ถ้าจำได้ว่า DNS ใช้ Port 53 เราก็เริ่มตีความ Connection นี้ได้แล้วส่วนหนึ่ง

10.10.10.25:52784 → 8.8.8.8:53 UDP

บรรทัดสั้นๆ นี้มีข้อมูลมากกว่าหมายเลข Port เริ่มจากฝั่งซ้าย 10.10.10.25:52784 คือ Source IP และ Source Port หรือ IP และ Port ของเครื่องต้นทาง เลข 52784 อยู่ในช่วง 49152–65535 หรือ Dynamic / Private Ports ใน Connection ลักษณะนี้ ตัวเลขดังกล่าวสามารถเป็น Ephemeral Port หรือ Port ชั่วคราว ที่ Client เลือกใช้ระหว่างการสื่อสาร

ส่วนฝั่งขวา 8.8.8.8:53 คือ Destination IP และ Destination Port หรือ IP และ Port ของปลายทางที่ Client กำลังติดต่อ Port 53 ทำให้เราเชื่อมโยง Traffic ชุดนี้กับ DNS ได้ ส่วน UDP บอก Transport Protocol หรือโปรโตคอลที่ใช้รับส่งข้อมูล

พออ่านทั้งบรรทัดร่วมกัน ภาพก็เริ่มชัดขึ้น เครื่อง 10.10.10.25 กำลังติดต่อ DNS Service ที่ปลายทางผ่าน UDP โดยใช้ Port ชั่วคราวของ Client เป็น Source Port จากตัวเลขไม่กี่ชุด เราเริ่มเห็นทิศทางของ Network Conversation แล้ว

นี่เป็นเหตุผลว่าทำไมการรู้จัก Port Number ยังมีประโยชน์กับงาน Network เพราะเวลาเปิด Firewall Log, Packet Capture หรือ Connection Table สิ่งที่เราเห็นมักไม่ได้เขียนเป็นประโยคให้เลยว่า “เครื่องนี้กำลังส่ง DNS Query ไปยัง DNS Server”

ข้อมูลตรงหน้ามักมีหน้าตาประมาณ

Source IP : Source Port → Destination IP : Destination Port + Protocol

ข้อมูล 5 ส่วนนี้มักเรียกรวมกันว่า 5-tuple ซึ่งใช้ระบุ Network Flow

• — Source IP
• — Source Port
• — Destination IP
• — Destination Port
• — Transport Protocol

เมื่ออ่านข้อมูลเหล่านี้สัมพันธ์กันได้ Log หนึ่งบรรทัดก็เริ่มบอกเราได้ว่า ใครกำลังคุยกับใคร และกำลังเรียกใช้ Service อะไร เช่น ถ้าเห็น Connection ไปยัง TCP Port 22 ก็เริ่มเชื่อมโยงปลายทางกับ SSH ถ้าเครื่องเพิ่งเชื่อมต่อ Network และพบ Traffic ผ่าน UDP 67/68 ก็เริ่มมองไปที่ DHCP หรือถ้าเห็น UDP 161 ระหว่าง Monitoring Server กับ Network Device ก็อาจสัมพันธ์กับ SNMP จุดที่น่าสนใจคือ Port ฝั่ง Client ไม่จำเป็นต้องเป็นตัวเลขที่เราคุ้นตา

เราอาจพบ Connection ลักษณะนี้ได้บ่อยๆ

53124 → 443
49802 → 22
52784 → 53

เลขฝั่ง Client เปลี่ยนไปได้ ขณะที่ Port ฝั่ง Service มักเป็นตัวเลขที่คุ้นตามากกว่าในบริการมาตรฐาน ถ้ามองตามการจัดสรร Port Number ของ IANA จะเห็นภาพง่ายขึ้น

• — 0–1023 — System / Well-known Ports
  ช่วงที่มี Service มาตรฐานจำนวนมาก เช่น SSH 22, DNS 53, HTTP 80 และ HTTPS 443
• — 1024–49151 — User / Registered Ports
  ช่วงที่มี Application และ Service ต่างๆ ลงทะเบียนใช้งาน รวมถึง Database และ Software หลายประเภท
• — 49152–65535 — Dynamic / Private Ports
  ช่วงสำหรับการใช้งานแบบ Dynamic หรือ Private และมักพบการนำมาใช้เป็น Ephemeral Port หรือ Port ชั่วคราว ระหว่างการสร้าง Connection

เมื่อเข้าใจ Port Range + Direction + Protocol ข้อมูลใน Log ก็เริ่มนำไปใช้กับ Troubleshooting ได้

• — Client เข้า Application ไม่ได้ เราสามารถดูว่า Connection ถูกส่งไปยัง Destination IP และ Port ที่ต้องการหรือไม่
• — DNS มีปัญหา เราตามได้ว่า Query หรือคำขอถูกส่งออกไปแล้วหรือยัง และมี Traffic ตอบกลับมาหรือไม่
• — Service เดียวกันใช้ได้จาก Network หนึ่ง แต่อีก Network เข้าไม่ได้ ก็เริ่มไล่ต่อไปที่ Route, Network Path, Firewall และ Policy ที่ Traffic ต้องผ่าน

ตรงนี้คือความต่างระหว่างการจำ Port Number กับการนำ Port Number มาอ่าน Traffic จาก

22 = SSH
53 = DNS
443 = HTTPS

เราค่อยๆ ต่อภาพให้ได้ว่า

• — ใครกำลังคุยกับใคร
• — กำลังเรียก Service อะไร
• — ใช้ Protocol ไหน
• — และถ้า Connection ไม่สำเร็จ ควรเริ่มไล่จากส่วนใด

พื้นฐานแบบนี้เชื่อมกับหลายหัวข้อใน CompTIA Network+ ตั้งแต่ TCP/IP, Protocol และ Port, IP Addressing, DNS และ DHCP ไปจนถึง Routing, Switching, Network Security, Monitoring และ Troubleshooting ผู้เรียนจึงได้เชื่อมองค์ประกอบของ Network เข้าด้วยกัน เพื่ออ่านสถานการณ์และวิเคราะห์ปัญหาเป็นลำดับมากขึ้น

ทักษะที่นำไปต่อยอดกับงานได้ เช่น

• — อ่าน Source / Destination IP และ Port เพื่อเข้าใจทิศทางของ Traffic
• — เชื่อม Protocol และ Network Service เช่น DNS, DHCP, SSH และ HTTP/HTTPS กับการทำงานของระบบ
• — วิเคราะห์ปัญหา Connectivity โดยพิจารณา IP, Service, Route และ Network Path ร่วมกัน
• — ใช้ข้อมูลจาก Monitoring และ Troubleshooting เพื่อจำกัดขอบเขตของปัญหาและเลือกจุดตรวจสอบต่อได้เป็นขั้นตอน