linux命令--网络监控命令ss

ss是Socket Statistics的缩写。

顾名思义，ss命令可以用来获取socket统计信息，它可以显示和netstat类似的内容。但ss的优势在于它能够显示更多更详细的有关TCP和连接状态的信息，而且比netstat更快速更高效。

【和netstat说再见的原因】

当服务器的socket连接数量变得非常大时，无论是使用netstat命令还是直接cat /proc/net/tcp，执行速度都会很慢。可能你不会有切身的感受，但请相信我，当服务器维持的连接达到上万个的时候，使用netstat等于浪费 生命，而用ss才是节省时间。

天下武功唯快不破。ss快的秘诀在于，它利用到了TCP协议栈中tcp_diag。tcp_diag是一个用于分析统计的模块，可以获得Linux 内核中第一手的信息，这就确保了ss的快捷高效。当然，如果你的系统中没有tcp_diag，ss也可以正常运行，只是效率会变得稍慢。（但仍然比 netstat要快。）

netstat是遍历/proc下面每个PID目录，ss直接读/proc/net下面的统计信息。所以ss执行的时候消耗资源以及消耗的时间都比netstat少很多

 

【用数据说话】

为了让你更坚决的和netstat说再见，列举一些测试数据，以便证明ss的确名不虚传。

当服务器维持3万个socket连接，Admin需要计算具体的连接数量时，不同情况的耗时如下：

#time ss

#time nestat -at

 

netstat -at | wc  耗时 15.60 秒
ss -atr     | wc  耗时  5.40 秒（未利用tcp_diag）
ss -atr     | wc  耗时  0.47 秒（利用tcp_diag）

 

　　用time 命令分别获取通过netstat和ss命令获取程序和概要占用资源所使用的时间。在服务器连接数比较多的时候，netstat的效率完全没法和ss比。

【好马配上好鞍】

几乎所有的Linux系统都会默认包含netstat命令，但并非所有系统都会默认包含ss命令。netstat命令是net-tools工具集中的一员：

 

#rpm -q net-tools
net-tools-1.60-109.el6.i686

 

 

而ss命令是iproute工具集中的一员： 

 

#rpm -qf /usr/sbin/ss
iproute-2.6.32-17.el6.i686
#rpm -q iproute
iproute-2.6.32-17.el6.i686

 

 如果你无法使用ss命令，那么可能是缺少了iproute，需要安装一下：yum install iproute iproute-doc

 

【前浪net-tools和后浪iproute】

net-tools是一套标准的Unix网络工具，用于配置网络接口、设置路由表信息、管理ARP表、显示和统计各类网络信息等等，但是遗憾的是，这个工具自2001年起便不再更新和维护了。

即将隆重登场的便是iproute，这是一套可以支持IPv4/IPv6网络的用于管理TCP/UDP/IP网络的工具集，这套工具由Stephen Hemminger负责维护和升级，目前的大版本号是2。

从某种意义上说，iproute工具集几乎可以替代掉net-tools工具集，具体的替代方案是这样的：

用途	net-tool（被淘汰）	iproute2
地址和链路配置	ifconfig	ip addr, ip link
路由表	route	ip route
邻居	arp	ip neigh
VLAN	vconfig	ip link
隧道	iptunnel	ip tunnel
组播	ipmaddr	ip maddr
统计	netstat	ss

【版本和帮助】

想获得ss命令的帮助信息和版本信息，都非常简单，你应该可以猜到的：

 

#ss -h //获得帮助信息，直接man ss会更全面

#ss -V //取得版本号，-v也支持

ss utility, iproute2-ss091226

 

# ss -h
Usage: ss [ OPTIONS ]
       ss [ OPTIONS ] [ FILTER ]
   -h, --help           this message
   -V, --version        output version information
   -n, --numeric        don't resolve service names
   -r, --resolve       resolve host names
   -a, --all            display all sockets
   -l, --listening      display listening sockets
   -o, --options       show timer information
   -e, --extended      show detailed socket information
   -m, --memory        show socket memory usage
   -p, --processes      show process using socket
   -i, --info           show internal TCP information
   -s, --summary        show socket usage summary
   -4, --ipv4          display only IP version 4 sockets
   -6, --ipv6          display only IP version 6 sockets
   -0, --packet display PACKET sockets
   -t, --tcp            display only TCP sockets
   -u, --udp            display only UDP sockets
   -d, --dccp           display only DCCP sockets
   -w, --raw            display only RAW sockets
   -x, --unix           display only Unix domain sockets
   -f, --family=FAMILY display sockets of type FAMILY
   -A, --query=QUERY, --socket=QUERY
       QUERY := {all|inet|tcp|udp|raw|unix|packet|netlink}[,QUERY]
   -D, --diag=FILE      Dump raw information about TCP sockets to FILE
   -F, --filter=FILE   read filter information from FILE
       FILTER := [ state TCP-STATE ] [ EXPRESSION ]

 

 

【ss选项统计】

ss的选项既不多也不复杂，除去非功能性选项（-h/-v）外，ss共有22个选项。

每一个选项都是既支持短选项（如-s），也支持长选项（如–summary）。

我们不会在这里一一介绍，因为这样既枯燥又乏味，而且不出三分钟，你就会昏昏欲睡了。所以，我们会从实际需求和实际问题出发，这样效果会好些。

常用ss命令：

ss -l 显示本地打开的所有端口
ss -pl 显示每个进程具体打开的socket
ss -t -a 显示所有tcp socket
ss -u -a 显示所有的UDP Socekt
ss -o state established '( dport = :smtp or sport = :smtp )' 显示所有已建立的SMTP连接
ss -o state established '( dport = :http or sport = :http )' 显示所有已建立的HTTP连接
ss -x src /tmp/.X11-unix/* 找出所有连接X服务器的进程
ss -s 列出当前socket详细信息:
显示sockets简要信息
列出当前已经连接，关闭，等待的tcp连接

 

【场景一：我想查看当前服务器的网络连接统计】

 列出当前已经连接，关闭，等待的tcp连接，显示sockets简要信息

$ ss -s
Total: 295 (kernel 312)
TCP:   48 (estab 1, closed 31, orphaned 0, synrecv 0, timewait 0/0), ports 13
 
Transport Total     IP        IPv6
*         312       -         -
RAW       0         0         0
UDP       2         2         0
TCP       17        12        5
INET      19        14        5
FRAG      0         0         0

在服务器产生大量sockets连接时，我们会使用这个命令在做宏观统计。

【场景二：我想查看所有打开的网络端口】

 列出当前监听端口

$ ss -l
Recv-Q Send-Q           Local Address:Port               Peer Address:Port
0      128                         :::webcache                      :::*
0      128                         :::http                         :::*
0      128                         :::snapenetio                      :::*
0      128                          *:snapenetio                       *:*
0      50                           *:8531                          *:*
0      9                           :::ftp                          :::*
0      9                            *:ftp                           *:*
0      128                          *:ddi-tcp-1                       *:*
0      100                        ::1:smtp                         :::*
0      100                  127.0.0.1:smtp                          *:*
0      128                          *:8541                          *:*
0      128                  127.0.0.1:entextxid                       *:*
0      50                           *:12421                         *:*
0      10                           *:amqp                          *:*
0      128                          *:12521                         *:*
0      50                           *:mysql                         *:*

ss列出每个进程名及其监听的端口

# ss -pl

如果使用-pl参数的话，则会列出具体的程序名称。你会在输出中看到类似于这样的内容：("nginx",15786,6）

从中可以知道，某个socket连接是属于nginx程序的，nginx程序的PID是15786。

【场景三：我想查看这台服务器上所有的socket连接】

很简单，直接使用-a选项即可列出所有网络连接。

ss -a

如果只想查看TCP sockets，那么使用-ta选项；
如果只想查看UDP sockets，那么使用-ua选项；
如果只想查看RAW sockets，那么使用-wa选项；
如果只想查看UNIX sockets，那么使用-xa选项。

 

查看MySQL端口：

[root@localhost ~]# ss -lntup|grep 3306
tcp  LISTEN 0 50  *:3306 *:* users:(("mysqld",1951,10))

 

---

 ss列出所有http连接中的连接

# ss -o state established '( dport = :http or sport = :http )'

·以上包含对外提供的80，以及访问外部的80

·用以上命令完美的替代netstat获取http并发连接数，监控中常用到

ss列出本地哪个进程连接到x server

# ss -x src /tmp/.X11-unix/*

ss列出处在FIN-WAIT-1状态的http、https连接

# ss -o state fin-wait-1 '( sport = :http or sport = :https )'

ss常用的state状态：

established
syn-sent
syn-recv
fin-wait-1
fin-wait-2
time-wait
closed
close-wait
last-ack
listen
closing
all : All of the above states
connected : All the states except for listen and closed/除了listen and closed的所有状态
synchronized : All the connected states except for syn-sent/所有已连接的状态除了syn-sent
bucket : Show states, which are maintained as minisockets, i.e. time-wait and syn-recv.
big : Opposite to bucket state./和bucket相反.

FILTER-NAME-HERE 可以代表上边任意一个

ss使用IP地址筛选

1)匹配本地地址和端口号

ss src ADDRESS_PATTERN
src：表示来源,ADDRESS_PATTERN：表示地址规则

＃　列出来至120.33.31.1,80端口的连接
ss src 120.33.31.1:http
ss src 120.33.31.1:80

2)匹配远程地址和端口号

ss dst ADDRESS_PATTERN

ss dst 120.33.31.1:http
ss dst 120.33.31.1:80

ss使用端口筛选

ss dport OP PORT
OP:是运算符
PORT：表示端口
dport：表示过滤目标端口、相反的有sport

ss dport OP PORT 远程端口和一个数比较；
ss sport OP PORT 本地端口和一个数比较。

OP运算符如下：

<= or le : 小于等于端口号
>= or ge : 大于等于端口号
== or eq : 等于端口号
!= or ne : 不等于端口号
< or lt : 小于这个端口号 
> or gt : 大于端口号

OP实例

ss sport = :http 也可以是 ss sport = :80
ss dport = :http
ss dport \> :1024
ss sport \> :1024
ss sport \< :32000
ss sport eq :22
ss dport != :22
ss state connected sport = :http
ss \( sport = :http or sport = :https \)
ss -o state fin-wait-1 \( sport = :http or sport = :https \) dst 192.168.1/24

 

 

转载自：

1、运维小技巧：使用ss命令代替 netstat

2、Linux性能测试 netstat命令

3、LINUX网络状态工具SS命令使用详解

4、tcp socket文件句柄泄漏