Comprendre les adresses d’écoute

Machine : VM.

sudo ss -lntp

• -l : sockets en écoute.
• -n : adresses et ports numériques.
• -t : TCP uniquement ; cette commande ne présente pas les sockets UDP.
• -p : processus associés, avec les permissions nécessaires.

Adresse locale	Signification
127.0.0.1:22	Écoute sur la boucle locale IPv4 de cette machine
0.0.0.0:22	Écoute sur toutes les adresses IPv4 locales
192.168.122.141:22	Écoute sur cette adresse IPv4 précise
[::]:22	Écoute sur toutes les adresses IPv6 locales ; le comportement IPv4 dépend de la configuration

« Local » dans la VM signifie dans la VM, pas sur son hôte physique.

0.0.0.0 ne signifie pas « tout client est autorisé » : le routage, le pare-feu et l’authentification restent déterminants.

Exemples de résultats

• SSH : 0.0.0.0:22 et [::]:22.
• Port 53 : 127.0.0.54:53 et 127.0.0.53%lo:53, écoutes locales associées au port DNS. %lo indique l’interface de boucle locale.
• Port 5355 : écoutes IPv4 et IPv6 ; port habituel de LLMNR, propriétaire à identifier avec les droits appropriés.
• Port 9090 : *:9090, associé ensuite à Cockpit par inspection de l’unité socket.

Dans la colonne distante, 0.0.0.0:* signifie qu’aucun correspondant précis n’est associé à cette socket en écoute. Ce n’est pas une règle de pare-feu.

Pour une socket TCP LISTEN, Recv-Q décrit la file courante des connexions en attente d’acceptation et Send-Q sa limite. Les valeurs 128 ou 4096 affichées ici ne comptent pas les connexions actives du service.

Identifier le processus

sudo ss -lntp '( sport = :22 or sport = :53 or sport = :5355 or sport = :9090 )'

Dans cet exemple, le port 9090 est détenu par systemd, PID 1. Le service associé peut être identifié avec systemctl list-sockets.