Do monitorowania lokalnych połączeń wykorzystuje się polecenie netstat, ponieważ pokazuje ono informacje o stanie stosu sieciowego widziane "z poziomu hosta": aktywne sesje (np. zestawione połączenia TCP), porty oczekujące na połączenia (nasłuch), a często także podstawowe statystyki komunikacji. Tego typu widok jest typowy w diagnostyce: pozwala sprawdzić, czy usługa nasłuchuje na właściwym porcie, czy istnieją podejrzane połączenia wychodzące oraz czy liczba połączeń rośnie nienaturalnie.
Pozostałe polecenia nie służą do tego celu:
- host to narzędzie do sprawdzania informacji DNS (np. rozwiązywania nazw domenowych na adresy IP). Pomaga w diagnostyce nazw i rekordów, ale nie pokazuje listy lokalnych połączeń.
- dir jest poleceniem związanym z systemem plików (listowanie zawartości katalogu). Nie dostarcza danych o połączeniach ani o portach.
- route add służy do dodawania wpisów w tablicy routingu. To komenda konfiguracyjna (zmienia trasowanie), a nie narzędzie monitorujące aktualne połączenia.
W praktyce egzaminacyjnej warto zapamiętać prostą regułę: gdy pytanie dotyczy "co się aktualnie łączy/nasłuchuje", szuka się narzędzia pokazującego stany połączeń i porty. Gdy dotyczy "czy działa rozwiązywanie nazw", wybiera się narzędzia DNS, a gdy dotyczy "jak komputer kieruje ruch", wchodzą w grę polecenia od routingu. Takie rozróżnienie pomaga unikać odpowiedzi opartych wyłącznie na skojarzeniach.
