Linux下netstat命令详解
一、netstat命令简述
netstat命令用来打印Linux系统的网络状态信息，包括网络连接（network connections）、路由表（routing tables）、网络接口设备统计信息（interface statistics）、伪装连接（masquerade connections）和多播成员信息（multicast memberships）等，可显示与IP、TCP、UDP和ICMP协议相关的统计数据，一般用于检验本机各端口的网络连接情况。。
二、输出解释
在linux下直接执行netstat会得到如下结果
从整体上看netstat的输出结果可以分为两个部分。一个是Active Internet connections，二是Active UNIX domain sockets。
（1）Active Internet connections Active Internet connections表示活跃的网络连接，包括UDP和TCP连接信息。其中”Recv-Q”和”Send-Q”指接收队列和发送队列，这些数字一般都是0，如果不是则表示数据发送和接收队列存在堆积，这种情况较为少见。Local Address和Foreign Address表示本地和远端的IP、端口，State表示连接的状态，主要有：
ESTABLISHED：已建立连接的状态
LISTEN ：侦听来自远方的TCP端口的连接请求
SYN_SENT：发出主动连接（SYN）的数据包
SYN_RECV ：接收到一个要求连接的主动连接数据包
FIN_WAIT1 ：该套接字服务已中断，该连接正在断线中
FIN_WAIT2：该连接已挂断，正在等待对方主机响应断线确认的数据包
TIME_WAIT ：连接已挂断，但socket还在网络上等待结束
CLOSE_WAIT：等待从本地用户发来的连接中断请求
为了方便理解上述状态具体内容，画出客户端向服务器请求TCP连接的三次握手和客户端主动断开连接的四次挥手过程示意图如下：
三次握手：
四次挥手：
（2）Active UNIX domain sockets Active UNIX domain sockets，称为活跃Unix域套接字。
Proto显示连接使用的协议； RefCnt表示使用数量，即通过此套接字连接的进程数；
Flags显示的标志为SO_ACCEPTON（显示为 ACC）、SO_WAITDATA（W）或SO_NOSPACE（N）。如果相应的进程等待一个连接请求，那么SO_ACCECPTON用于未连接的套接字。其它标志通常并不重要。
Types显示套接口的类型，一般为DGRAM（数据报）、STREAM（数据流）；
I-Node表示套接字的Inode节点号；
Path表示套接字所在路径。
State显示套接字当前的状态，此字段包含以下关键字之一：
FREE：套接字未分配。
LISTENING：套接字正在监听一个连接请求。除非设置 –listening (-l) 或者 –all (-a) 选项，否则不显示。
CONNECTING：套接字正要建立连接
CONNECTED：套接字已连接
DISCONNECTING：套接字已断开
(empty)：套接字未连
三、常用netstat相关命令
命令格式：
- netstat[<options>]
语法选项：
- -a或--all：显示所有连线中的Socket；
- -A<网络类型>或--<网络类型>：列出该网络类型连线中的相关地址；
- -c或--continuous：持续列出网络状态；
- -C或--cache：显示路由器配置的快取信息；
- -e或--extend：显示网络其他相关信息；
- -F或--fib：显示FIB；
- -g或--groups：显示多重广播功能群组组员名单；
- -h或--help：在线帮助；
- -i或--interfaces：显示网络界面信息表单；
- -l或--listening：显示监控中的服务器的Socket；
- -M或--masquerade：显示伪装的网络连线；
- -n或--numeric：直接使用ip地址，而不通过域名服务器；
- -N或--netlink或--symbolic：显示网络硬件外围设备的符号连接名称；
- -o或--timers：显示计时器；
- -p或--programs：显示正在使用Socket的程序识别码和程序名称；
- -r或--route：显示Routing Table；
- -s或--statistice：显示网络工作信息统计表；
- -t或--tcp：显示TCP传输协议的连线状况；
- -u或--udp：显示UDP传输协议的连线状况；
- -v或--verbose：显示指令执行过程；
- -V或--version：显示版本信息；
- -w或--raw：显示RAW传输协议的连线状况；
- -x或--unix：此参数的效果和指定"-A unix"参数相同；
- --ip或--inet：此参数的效果和指定"-A inet"参数相同。
netstat -ntlp //查看当前所有tcp端口
netstat -ntulp |grep 80 //查看所有80端口使用情况
netstat -an | grep 3306 //查看所有3306端口使用情况
netstat -lanp //查看一台服务器上面哪些服务及端口
ps -ef |grep mysqld //查看一个服务有几个端口。比如要查看mysqld
netstat -pnt |grep :3306 |wc //查看某一端口的连接数量,比如3306端口
netstat -anp |grep 3306 //查看某一端口的连接客户端IP 比如3306端口
常用的命令如下图：
四、常用命令示例
1.列出所有端口信息（包括监听和未监听的）
- netstat -a
显示信息：
- hadoop@master:~$ netstat -a
- Active Internet connections (servers and established)
- Proto Recv-Q Send-Q Local Address Foreign Address State
- tcp 0 0 localhost:domain 0.0.0.0:* LISTEN
- tcp 0 0 0.0.0.0:ssh 0.0.0.0:* LISTEN
- tcp 0 0 localhost:ipp 0.0.0.0:* LISTEN
- tcp 0 0 localhost:mysql 0.0.0.0:* LISTEN
- tcp6 0 0 [::]:ssh [::]:* LISTEN
- tcp6 0 0 ip6-localhost:ipp [::]:* LISTEN
- udp 0 0 localhost:domain 0.0.0.0:*
- udp 0 0 0.0.0.0:45465 0.0.0.0:*
- udp 0 0 0.0.0.0:ipp 0.0.0.0:*
- udp 0 0 0.0.0.0:mdns 0.0.0.0:*
- udp6 0 0 [::]:56383 [::]:*
- udp6 0 0 [::]:mdns [::]:*
- raw6 0 0 [::]:ipv6-icmp [::]:* 7
- Active UNIX domain sockets (servers and established)
- Proto RefCnt Flags Type State I-Node Path
- unix 2 [ ACC ] STREAM LISTENING 40098 @/tmp/.ICE-unix/2304
- unix 2 [ ] DGRAM 37416 /run/user/1001/systemd/notify
2.列出所有的tcp协议的端口
- netstat -at
显示信息：
- hadoop@master:~$ netstat -at
- Active Internet connections (servers and established)
- Proto Recv-Q Send-Q Local Address Foreign Address State
- tcp 0 0 localhost:domain 0.0.0.0:* LISTEN
- tcp 0 0 0.0.0.0:ssh 0.0.0.0:* LISTEN
- tcp 0 0 localhost:ipp 0.0.0.0:* LISTEN
- tcp 0 0 localhost:mysql 0.0.0.0:* LISTEN
- tcp 0 1 master:55660 36.75.98.34.bc.go:https SYN_SENT
- tcp 0 0 master:45170 server-13-32-52-1:https ESTABLISHED
- tcp 0 1 master:55662 36.75.98.34.bc.go:https SYN_SENT
- tcp 0 0 master:55696 ec2-52-24-186-236:https ESTABLISHED
- tcp6 0 0 [::]:ssh [::]:* LISTEN
- tcp6 0 0 ip6-localhost:ipp [::]:* LISTEN
3.显示每个协议的统计信息
- netstat -s
显示信息：
- hadoop@master:~$ netstat -s
- Ip:
- Forwarding: 2
- 2700 total packets received
- 63 with invalid addresses
- 0 forwarded
- 0 incoming packets discarded
- 2635 incoming packets delivered
- 2445 requests sent out
- 20 outgoing packets dropped
- Icmp:
- 43 ICMP messages received
- 0 input ICMP message failed
- ICMP input histogram:
- destination unreachable: 43
- 51 ICMP messages sent
- 0 ICMP messages failed
- ICMP output histogram:
- destination unreachable: 51
- IcmpMsg:
- InType3: 43
- OutType3: 51
4.显示核心路由信息
- netstat -r
显示信息：
- hadoop@master:~$ netstat -r
- Kernel IP routing table
- Destination Gateway Genmask Flags MSS Window irtt Iface
- default _gateway 0.0.0.0 UG 0 0 0 ens33
- 192.168.81.0 0.0.0.0 255.255.255.0 U 0 0 0 ens33
5.持续输出 netstat 信息。netstat -c将每隔一秒输出网络信息
- netstat -c
6. 找出程序运行的端口。并不是所有的进程都能找到，没有权限的会不显示，使用 root 权限查看所有的信息
- root@master:/home/hadoop# netstat -anp
- Active Internet connections (servers and established)
- Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
- tcp 0 0 127.0.0.53:53 0.0.0.0:* LISTEN 964/systemd-resolve
- tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1640/sshd
- tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN 1149/cupsd
7. 显示多播组信息
- netstat -g
显示信息：
- root@master:/home/hadoop# netstat -g
- IPv6/IPv4 Group Memberships
- Interface RefCnt Group
- --------------- ------ ---------------------
- lo 1 224.0.0.251
- lo 1 all-systems.mcast.net
- ens33 1 224.0.0.251
- ens33 1 all-systems.mcast.net
- lo 1 ff02::fb
- lo 1 ip6-allnodes
- lo 1 ff01::1
- ens33 1 ff02::fb
- ens33 1 ff02::1:ffae:db63
- ens33 2 ip6-allnodes
- ens33 1 ff01::1
8.显示接口信息
- netstat -i
显示：
- root@master:/home/hadoop# netstat -i
- Kernel Interface table
- Iface MTU RX-OK RX-ERR RX-DRP RX-OVR TX-OK TX-ERR TX-DRP TX-OVR Flg
- ens33 1500 3856 0 0 0 2715 0 0 0 BMRU
- lo 65536 766 0 0 0 766 0 0 0 LRU
9.禁止域名解析
正常情况输出结果：
- root@master:/home/hadoop# netstat -ltp
- Active Internet connections (only servers)
- Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
- tcp 0 0 localhost:domain 0.0.0.0:* LISTEN 964/systemd-resolve
- tcp 0 0 0.0.0.0:ssh 0.0.0.0:* LISTEN 1640/sshd
- tcp 0 0 localhost:ipp 0.0.0.0:* LISTEN 1149/cupsd
- tcp 0 0 localhost:mysql 0.0.0.0:* LISTEN 1704/mysqld
- tcp6 0 0 [::]:ssh [::]:* LISTEN 1640/sshd
禁止域名解析后输出结果：
- root@master:/home/hadoop# netstat -nltp
- Active Internet connections (only servers)
- Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
- tcp 0 0 127.0.0.53:53 0.0.0.0:* LISTEN 964/systemd-resolve
- tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1640/sshd
- tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN 1149/cupsd
- tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN
我们发现在local address 即主机地址这一栏中，如果没有带n选项，会将套接字所对应的域名解析出来，如果加上n选项，那么就不会显示，即禁止域名解析的功能，这样做有助于提高查询速度，因为减少了对主机域名的查询。
netstat的大部分功能都介绍了，如果想知道netstat更高级的功能，请阅读它的手册~