一、介紹

Netstat是控制臺命令,是一個監控TCP/IP網絡的非常有用的工具，它可以顯示路由表、實際的網絡連接以及每一個網絡接口設備的狀態信息。Netstat用于顯示與IP、TCP、UDP和ICMP協議相關的統計數據，一般用于檢驗本機各端口的網絡連接情況。

二、輸出信息描述

執行netstat后輸出如下：

[root@sy-suz-srv51 ~]# netstat
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 k8sdev.sui:sun-sr-https k8sdev.suiyi.com.:34880 SYN_RECV
tcp        0      0 k8sdev.suiyi.com.c:2379 10.1.62.21:47910        ESTABLISHED
tcp        0      0 k8sdev.suiyi.com.c:2379 k8sdev.suiyi.com.:37790 ESTABLISHED
tcp        0      0 sy-suz-srv:pcsync-https 10.1.62.162:49200       ESTABLISHED
tcp        0      0 k8sdev.suiyi.com.:52866 k8sdev.sui:sun-sr-https ESTABLISHED
tcp        0      0 k8sdev.suiyi.com.:37728 k8sdev.suiyi.com.c:2379 ESTABLISHED
tcp        0      0 k8sdev.sui:sun-sr-https k8sdev.suiyi.com.:52852 ESTABLISHED
tcp        0      0 k8sdev.sui:sun-sr-https 10.1.62.162:32841       ESTABLISHED
tcp        0      0 sy-suz-srv:pcsync-https sy-suz-srv51:60094      ESTABLISHED
tcp        0      0 localhost:webcache      localhost:40136         ESTABLISHED
tcp        0      0 k8sdev.suiyi.com.:35466 10.1.62.21:sun-sr-https ESTABLISHED
tcp        0      0 k8sdev.suiyi.com.:34358 10.1.62.21:sun-sr-https ESTABLISHED
Active UNIX domain sockets (w/o servers)
Proto RefCnt Flags       Type       State         I-Node   Path
unix  3      [ ]         DGRAM                    18442    /run/systemd/notify
unix  2      [ ]         DGRAM                    18444    /run/systemd/cgroups-agent
unix  2      [ ]         DGRAM                    23822    /var/run/chrony/chronyd.sock
unix  8      [ ]         DGRAM                    18455    /run/systemd/journal/socket
unix  18     [ ]         DGRAM                    18457    /dev/log
unix  2      [ ]         DGRAM                    14151    /var/run/nscd/socket
unix  2      [ ]         DGRAM                    584      /run/systemd/shutdownd
unix  3      [ ]         STREAM     CONNECTED     124439388 /run/dbus/system_bus_socket
unix  3      [ ]         STREAM     CONNECTED     42312    /run/systemd/journal/stdout
unix  3      [ ]         STREAM     CONNECTED     39909
unix  3      [ ]         STREAM     CONNECTED     21675
unix  3      [ ]         STREAM     CONNECTED     47538
unix  3      [ ]         STREAM     CONNECTED     124585242 /var/run/docker/containerd/docker-containerd.sock
unix  3      [ ]         STREAM     CONNECTED     21658
unix  2      [ ]         STREAM     CONNECTED     30160
unix  3      [ ]         STREAM     CONNECTED     33750    /run/systemd/journal/stdout
unix  3      [ ]         STREAM     CONNECTED     124614293 @/containerd-shim/moby/c44e49ee0f86d8a4109afb176701795c64f44655abb1861275bbd3b2a9f76394/shim.sock
unix  3      [ ]         STREAM     CONNECTED     124609611 @/containerd-shim/moby/a736ba153c07f0bbf099ae1a1069530e35bfa28ae93f8f235d6c35a6c5ed9ce7/shim.sock
unix  3      [ ]         STREAM     CONNECTED     124601653 @/containerd-shim/moby/20d3fd59d03455d45b1da2636fca25d0edd79dac1947c17045a797eb8506157c/shim.sock

netstat的輸出結果可以分為兩個部分

1、Active 有源TCP連接，其中"Recv-Q"和"Send-Q"指接收隊列和發送隊列。這些數字一般都應該是0。如果不是則表示軟件包正在隊列中堆積。這種情況只能在非常少的情況見到。

2、Active UNIX domain sockets 有源Unix域套接口(和網絡套接字一樣，但是只能用于本機通信，性能可以提高一倍)。

列名解釋：

Proto：顯示連接使用的協議。

RefCnt：表示連接到本套接口上的進程號。

Types：顯示套接口的類型。

State：顯示套接口當前的狀態。

Path：表示連接到套接口的其它進程使用的路徑名。

三、netstat常見參數

-a (all) 顯示所有選項，默認不顯示LISTEN相關。

-t (tcp) 僅顯示tcp相關選項。

-u (udp) 僅顯示udp相關選項。

-n 拒絕顯示別名，能顯示數字的全部轉化成數字。

-l 僅列出有在 Listen (監聽) 的服務狀態。

-p 顯示建立相關鏈接的程序名

-r 顯示路由信息，路由表

-e 顯示擴展信息，例如uid等

-s 按各個協議進行統計

-c 每隔一個固定時間，執行該netstat命令。

LISTEN和的狀態只有用-a或者-l才能看到。

四、netstat網絡狀態詳解

一個正常的TCP連接，都會有三個階段:1、TCP三次握手;2、數據傳送;3、TCP四次揮手

如圖：

SYN：(同步序列編號, Numbers)該標志僅在三次握手建立TCP連接時有效。表示一個新的TCP連接請求。

ACK：(確認編號, Number)是對TCP請求的確認標志,同時提示對端系統已經成功接收所有數據。

FIN：(結束標志,FINish)用來結束一個TCP回話.但對應端口仍處于開放狀態,準備接收后續數據。

LISTEN：首先服務端需要打開一個socket進行監聽，狀態為LISTEN， The socket is for . 偵聽來自遠方TCP端口的連接請求 。

：客戶端通過應用程序調用connect進行active open.于是客戶端tcp發送一個SYN以請求建立一個連接，之后狀態置為，The socket is to a . 在發送連接請求后等待匹配的連接請求。

：服務端應發出ACK確認客戶端的SYN，同時自己向客戶端發送一個SYN， 之后狀態置為 ，

A request has been from the network. 在收到和發送一個連接請求后等待對連接請求的確認 。

：代表一個打開的連接，雙方可以進行或已經在數據交互了， The socket has an . 代表一個打開的連接，數據可以傳送給用戶。

：主動關閉(active close)端應用程序調用close，于是其TCP發出FIN請求主動關閉連接，之后進入狀態。 The socket is closed, and the is down. 等待遠程TCP的連接中斷請求，或先前的連接中斷請求的確認。

：被動關閉(passive close)端TCP接到FIN后，就發出ACK以回應FIN請求(它的接收也作為文件結束符傳遞給上層應用程序),并進入， The remote end has shut down, waiting for the socket to close. 等待從本地用戶發來的連接中斷請求 。

：主動關閉端接到ACK后，就進入了FIN-WAIT-2 ， is closed, and the socket is waiting for a from the remote end. 從遠程TCP等待連接中斷請求。

：被動關閉端一段時間后，接收到文件結束符的應用程序將調用CLOSE關閉連接。這導致它的TCP也發送一個 FIN,等待對方的ACK.就進入了LAST-ACK ， The remote end has shut down, and the socket is closed. Waiting for . 等待原來發向遠程TCP的連接中斷請求的確認。

：在主動關閉端接收到FIN后，TCP就發送ACK包，并進入TIME-WAIT狀態。 The socket is waiting after close to handle packets still in the network.等待足夠的時間以確保遠程TCP接收到連接中斷請求的確認。

CLOSING：比較少見， Both sockets are shut down but we still don’t have all our data sent. 等待遠程TCP對連接中斷的確認。

CLOSED： 被動關閉端在接受到ACK包后，就進入了closed的狀態。連接結束， The socket is not being used. 沒有任何連接狀態。

狀態的形成只發生在主動關閉連接的一方。

主動關閉方在接收到被動關閉方的FIN請求后，發送成功給對方一個ACK后,將自己的狀態由修改為，而必須再等2倍 的MSL(Maximum Segment ,MSL是一個數據報在中能存在的時間)時間之后雙方才能把狀態 都改為CLOSED以關閉連接。目前RHEL里保持狀態的時間為60秒。

Linux的相關參數

1、 – INTEGER

How often TCP sends out when is enabled.（Default: 2hours）

一個連接需要TCP開始發送探測數據包之前的空閑時間，以秒為單位。

2、 – INTEGER

How many probes TCP sends out, until it decides that the is broken. （Default value: 9）

發送TCP 探測數據包的最大數量，默認是9.如果發送9個探測包后對端仍然沒有響應，就關掉這個連接。

3、 – INTEGER

How the probes are send out. by it is time to kill not ,

after probes started. Default value: 75sec i.e. will be aborted after ~11 minutes of retries.

發送兩個TCP 探測數據包的間隔時間，默認是75秒。

五、常用netstat相關命令

1、列出所有端口 #netstat -a

2、列出所有 tcp 端口 #netstat -at

3、列出所有 udp 端口 #netstat -au

4、只顯示監聽端口 #netstat -l

5、只列出所有監聽 tcp 端口 #netstat -lt

6、只列出所有監聽 udp 端口 #netstat -lu

7、列出所有監聽 UNIX 端口 #netstat -lx

8、顯示所有端口的統計信息 #netstat -s

9、顯示 TCP 或 UDP 端口的統計信息 #netstat -st 或 -su

10、 輸出中顯示 PID 和進程名稱 #netstat -p

11、netstat 輸出中不顯示主機，端口和用戶名 (host, port or user)

當你不想讓主機，端口和用戶名顯示，使用 netstat -n。將會使用數字代替那些名稱。

同樣可以加速輸出，因為不用進行比對查詢。

#netstat -an

如果只是不想讓這三個名稱中的一個被顯示，使用以下命令

# netsat -a --numeric-ports
# netsat -a --numeric-hosts
# netsat -a --numeric-users

12、持續輸出 netstat 信息 #netstat -c

13、找出程序運行的端口 #netstat -ap | grep ‘:80’

14、查看連接某服務端口最多的的IP地址（前20個）

#netstat -nat | grep "10.1.62.23:443" |awk '{print $5}'|awk -F: '{print $1}'|sort|uniq -c|sort -nr|head -20

15、TCP各種狀態列表

#netstat -nat |awk '{print $6}'

統計數量

\#netstat -nat |awk '{print $6}'|sort|uniq -c

排序

\#netstat -nat |awk '{print $6}'|sort|uniq -c|sort -rn
\#netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'

16、直接統計tcp數量監聽的數量

\#netstat -ant | wc -l

netstat -anp | grep 應用 講解 詳細 netstat -anp | grep 應用

linux網絡狀態，一般會用

netstat -anp

標記所在情況；

一個叫“redis-server”的進程，正在監聽127.0.1：6379/0.0.0.：2222端口等等，“LISTEN”表示監聽 PID：代表該進程的id 38464

標記情況： PID：均為38464 他們是一個服務

一個叫“redis-server”的進程，外部有個“40116”端口，連接了它的“6379”端口，“”表示已連接

一個叫“redis-server”的進程，外部有個“40126”端口，連接了它的“6379”端口，“”表示已連接

一個叫“redis-server”的進程，外部有個“40114”端口，連接了它的“6379”端口，“”表示已連接

netstat -anp命令簡單說明：
-a，顯示所有
-n，不用別名顯示，只用數字顯示
-p，顯示進程號和進程名

EG:

查看java進程是否啟動：

netstat -anp | grep java

已經啟動

查看redis是否啟動：

netstat -anp | grep redis

已經啟動：

查看端口 ： 例如 9090 端口我們看下

netstat -anp | grep 9090

我的分享結束了；大家有好意見可以提出來，我會及時改正；