netstatのESTABLISHEDについて

Question

確認したいこと

個人でレンタルしているVPSでnetstatコマンドを使用していた際、
知らないIPがESTABLISHEDになってたのですが、知らない誰かが接続してしまっているということでしょうか？
不安になり質問させていただきました。
よろしくお願いします。

発生している問題・エラーメッセージ

netstat -ntp実行時に
下記のような結果がでてきました。
※Local Addressは*で伏せています

Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0   1080 ****.****.****.****        61.177.173.35:31936     ESTABLISHED 4862/sshd: [accepte

試したこと

知らないIPがESTABLISHEDになっている状態で
1.whoコマンドを実行してみましたが、自分のIPしか表示されませんでした。
2.auth.logにも該当のIPがログインした形跡はありませんでした。
3.lastコマンドでも該当のIPはありませんでした。

Comments

[melian]

netstat コマンドの man に記載されていますが、ESTABLISHED という状態は、

The socket has an established connection.

という意味です。つまり、TCP 接続(Layer 4/トランスポート層)が確立された状態なので、ホストへログインする前の認証中でも ESTABLISHED と表示されます。

[kinokotakenoko]

ご回答ありがとうございます。
丁寧な説明助かります。
マニュアル確認してみようと思います。

Answer 1

「ESTABLISHED」=「TCP 接続中」であって、その上のレイヤの SSH でログイン成功しているかどうかはわかりません。
LoginGraceTime (デフォルト 2分) が経過すると、TCP 接続は切れます。

不安であれば、ポート番号を変えるとか、ファイアーウォールなどで接続元を制限するといいと思います。

Comments

[kinokotakenoko]

回答ありがとうございます。
Whoisでip網を調べたら、大陸の方だったので焦りました。
ポート番号変更しておこうと思います。