一、介紹

Netstat是控制臺(tái)命令,是一個(gè)監(jiān)控TCP/IP網(wǎng)絡(luò)的非常有用的工具，它可以顯示路由表、實(shí)際的網(wǎng)絡(luò)連接以及每一個(gè)網(wǎng)絡(luò)接口設(shè)備的狀態(tài)信息。

Netstat用于顯示與IP、TCP、UDP和ICMP協(xié)議相關(guān)的統(tǒng)計(jì)數(shù)據(jù)，一般用于檢驗(yàn)本機(jī)各端口的網(wǎng)絡(luò)連接情況。

二、輸出信息描述

執(zhí)行netstat后輸出如下：

[root@sy-suz-srv51 ~]# netstat
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 k8sdev.sui:sun-sr-https k8sdev.suiyi.com.:34880 SYN_RECV
tcp        0      0 k8sdev.suiyi.com.c:2379 10.1.62.21:47910        ESTABLISHED
tcp        0      0 k8sdev.suiyi.com.c:2379 k8sdev.suiyi.com.:37790 ESTABLISHED
tcp        0      0 sy-suz-srv:pcsync-https 10.1.62.162:49200       ESTABLISHED
tcp        0      0 k8sdev.suiyi.com.:52866 k8sdev.sui:sun-sr-https ESTABLISHED
tcp        0      0 k8sdev.suiyi.com.:37728 k8sdev.suiyi.com.c:2379 ESTABLISHED
tcp        0      0 k8sdev.sui:sun-sr-https k8sdev.suiyi.com.:52852 ESTABLISHED
tcp        0      0 k8sdev.sui:sun-sr-https 10.1.62.162:32841       ESTABLISHED
tcp        0      0 sy-suz-srv:pcsync-https sy-suz-srv51:60094      ESTABLISHED
tcp        0      0 localhost:webcache      localhost:40136         ESTABLISHED
tcp        0      0 k8sdev.suiyi.com.:35466 10.1.62.21:sun-sr-https ESTABLISHED
tcp        0      0 k8sdev.suiyi.com.:34358 10.1.62.21:sun-sr-https ESTABLISHED
Active UNIX domain sockets (w/o servers)
Proto RefCnt Flags       Type       State         I-Node   Path
unix  3      [ ]         DGRAM                    18442    /run/systemd/notify
unix  2      [ ]         DGRAM                    18444    /run/systemd/cgroups-agent
unix  2      [ ]         DGRAM                    23822    /var/run/chrony/chronyd.sock
unix  8      [ ]         DGRAM                    18455    /run/systemd/journal/socket
unix  18     [ ]         DGRAM                    18457    /dev/log
unix  2      [ ]         DGRAM                    14151    /var/run/nscd/socket
unix  2      [ ]         DGRAM                    584      /run/systemd/shutdownd
unix  3      [ ]         STREAM     CONNECTED     124439388 /run/dbus/system_bus_socket
unix  3      [ ]         STREAM     CONNECTED     42312    /run/systemd/journal/stdout
unix  3      [ ]         STREAM     CONNECTED     39909
unix  3      [ ]         STREAM     CONNECTED     21675
unix  3      [ ]         STREAM     CONNECTED     47538
unix  3      [ ]         STREAM     CONNECTED     124585242 /var/run/docker/containerd/docker-containerd.sock
unix  3      [ ]         STREAM     CONNECTED     21658
unix  2      [ ]         STREAM     CONNECTED     30160
unix  3      [ ]         STREAM     CONNECTED     33750    /run/systemd/journal/stdout
unix  3      [ ]         STREAM     CONNECTED     124614293 @/containerd-shim/moby/c44e49ee0f86d8a4109afb176701795c64f44655abb1861275bbd3b2a9f76394/shim.sock
unix  3      [ ]         STREAM     CONNECTED     124609611 @/containerd-shim/moby/a736ba153c07f0bbf099ae1a1069530e35bfa28ae93f8f235d6c35a6c5ed9ce7/shim.sock
unix  3      [ ]         STREAM     CONNECTED     124601653 @/containerd-shim/moby/20d3fd59d03455d45b1da2636fca25d0edd79dac1947c17045a797eb8506157c/shim.sock

netstat的輸出結(jié)果可以分為兩個(gè)部分

1、Active Internet connections 有源TCP連接，其中"Recv-Q"和"Send-Q"指接收隊(duì)列和發(fā)送隊(duì)列。這些數(shù)字一般都應(yīng)該是0。如果不是則表示軟件包正在隊(duì)列中堆積。這種情況只能在非常少的情況見(jiàn)到。

2、Active UNIX domain sockets 有源Unix域套接口(和網(wǎng)絡(luò)套接字一樣，但是只能用于本機(jī)通信，性能可以提高一倍)。

列名解釋：

Proto：顯示連接使用的協(xié)議。

RefCnt：表示連接到本套接口上的進(jìn)程號(hào)。

Types：顯示套接口的類型。

State：顯示套接口當(dāng)前的狀態(tài)。

Path：表示連接到套接口的其它進(jìn)程使用的路徑名。

三、netstat常見(jiàn)參數(shù)

-a (all) 顯示所有選項(xiàng)，默認(rèn)不顯示LISTEN相關(guān)。

-t (tcp) 僅顯示tcp相關(guān)選項(xiàng)。

-u (udp) 僅顯示udp相關(guān)選項(xiàng)。

-n 拒絕顯示別名，能顯示數(shù)字的全部轉(zhuǎn)化成數(shù)字。

-l 僅列出有在 Listen (監(jiān)聽(tīng)) 的服務(wù)狀態(tài)。

-p 顯示建立相關(guān)鏈接的程序名

-r 顯示路由信息，路由表

-e 顯示擴(kuò)展信息，例如uid等

-s 按各個(gè)協(xié)議進(jìn)行統(tǒng)計(jì)

-c 每隔一個(gè)固定時(shí)間，執(zhí)行該netstat命令。

LISTEN和LISTENING的狀態(tài)只有用-a或者-l才能看到。

四、netstat網(wǎng)絡(luò)狀態(tài)詳解

一個(gè)正常的TCP連接，都會(huì)有三個(gè)階段:1、TCP三次握手;2、數(shù)據(jù)傳送;3、TCP四次揮手

如圖：

SYN：(同步序列編號(hào),Synchronize Sequence Numbers)該標(biāo)志僅在三次握手建立TCP連接時(shí)有效。表示一個(gè)新的TCP連接請(qǐng)求。

ACK：(確認(rèn)編號(hào),Acknowledgement Number)是對(duì)TCP請(qǐng)求的確認(rèn)標(biāo)志,同時(shí)提示對(duì)端系統(tǒng)已經(jīng)成功接收所有數(shù)據(jù)。

FIN：(結(jié)束標(biāo)志,FINish)用來(lái)結(jié)束一個(gè)TCP回話.但對(duì)應(yīng)端口仍處于開(kāi)放狀態(tài),準(zhǔn)備接收后續(xù)數(shù)據(jù)。

LISTEN：首先服務(wù)端需要打開(kāi)一個(gè)socket進(jìn)行監(jiān)聽(tīng)，狀態(tài)為L(zhǎng)ISTEN， The socket is listening for incoming connections. 偵聽(tīng)來(lái)自遠(yuǎn)方TCP端口的連接請(qǐng)求 。

SYN_SENT：客戶端通過(guò)應(yīng)用程序調(diào)用connect進(jìn)行active open.于是客戶端tcp發(fā)送一個(gè)SYN以請(qǐng)求建立一個(gè)連接，之后狀態(tài)置為SYN_SENT，The socket is actively attempting to establish a connection. 在發(fā)送連接請(qǐng)求后等待匹配的連接請(qǐng)求。

SYN_RECV：服務(wù)端應(yīng)發(fā)出ACK確認(rèn)客戶端的SYN，同時(shí)自己向客戶端發(fā)送一個(gè)SYN， 之后狀態(tài)置為SYN_RECV ，

A connection request has been received from the network. 在收到和發(fā)送一個(gè)連接請(qǐng)求后等待對(duì)連接請(qǐng)求的確認(rèn) 。

ESTABLISHED：代表一個(gè)打開(kāi)的連接，雙方可以進(jìn)行或已經(jīng)在數(shù)據(jù)交互了， The socket has an established connection. 代表一個(gè)打開(kāi)的連接，數(shù)據(jù)可以傳送給用戶。

FIN_WAIT1：主動(dòng)關(guān)閉(active close)端應(yīng)用程序調(diào)用close，于是其TCP發(fā)出FIN請(qǐng)求主動(dòng)關(guān)閉連接，之后進(jìn)入FIN_WAIT1狀態(tài)。 The socket is closed, and the connection is shutting down. 等待遠(yuǎn)程TCP的連接中斷請(qǐng)求，或先前的連接中斷請(qǐng)求的確認(rèn)。

CLOSE_WAIT：被動(dòng)關(guān)閉(passive close)端TCP接到FIN后，就發(fā)出ACK以回應(yīng)FIN請(qǐng)求(它的接收也作為文件結(jié)束符傳遞給上層應(yīng)用程序),并進(jìn)入CLOSE_WAIT， The remote end has shut down, waiting for the socket to close. 等待從本地用戶發(fā)來(lái)的連接中斷請(qǐng)求 。

FIN_WAIT2：主動(dòng)關(guān)閉端接到ACK后，就進(jìn)入了FIN-WAIT-2 ， Connection is closed, and the socket is waiting for a shutdown from the remote end. 從遠(yuǎn)程TCP等待連接中斷請(qǐng)求。

LAST_ACK：被動(dòng)關(guān)閉端一段時(shí)間后，接收到文件結(jié)束符的應(yīng)用程序?qū)⒄{(diào)用CLOSE關(guān)閉連接。這導(dǎo)致它的TCP也發(fā)送一個(gè) FIN,等待對(duì)方的ACK.就進(jìn)入了LAST-ACK ， The remote end has shut down, and the socket is closed. Waiting for acknowledgement. 等待原來(lái)發(fā)向遠(yuǎn)程TCP的連接中斷請(qǐng)求的確認(rèn)。

TIME_WAIT：在主動(dòng)關(guān)閉端接收到FIN后，TCP就發(fā)送ACK包，并進(jìn)入TIME-WAIT狀態(tài)。 The socket is waiting after close to handle packets still in the network.等待足夠的時(shí)間以確保遠(yuǎn)程TCP接收到連接中斷請(qǐng)求的確認(rèn)。

CLOSING：比較少見(jiàn)， Both sockets are shut down but we still don't have all our data sent. 等待遠(yuǎn)程TCP對(duì)連接中斷的確認(rèn)。

CLOSED： 被動(dòng)關(guān)閉端在接受到ACK包后，就進(jìn)入了closed的狀態(tài)。連接結(jié)束， The socket is not being used. 沒(méi)有任何連接狀態(tài)。

TIME_WAIT狀態(tài)的形成只發(fā)生在主動(dòng)關(guān)閉連接的一方。

主動(dòng)關(guān)閉方在接收到被動(dòng)關(guān)閉方的FIN請(qǐng)求后，發(fā)送成功給對(duì)方一個(gè)ACK后,將自己的狀態(tài)由FIN_WAIT2修改為T(mén)IME_WAIT，而必須再等2倍 的MSL(Maximum Segment Lifetime,MSL是一個(gè)數(shù)據(jù)報(bào)在internetwork中能存在的時(shí)間)時(shí)間之后雙方

才能把狀態(tài) 都改為CLOSED以關(guān)閉連接。目前RHEL里保持TIME_WAIT狀態(tài)的時(shí)間為60秒。

Linux的相關(guān)keepalive參數(shù)

1、tcp_keepalive_time – INTEGER

How often TCP sends out keepalive messages when keepalive is enabled.（Default:?2hours）

一個(gè)連接需要TCP開(kāi)始發(fā)送keepalive探測(cè)數(shù)據(jù)包之前的空閑時(shí)間，以秒為單位。

2、tcp_keepalive_probes – INTEGER

How many keepalive probes TCP sends out, until it decides that the connection is broken. （Default value:?9）

發(fā)送TCP keepalive探測(cè)數(shù)據(jù)包的最大數(shù)量，默認(rèn)是9.如果發(fā)送9個(gè)keepalive探測(cè)包后對(duì)端仍然沒(méi)有響應(yīng)，就關(guān)掉這個(gè)連接。

3、tcp_keepalive_intvl – INTEGER

How frequently the probes are send out. Multiplied by tcp_keepalive_probes it is time to kill not responding connection,
after probes started. Default value:?75sec?i.e. connection will be aborted after?~11?minutes of retries.

發(fā)送兩個(gè)TCP keepalive探測(cè)數(shù)據(jù)包的間隔時(shí)間，默認(rèn)是75秒。

五、常用netstat相關(guān)命令

1、列出所有端口 #netstat -a

2、列出所有 tcp 端口 #netstat -at

3、列出所有 udp 端口 #netstat -au

4、只顯示監(jiān)聽(tīng)端口 #netstat -l

5、只列出所有監(jiān)聽(tīng) tcp 端口 #netstat -lt

6、只列出所有監(jiān)聽(tīng) udp 端口 #netstat -lu

7、列出所有監(jiān)聽(tīng) UNIX 端口 #netstat -lx

8、顯示所有端口的統(tǒng)計(jì)信息 #netstat -s

9、顯示 TCP 或 UDP 端口的統(tǒng)計(jì)信息 #netstat -st 或 -su

10、 輸出中顯示 PID 和進(jìn)程名稱 #netstat -p

11、netstat 輸出中不顯示主機(jī)，端口和用戶名 (host, port or user)

當(dāng)你不想讓主機(jī)，端口和用戶名顯示，使用 netstat -n。將會(huì)使用數(shù)字代替那些名稱。

同樣可以加速輸出，因?yàn)椴挥眠M(jìn)行比對(duì)查詢。

#netstat -an

如果只是不想讓這三個(gè)名稱中的一個(gè)被顯示，使用以下命令

# netsat -a --numeric-ports
# netsat -a --numeric-hosts
# netsat -a --numeric-users

12、持續(xù)輸出 netstat 信息? #netstat -c

13、找出程序運(yùn)行的端口 #netstat? -ap | grep ':80'

14、查看連接某服務(wù)端口最多的的IP地址（前20個(gè)）

#netstat -nat | grep "10.1.62.23:443" |awk '{print $5}'|awk -F: '{print $1}'|sort|uniq -c|sort -nr|head -20

15、TCP各種狀態(tài)列表?

#netstat -nat |awk '{print $6}'

統(tǒng)計(jì)數(shù)量

#netstat -nat |awk '{print $6}'|sort|uniq -c

排序

#netstat -nat |awk '{print $6}'|sort|uniq -c|sort -rn

#netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'

16、直接統(tǒng)計(jì)tcp數(shù)量監(jiān)聽(tīng)的數(shù)量

#netstat -ant | wc -l