Linux命令netstat详解

今天来学习一个命令netstat,官方文档 https://linux.die.net/man/8/netstat。

简介

netstat 命令用于显示各种网络相关信息，如网络连接，路由表，接口状态 (Interface Statistics)，masquerade 连接，多播成员 (Multicast Memberships) 等等。

参数

-r : 显示内核路由表。
-g : 显示IPv4和IPv6的多播组成员信息。
-i : 显示所有网络接口的表。
-M : 显示伪装连接的列表。
-s : 显示每个协议的统计信息。
-v : 详细地告诉用户发生了什么。
-n : 显示数字地址(ip)，而不是主机名.
-c : 每个一个指定时间执行以下netstat
-e : 显示扩展信息
-o : 显示与网络相关的时间
-p : 显示每个socket的 PID 和 程序name
-l : 只显示在侦听中的socket
-a : 显示在侦听中和不在侦听中的socket
--numeric-hosts : 输出host
--numeric-ports : 输出端口
--numeric-users : 输出用户id

输出

Proto : socket使用的协议。
Recv-Q : 表示收到的数据已经在本地接收缓冲，但是还有多少没有被进程取走。
Send-Q :对方没有收到的数据或者说没有Ack的,还是本地缓冲区。

• Recv-Q Send-Q分别表示网络接收队列，发送队列。Q是Queue的缩写。
• 这两个值通常应该为0，如果不为0可能是有问题的。packets在两个队列里都不应该有堆积状态。可接受短暂的非0情况。短暂的Send-Q队列发送pakets非0是正常状态。
• 如果接收队列Recv-Q一直处于阻塞状态，可能是遭受了拒绝服务 denial-of-service 攻击。
• 如果发送队列Send-Q不能很快的清零，可能是有应用向外发送数据包过快，或者是对方接收数据包不够快。
  Local Address : 本地地址
Foreign Address : 目标地址
State :socket的状态。 UDP连接没有状态为空

State 详解(详细解释戳：https://www.jianshu.com/p/a546cd27f96e)：

• ESTABLISHED : socket已建立连接 （三次握手中的第三次）
• SYN_SENT : TCP主动打开，发送SYN （三次握手中的第一次）
• SYN_RECV : 接受到SYN，并且发送SYN，ACK（SYN+1）（三次握手中第二次的状态）
• FIN_WAIT1 : 应用主动关闭连接状态 （四次握手第一次的状态 ）
• FIN_WAIT2 : 对方响应关闭请求后的状态（ACK=FIN+1）四次握手第二次的状态 ）
• TIME_WAIT : 接收到对方已经关闭连接的响应后进入的状态。（四次握手的第三次）
• CLOSED :连接已经关闭
• CLOSE_WAIT : 远端接到被动关闭请求，发送ack。
• LAST_ACK : 远端传输已经关闭，发送已关闭信息。
• LISTEN : socket正在监听传入的连接。这些socket不包括在输出中，除非 --listening (-l) or --all (-a)
• CLOSING :连接已经关闭时的状态，但是socket四次握手中的数据还没有发送完。
• UNKNOWN : 未知状态。
  User : 用户名或者uid
Pid :进程id

使用方法

netstat -a 显示所有socket

Active Internet connections (including servers)
Proto Recv-Q Send-Q  Local Address          Foreign Address        (state)
tcp4       0      0  10.222.69.194.52290    111.202.100.40.http    ESTABLISHED
tcp4       0      0  10.222.69.194.52289    10.210.97.18.https     ESTABLISHED
tcp4       0      0  10.222.69.194.52281    10.210.97.18.https     ESTABLISHED
tcp4       0      0  10.222.69.194.52278    10.81.254.21.ndl-aas   ESTABLISHED
tcp4      31      0  10.222.69.194.52277    202.108.23.152.https   CLOSE_WAIT
tcp4       0      0  10.222.69.194.52276    124.67.215.8.https     ESTABLISHED
tcp4       0      0  10.222.69.194.52242    10.81.254.21.ndl-aas   ESTABLISHED
tcp4       0      0  10.222.69.194.51973    17.252.156.36.5223     ESTABLISHED
tcp6       0      0  *.51538                *.*                    LISTEN
tcp4       0      0  *.51538                *.*                    LISTEN
tcp4       0      0  10.222.69.194.49809    223.167.84.139.http-al ESTABLISHED
tcp4       0      0  10.222.69.194.49765    172.16.78.199.ssh      ESTABLISHED
tcp4       0      0  10.222.69.194.49738    10.210.97.118.http     CLOSE_WAIT
tcp4       0      0  *.*                    *.*                    CLOSED
tcp4       0      0  localhost.15292        *.*                    LISTEN
tcp46      0      0  *.11300                *.*                    LISTEN
tcp46      0      0  *.49937                *.*                    LISTEN
tcp4       0      0  *.49937                *.*                    LISTEN
tcp4       0      0  10.222.69.194.52291    13.107.5.88.https      TIME_WAIT

netstat -t 显示所有tcp

Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 localhost:cslistener    localhost:59022         TIME_WAIT
...

找出运行程序的端口 netstat -ap | grep ssh

tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1153/sshd
tcp        0      0 10.13.2.215:22          172.16.78.199:1628      ESTABLISHED 10746/sshd:---
tcp        0      0 10.13.2.215:22          10.55.21.253:27749      ESTABLISHED 6017/sshd:---
tcp        0      0 10.13.2.215:22          172.16.78.199:11353     ESTABLISHED 4387/sshd:---

查找某个端口是否被占用 netstat -ap | grep ':80'

查看连接80端口最多的的IP地址 netstat -tn | grep '127.0.0.1:80' |awk '{print 1}'| sort | uniq -c | sort -nr | less

  2796 10.41.1.103
   2746 10.41.1.64
   2712 10.41.1.65
   2684 10.41.1.104

查看TCP连接最多状态 netstat -t |awk '{print $6}' | sort | uniq -c | sort -rn

  64342 TIME_WAIT
    192 FIN_WAIT2
     88 ESTABLISHED
      7 FIN_WAIT1
      3 SYN_RECV
      1 LAST_ACK
      1 Foreign

netstat 命令非常的好用，非常适合查看网络连接的状态。为了更好使用这个命令，最好了解一下TCP的三次握手和四次握手。