shell natstate命令

shell natstate命令 

常用命令： netstat -ap | grep ssh  找出ssh运行的端口

 

netstat概念

 

  Netstat是一个监控TCP/IP网络的非常有用的工具，它可以显示路由表、实际的TCP网络连接，TCP和UDP监听，进程内存管理以及每一个网络接口设备的状态信息。Netstat用于显示与IP、TCP、UDP和ICMP协议相关的统计数据，一般用于检验本机各端口的网络连接情况，让用户得知有哪些网络连接正在运作。

 

  如果你的计算机有时候接收到的数据包导致出错数据或故障，你不必感到奇怪，TCP/IP可以容许这些类型的错误，并能够自动重发数据包。但如果累计的出错情况数目占到所接收的IP数据报相当大的百分比，或者它的数目正迅速增加，那么你就应该使用Netstat查一查为什么会出现这些情况了。

 

  在命令行模式下，输入 netstat /? 可以显示帮助信息。

Netstat将提示以下统计信息：

  1、协议（TCP或UDP）

  2、本地地址：在本地计算机和正在使用的端口号的 IP 地址。 如果不指定-n参数显示在本地计算机的 IP 地址相对应的名称和端口的名称。如果端口尚未建立，端口号显示为星号。

  3、外部地址：套接字连接到远程计算机的 IP 地址和端口号。 如果不指定-n参数显示对应的 IP 地址和端口的名称。 如果端口尚未建立，端口号显示为星号。

  4、状态：表示一个TCP连接的状态，可能的状态如下所示：

     LISTENING：(Listening for a connection.) 侦听来自远方的TCP端口的连接请求

     SYN-SENT：(Active; sent SYN. Waiting for a matching connection request after having sent a connection request.) 再发送连接请求后等待匹配的连接请求

     SYN-RECEIVED：(Sent and received SYN. Waiting for a confirming connection request acknowledgment after having both received and sent connection requests.) 再收到和发送一个连接请求后等待对方对连接请求的确认

     ESTABLISHED：(Connection established.) 代表一个打开的连接

     FIN-WAIT-1：(Closed; sent FIN.) 等待远程TCP连接中断请求，或先前的连接中断请求的确认

     FIN-WAIT-2：(Closed; FIN is acknowledged; awaiting FIN.) 从远程TCP等待连接中断请求

     CLOSE-WAIT：(Received FIN; waiting to receive CLOSE.) 等待从本地用户发来的连接中断请求

     CLOSING：(Closed; exchanged FIN; waiting for FIN.) 等待远程TCP对连接中断的确认

     LAST-ACK：(Received FIN and CLOSE; waiting for FIN ACK.) 等待原来的发向远程TCP的连接中断请求的确认

     TIME-WAIT：(In 2 MSL (twice the maximum segment length) quiet wait after close. ) 等待足够的时间以确保远程TCP接收到连接中断请求的确认

     CLOSED：(Connection is closed.) 没有任何连接状态

    有关TCP 连接的状态的详细信息，请参阅 RFC 793

不带选项

  不带参数的netstat命令，显示活动的 TCP 连接。官方描述为：Used without parameters, netstat displays active TCP connections.

   

netstat命令用于显示各种网络相关信息，如网络连接，路由表，接口状态 (Interface Statistics)，masquerade 连接，多播成员 (Multicast Memberships) 等等。

常见参数：

-a (all)显示所有选项，默认不显示LISTEN相关       -p 显示建立相关链接的程序名
-t (tcp)仅显示tcp相关选项                  -r 显示路由信息，路由表
-u (udp)仅显示udp相关选项                  -e 显示扩展信息，例如uid等
-n 拒绝显示别名，能显示数字的全部转化成数字。     -s 按各个协议进行统计
-l 仅列出有在 Listen (监听) 的服務状态         -c 每隔一个固定时间，执行该netstat命令。

提示：LISTEN和LISTENING的状态只有用-a或者-l才能看到

实用命令：

列出所有端口 (包括监听和未监听的)

  列出所有端口 netstat -a

  列出所有 tcp 端口 netstat -at

  列出所有 udp 端口 netstat -au

列出所有处于监听状态的 Sockets

  只显示监听端口 netstat -l

  只列出所有监听 tcp 端口 netstat -lt

  只列出所有监听 udp 端口 netstat -lu

  只列出所有监听 UNIX 端口 netstat -lx

显示每个协议的统计信息

  显示所有端口的统计信息 netstat -s

  显示 TCP 或 UDP 端口的统计信息 netstat -st 或 -su

在 netstat 输出中显示 PID 和进程名称 netstat -p

在 netstat 输出中不显示主机，端口和用户名 (host, port or user)

当你不想让主机，端口和用户名显示，使用 netstat -n。将会使用数字代替那些名称。

同样可以加速输出，因为不用进行比对查询。

显示核心路由信息 netstat -r

注意： 使用 netstat -rn 显示数字格式，不查询主机名称。

找出程序运行的端口

并不是所有的进程都能找到，没有权限的会不显示，使用 root 权限查看所有的信息。（所有命令都有权限，同样的命令，用root和非root执行效果会不一样）

# netstat -ap | grep ssh
 tcp        1      0 dev-db:ssh           101.174.100.22:39213        CLOSE_WAIT  -
 tcp        1      0 dev-db:ssh           101.174.100.22:57643        CLOSE_WAIT  -

找出运行在指定端口的进程

# netstat -an | grep ':80'

显示网络接口列表

# netstat -i
 Kernel Interface table
 Iface   MTU Met   RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
 eth0       1500 0         0      0      0 0             0      0      0      0 BMU
 eth2       1500 0     26196      0      0 0         26883      6      0      0 BMRU
 lo        16436 0         4      0      0 0             4      0      0      0 LRU

显示详细信息，像是 ifconfig 使用 netstat -ie:

# netstat -ie
 Kernel Interface table
 eth0      Link encap:Ethernet  HWaddr 00:10:40:11:11:11
 UP BROADCAST MULTICAST  MTU:1500  Metric:1
 RX packets:0 errors:0 dropped:0 overruns:0 frame:0
 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
 collisions:0 txqueuelen:1000
 RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)
 Memory:f6ae0000-f6b00000

IP和TCP分析

查看连接某服务端口最多的的IP地址

wss8848@ubuntu:~$ netstat -nat | grep "192.168.1.15:22" |awk '{print $5}'|awk -F: '{print $1}'|sort|uniq -c|sort -nr|head -20
18 221.136.168.36
3 154.74.45.242
2 78.173.31.236
2 62.183.207.98
2 192.168.1.14
2 182.48.111.215
2 124.193.219.34
2 119.145.41.2
2 114.255.41.30
1 75.102.11.99

TCP各种状态列表

wss8848@ubuntu:~$ netstat -nat |awk '{print $6}'
established)
Foreign
LISTEN
TIME_WAIT
ESTABLISHED
TIME_WAIT
SYN_SENT

先把状态全都取出来,然后使用uniq -c统计，之后再进行排序。

wss8848@ubuntu:~$ netstat -nat |awk '{print $6}'|sort|uniq -c
143 ESTABLISHED
1 FIN_WAIT1
1 Foreign
1 LAST_ACK
36 LISTEN
6 SYN_SENT
113 TIME_WAIT
1 established)

最后的命令如下:
netstat -nat |awk '{print $6}'|sort|uniq -c|sort -rn

参考资料1:  https://www.cnblogs.com/ggjucheng/archive/2012/01/08/2316661.html

参考资料2：  https://blog.csdn.net/chenlycly/article/details/52142865