xucancan

@Supershell 综上，我觉得首先要明确问题的解决域，它是操作系统和网络交集区域，那么对于 Linux 来讲就是系统内核了，所以 strace 、epbf 这类工具看起来是比较合适的

@Supershell 个人的浅薄理解仅供参考
到了网络传输层面操作系统的进程信息是丢失的，举个例子，从路由器层面可以观测到主机哪个主机对哪些域名进行访问（ dns 查询数据是明文的），但不包含进程相关的信息，因为网络通讯和进程属于两个不同的域，上下文是不互通的，也确实不需要
横向比较，题主目的有点像 GFW 识别翻墙流量，有从流量特征层面识别的方法，例如 LTS in LTS 的包长度特征，或者代理协议的握手特征，但这都是基于“明确证明目标”的，但对于你的场景可能问题都无法被描述