Linux netstat命令结果分析

发布于2019-01-15 16:28:37阅读 2K0

一：获取数据

使用命令

netstat -anp | less

//命令介绍：

netstat ： linux中查看网络状态的命令

-a : 显示所有的连接

-n : 以ip格式显示

-p : 显示连接对应的进程

netstat命令详解请移步：http://man.linuxde.net/netstat

得到结果

Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN      1/systemd           
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      458/sshd            
tcp        0     52 10.105.254.117:22       124.251.53.238:58615    ESTABLISHED 29936/sshd: root@pt 
tcp6       0      0 :::3306                 :::*                    LISTEN      32519/mysqld        
tcp6       0      0 :::111                  :::*                    LISTEN      5737/rpcbind        
tcp6       0      0 :::22                   :::*                    LISTEN      458/sshd            
udp        0      0 0.0.0.0:111             0.0.0.0:*                           5737/rpcbind        
udp        0      0 0.0.0.0:824             0.0.0.0:*                           5737/rpcbind        
udp6       0      0 :::111                  :::*                                5737/rpcbind        
udp6       0      0 :::824                  :::*                                5737/rpcbind        
Active UNIX domain sockets (servers and established)
Proto RefCnt Flags       Type       State         I-Node   PID/Program name     Path
unix  2      [ ACC ]     STREAM     LISTENING     130995418 32519/mysqld         /var/lib/mysql/mysql.sock
unix  2      [ ACC ]     STREAM     LISTENING     12137    454/lsmd             /var/run/lsm/ipc/simc
unix  2      [ ]         DGRAM                    6767     1/systemd            /run/systemd/notify
unix  2      [ ]         DGRAM                    6769     1/systemd            /run/systemd/cgroups-agent
unix  2      [ ACC ]     STREAM     LISTENING     6778     1/systemd            /run/systemd/journal/stdout
unix  5      [ ]         DGRAM                    6781     1/systemd            /run/systemd/journal/socket
unix  8      [ ]         DGRAM                    6783     1/systemd            /dev/log
unix  2      [ ACC ]     STREAM     LISTENING     9601     1/systemd            /run/lvm/lvmetad.socket
unix  2      [ ]         DGRAM                    9613     1/systemd            /run/systemd/shutdownd
unix  2      [ ACC ]     STREAM     LISTENING     9615     1/systemd            /run/lvm/lvmpolld.socket
unix  2      [ ACC ]     STREAM     LISTENING     11170    1/systemd            /var/run/rpcbind.sock
unix  2      [ ACC ]     STREAM     LISTENING     12196    454/lsmd             /var/run/lsm/ipc/sim
unix  2      [ ACC ]     STREAM     LISTENING     11173    1/systemd            /var/run/dbus/system_bus_socket
unix  2      [ ACC ]     STREAM     LISTENING     11944    462/acpid            /var/run/acpid.socket
unix  2      [ ACC ]     STREAM     LISTENING     9448     1/systemd            /run/systemd/private
unix  2      [ ACC ]     SEQPACKET  LISTENING     9464     1/systemd            /run/udev/control

二：结果分析

分为两部分：
- Active Internet connections（有源Internet连接）：用于网络连接传输
- Active UNIX domain sockets（有源UNIX套接字）：只能用于本地通信，性能比第一种好
Active Internet connections 部分：
字段介绍：
- Proto ：该连接所使用的协议
- Recv-Q ：接受队列
- Send-Q ：发送队列
- Local Address：本地ip:port
- Foreign Address ：远程主机ip:port
- State ：连接所处的状态
- PID/Program name ：使用该连接的进程id和name
相关字段作用：
- Proto ：通过此字段可以看到连接使用的是什么协议，主要是TCP协议还是UDP协议，还有TCP6、UDP6这就是使用了ipv6的协议
- Recv-Q ：表示收到的数据已经在本地接收缓冲，但是还有多少没有被进程取走，recv()。如果接收队列Recv-Q一直处于阻塞状态，也就是Recv-Q值不为零并且值挺大，可能是遭受了Dos 攻击。
- Send-Q ：对方没有接受的数据,仍然在本地缓冲区中。如果发送队列Send-Q不能很快的清零，可能是有应用向外发送数据包过快，或者是对方接收数据包不够快。这时候就要调整发送速度或者接受速度了。例如：如果看到是大量的 send-Q ,可以判定是发送数据给目的地址的时候出现了阻塞的问题，导致了包堆积在本地缓存中，不能成功发出去。那么问题就可能产生在了客户端，根据业务逻辑可以看看是不是客户端发送的TCP长连接数量过多。验证办法，尝试减少客户端和服务的长连接.查看效果。
- Recv-Q 和 Send-Q ：这两个值通常应该为0，如果不为0可能是有问题的。packets在两个队列里都不应该有堆积状态。可接受短暂的非0情况。
  - 在正常情况下， LISTEN 状态中: Recv-Q 表示的当前等待服务端调用 accept 完成三次握手的 listen backlog 数值，也就是说，当客户端通过 connect() 去连接正在 listen() 的服务端时，这些连接会一直处于Recv-Q这个queue 里面直到被服务端 accept()；Send-Q 表示的则是最大的 listen backlog 数值。
  - 其余状态: 非 LISTEN 状态之前理解的没有问题。Recv-Q 表示 receive queue 中的 bytes 数量；Send-Q 表示 send queue 中的 bytes 数值。

- State：标识tcp连接状态，比如TCP的状态有：（图片来自：https://www.cnblogs.com/qingergege/p/6603488.html）

Active UNIX domain sockets 部分：
字段介绍：
- Proto ：该连接所使用的协议
- RefCnt：引用计数（即通过此套接字附加的进程），也就是连接到本套接口上的进程数量
- Flags："The flags displayed are SO_ACCEPTON (displayed as ACC), SO_WAITDATA (W) or SO_NOSPACE (N). SO_ACCECPTON is used on unconnected sockets if their corresponding processes are waiting for a connect request. The other flags are not of normal interest." 即：显示的标志有SO_ACCEPTON（显示为ACC），SO_WAITDATA（W）或SO_NOSPACE（N）。 SO_ACCECPTON进程正在等待连接请求还未连接的套接字。
- Type：套接字的类型
  - 有几种类型的套接字访问：
  - SOCK_DGRAM：数据报（无连接）模式。
  - SOCK_STREAM：流（连接）套接字。
  - SOCK_RAW：原始套接字。
  - SOCK_RDM：这个服务器提供可靠传递的消息。
  - SOCK_SEQPACKET：这是一个顺序数据包套接字。
  - SOCK_PACKET：原始接口访问套接字。
- State：套接字当前的状态
  - 该字段将包含以下状态：
  - FREE：未分配套接字。
  - LISTENING：套接字正在侦听连接请求。如果指定--listening（-l）或--all（-a）选项，则此类套接字仅包含在输出中。
  - CONNECTING：套接字即将建立连接。
  - CONNECTED：已连接套接字。
  - DISCONNECTING ：套接字正在断开连接。
  - (empty) ：套接字未连接到另一个套接字。
- PID/Program name ：使用该连接的进程id和name
- I-Node：unix系统文件系统中每个文件都存在的inode
- Path：”This is the path name as which the corresponding processes attached to the socket.“ 即：代表附加到套接字的相应进程的路径名

实用命令实例

1. 列出所有端口 (包括监听和未监听的)

列出所有端口:     netstat -a
列出所有tcp端口:  netstat -at
列出所有udp端口:  netstat -au

2. 列出所有处于监听状态的 Sockets

只显示监听端口:          netstat -l
只列出所有监听tcp端口:   netstat -lt
只列出所有监听udp端口:   netstat -lu
只列出所有监听UNIX端口:  netstat -lx

3. 显示每个协议的统计信息

显示所有端口的统计信息 netstat -s

[vagrant@centos6 ~]$ netstat -s
Ip:
    2081 total packets received
    2 with invalid addresses
    0 forwarded
    0 incoming packets discarded
    2079 incoming packets delivered
    1319 requests sent out
Icmp:
    0 ICMP messages received
    0 input ICMP message failed.
    ICMP input histogram:
    0 ICMP messages sent
    0 ICMP messages failed
    ICMP output histogram:
Tcp:
    0 active connections openings
    3 passive connection openings
    0 failed connection attempts
    0 connection resets received
    1 connections established
    1957 segments received
    1103 segments send out
    0 segments retransmited
    0 bad segments received.
    1 resets sent
Udp:
    122 packets received
    0 packets to unknown port received.
    0 packet receive errors
    216 packets sent
UdpLite:
TcpExt:
    9 delayed acks sent
    1 packets directly queued to recvmsg prequeue.
    730 packets header predicted
    5 acknowledgments not containing data received
    1036 predicted acknowledgments
    0 TCP data loss events
IpExt:
    InOctets: 146500
    OutOctets: 132340

显示 TCP 或 UDP 端口的统计信息 netstat -st 或 -su

# netstat -st 
# netstat -su

4. 显示 PID 和进程名称

netstat -p 可以与其它开关一起使用，就可以添加 “PID/进程名称” 到 netstat 输出中，这样 debugging 的时候可以很方便的发现特定端口运行的程序。

[root@centos6 ~]# netstat -pt
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address               Foreign Address             State       PID/Program name
tcp        0      0 10.0.2.15:ssh               10.0.2.2:52964              ESTABLISHED 3008/sshd
tcp        0      0 10.0.2.15:ssh               10.0.2.2:52091              ESTABLISHED 2813/sshd

5. 不显示主机，端口和用户名 (host, port or user)

当你不想让主机，端口和用户名显示，使用 netstat -n。将会使用数字代替那些名称。该参数可以加速output的输出，因为不用进行比对查询。

# netstat -an

# 如果只是不想让这三个名称中的一个被显示，使用以下命令
# netsat -a --numeric-ports
# netsat -a --numeric-hosts
# netsat -a --numeric-users

6. 持续输出 netstat 信息

netstat 将每隔一秒输出网络信息。

# netstat -t -c 2

7. 显示系统不支持的地址族 (Address Families)

netstat --verbose

8. 显示核心路由信息

[root@centos6 ~]# netstat -rn
Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
10.0.2.0        0.0.0.0         255.255.255.0   U         0 0          0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U         0 0          0 eth0
0.0.0.0         10.0.2.2        0.0.0.0         UG        0 0          0 eth0

# 注意： 使用 netstat -rn 显示数字格式，不查询主机名称，效果等价于route -n

9. 找出程序运行的端口

并不是所有的进程都能找到，没有权限的会不显示，使用 root 权限查看所有的信息。

[root@centos6 ~]# netstat -apn | grep ssh
tcp        0      0 0.0.0.0:22                  0.0.0.0:*                   LISTEN      1438/sshd
tcp        0      0 10.0.2.15:22                10.0.2.2:52964              ESTABLISHED 3008/sshd
tcp        0      0 10.0.2.15:22                10.0.2.2:52091              ESTABLISHED 2813/sshd
tcp        0      0 :::22                       :::*                        LISTEN      1438/sshd
unix  3      [ ]         STREAM     CONNECTED     18443  3008/sshd
unix  3      [ ]         STREAM     CONNECTED     18442  3011/sshd
unix  2      [ ]         DGRAM                    18439  3008/sshd
unix  3      [ ]         STREAM     CONNECTED     17777  2813/sshd
unix  3      [ ]         STREAM     CONNECTED     17776  2816/sshd
unix  2      [ ]         DGRAM                    17773  2813/sshd

找出运行在指定端口的进程

[root@centos6 ~]# netstat -an | grep ':22'
tcp        0      0 0.0.0.0:22                  0.0.0.0:*                   LISTEN
tcp        0      0 10.0.2.15:22                10.0.2.2:52964              ESTABLISHED
tcp        0      0 10.0.2.15:22                10.0.2.2:52091              ESTABLISHED
tcp        0      0 :::22                       :::*                        LISTEN

10. 显示网络接口列表

[root@centos6 ~]# netstat -i
Kernel Interface table
Iface       MTU Met    RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0       1500   0    12125      0      0      0     5474      0      0      0 BMRU
lo        65536   0        0      0      0      0        0      0      0      0 LRU

[root@centos6 ~]# netstat -ie
Kernel Interface table
eth0      Link encap:Ethernet  HWaddr 52:54:00:5D:A4:AF
          inet addr:10.0.2.15  Bcast:10.0.2.255  Mask:255.255.255.0
          inet6 addr: fe80::5054:ff:fe5d:a4af/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:12131 errors:0 dropped:0 overruns:0 frame:0
          TX packets:5477 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:7474852 (7.1 MiB)  TX bytes:580343 (566.7 KiB)

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:0 (0.0 b)  TX bytes:0 (0.0 b)

11. IP和TCP分析

查看连接某服务端口最多的的IP地址/TCP各种状态列表:

http://www.cnblogs.com/echo1937/p/6646208.html

posted @ 2022-07-03 15:46 小明123_123 阅读(357) 评论(0) 收藏举报

刷新页面返回顶部

小明123_123

每一年都奔走在自己热爱里没有人是一座孤岛，总有谁爱着你

Linux netstat命令结果分析

Linux netstat命令结果分析

实用命令实例

1. 列出所有端口 (包括监听和未监听的)

2. 列出所有处于监听状态的 Sockets

3. 显示每个协议的统计信息

4. 显示 PID 和进程名称

5. 不显示主机，端口和用户名 (host, port or user)

6. 持续输出 netstat 信息

7. 显示系统不支持的地址族 (Address Families)

8. 显示核心路由信息

9. 找出程序运行的端口

10. 显示网络接口列表

11. IP和TCP分析

公告

小明123_123

每一年都奔走在自己热爱里 没有人是一座孤岛，总有谁爱着你

Linux netstat命令结果分析

Linux netstat命令结果分析

实用命令实例

1. 列出所有端口 (包括监听和未监听的)

2. 列出所有处于监听状态的 Sockets

3. 显示每个协议的统计信息

4. 显示 PID 和进程名称

5. 不显示主机，端口和用户名 (host, port or user)

6. 持续输出 netstat 信息

7. 显示系统不支持的地址族 (Address Families)

8. 显示核心路由信息

9. 找出程序运行的端口

10. 显示网络接口列表

11. IP和TCP分析

公告

每一年都奔走在自己热爱里没有人是一座孤岛，总有谁爱着你