hatte, um diese Pakete sinnvoll zuordnen 
zu können.