netstat命令
netstat命令显示各种网络相关信息，例如网络连接、路由表、接口统计信息、伪装连接、多播成员身份等。
语法
netstat [address_family_options] [--tcp|-t] [--udp|-u] [--raw|-w]
[--listening|-l] [--all|-a] [--numeric|-n] [--numeric-hosts]
[--numeric-ports] [--numeric-users] [--symbolic|-N]
[--extend|-e[--extend|-e]] [--timers|-o] [--program|-p]
[--verbose|-v] [--continuous|-c]
netstat {--route|-r} [address_family_options] [--extend|-e[--extend|-e]]
[--verbose|-v] [--numeric|-n] [--numeric-hosts] [--numeric-ports]
[--numeric-users] [--continuous|-c]
netstat {--interfaces|-i} [--all|-a] [--extend|-e[--extend|-e]] [--verbose|-v]
[--program|-p] [--numeric|-n] [--numeric-hosts] [--numeric-ports]
[--numeric-users] [--continuous|-c]
netstat {--groups|-g} [--numeric|-n] [--numeric-hosts] [--numeric-ports]
[--numeric-users] [--continuous|-c]
netstat {--masquerade|-M} [--extend|-e] [--numeric|-n] [--numeric-hosts]
[--numeric-ports] [--numeric-users] [--continuous|-c]
netstat {--statistics|-s} [--tcp|-t] [--udp|-u] [--raw|-w]
netstat {--version|-V}
netstat {--help|-h}
address_family_options may be any combination of the following options:
[-4] [-6] [--protocol={inet,unix,ipx,ax25,netrom,ddp}[,...]] [--unix|-x]
[--inet|--ip] [--ax25] [--ipx] [--netrom] [--ddp]
参数
netstat打印的信息类型由第一个参数控制，该参数是以下参数之一:
(none): 默认情况下，netstat显示打开的套接字列表，如果未指定任何地址族，则将打印所有已配置地址族的活动套接字。--route, -r: 显示内核路由表，netstat -r和route -e产生相同的输出。--groups, -g: 显示IPv4和IPv6的多播组成员身份信息。--interfaces, -i: 显示所有网络接口的表。--masquerade, -M: 显示伪装的连接列表。--statistics, -s: 显示每个协议的摘要统计信息。
在第一个参数之后，以下选项指定netstat的报告行为:
--verbose, -v: 通过详细操作告诉用户发生了什么，特别是打印一些有关未配置地址族的有用信息。--wide, -W: 使用指定宽度而不根据使用输出来截断IP地址，为了不破坏现有的脚本，这是可选的。--numeric, -n: 显示数字地址，而不是尝试确定符号主机、端口或用户名。--numeric-hosts: 显示数字主机地址，但不影响端口或用户名的解析。--numeric-ports: 显示数字端口号，但不影响主机名或用户名的解析。--numeric-users: 显示数字用户id，但不影响主机名或端口名的解析。--protocol=family, -A: 指定要显示其连接的地址族(低级协议)，该族是逗号分隔的地址族关键字列表，如inet、unix、ipx、ax25、netrom和ddp，这与使用--inet、-unix(-x)、-ipx、-ax25、-netrom和--ddp选项具有相同的效果，地址族inet包括raw、udp和tcp协议套接字。-c, --continuous: 使netstat每秒连续打印所选信息。-e, --extend: 显示附加信息，使用此选项两次以获得最大细节。-o, --timers: 包括与网络计时器相关的信息。-p, --program: 显示PID进程标识符和每个套接字所属的程序的名称。-l, --listening: 只显示监听套接字，这些在默认情况下被省略。-a, --all: 显示监听和非监听套接字，使用--interfaces选项显示未启动的接口。-F: 从FIB打印路由信息，这是默认设置。-C: 从路由缓存中打印路由信息。
网络连接
关于活跃的互联网连接TCP、UDP、raw的信息属于以下类别:
Proto: 套接字使用的协议tcp、udp、raw。Recv-Q: 连接到此套接字的用户程序未复制的字节数。Send-Q: 远程主机未确认的字节数。Local Address: 套接字本地端的地址和端口号，除非指定了--numeric, -n选项，否则套接字地址将解析为其规范的主机名FQDN，并且端口号将转换为相应的服务名。Foreign Address: 套接字远端的地址和端口号，类似于本地地址。State:socket的状态，由于在原始套接字raw模式中没有状态，而且UDP中通常没有使用状态，因此这一列可以留空，通常这可以是以下值之一，TCP握手与挥手的过程中通常会经历这些状态。ESTABLISHED: 套接字已建立连接。SYN_SENT: 套接字正在积极尝试建立连接。SYN_RECV: 从网络接收到连接请求。FIN_WAIT1: 套接字已关闭，连接正在关闭。FIN_WAIT2: 连接已关闭，套接字正在等待从远端关闭。TIME_WAIT: 套接字在关闭后正在等待处理仍在网络中的数据包。CLOSE: 没有使用该套接字。CLOSE_WAIT: 远端已关闭，等待套接字关闭。LAST_ACK: 远端已经关闭，套接字已关闭，等待确认。LISTEN: 套接字正在监听传入的连接，除非指定--listening, -l或--all, -a选项，否则此类套接字不包含在输出中。CLOSING: 两个套接字都关闭了，但我们仍然没有发送所有的数据。UNKNOWN: 套接字的状态未知。
User: 套接字所有者的用户名或用户ID(UID)。PID/Program name: 进程ID(PID)和拥有套接字的进程的进程名称之间用斜杠分隔，--program使该列包括在内，需要超级用户特权才能在不拥有的套接字上查看此信息，此标识信息尚不适用于IPX套接字。
UNIX域套接字
有关活动UNIX域套接字的信息属于以下类别:
Proto: 套接字使用的协议，通常是unix。RefCnt: 引用计数，即通过此套接字连接的进程。Flags: 显示的标志是SO_ACCEPTON显示为ACC，SO_WAITDATA(W)或SO_NOSPACE(N)，如果未连接的套接字的相应进程正在等待连接请求，则在未连接的套接字上使用SO_ACCECPTON，其他标志不是正常的关注点。Type: 套接字访问有几种类型:SOCK_DGRAM: 套接字用于数据报(无连接)模式。SOCK_STREAM: 这是一个流(连接)套接字。SOCK_RAW: 该套接字用作原始套接字。SOCK_RDM: 这个服务提供可靠的消息传递。SOCK_SEQPACKET: 这是一个顺序数据包套接字。SOCK_PACKET: 原始接口访问套接字。
State: 该字段将包含以下关键字之一:FREE: 未分配套接字。LISTENING:套接字正在监听连接请求，仅当指定--listening, -l或--all, -a选项时，此类套接字才会包含在输出中。CONNECTING: 套接字即将建立连接。CONNECTED: 套接字已连接。DISCONNECTING: 套接字正在断开连接。(empty): 该套接字未连接到另一套接字。
PID/Program name:打开套接字的进程的进程ID(PID)和进程名称。Path: 这是相应进程附加到套接字的路径名。Active IPX sockets: 活动IPX套接字的列表。Active NET/ROM sockets: 活动NET/ROM套接字的列表。Active AX.25 sockets: 活动AX.25套接字的列表。
文件
netstat使用以下文件:
/etc/services: 服务转换文件。/proc:proc文件系统的挂载点，它以文件层次结构的形式提供对内核状态信息的访问。/proc/net/dev: 设备信息文件。/proc/net/raw: 原始套接字信息。/proc/net/tcp:TCP套接字信息。/proc/net/udp:UDP套接字信息。/proc/net/igmp:IGMP多播信息。/proc/net/unix:Unix域套接字信息。/proc/net/ipx:IPX套接字信息。/proc/net/ax25:AX25套接字信息。/proc/net/appletalk:DDP(appletalk)套接字信息。/proc/net/nr:NET/ROM套接字信息。/proc/net/route:IP路由信息。/proc/net/ax25_route:AX25路由信息。/proc/net/ipx_route:IPX路由信息。/proc/net/nr_nodes:NET/ROM节点列表。/proc/net/nr_neigh:NET/ROM邻居。/proc/net/ip_masquerade: 伪装的连接。/proc/net/snmp: 统计。
示例
显示所有listening与non-listening的套接字，并使用管道和less便于查看当前状态。
netstat -a | less
列出所有TCP端口。
netstat -at
列出所有udp端口。
netstat -au
仅列出侦听端口。
netstat -l
列出所有端口的统计信息。
netstat -s | less
显示使用TCP的PID和程序名。
netstat -pt
获取内核路由信息。
netstat -r
获取与ssh相关的进程的网络信息。
netstat -ap | grep ssh
获取80端口的网路状态信息。
netstat -anp |grep :80
获取网络接口列表。
netstat -i
获取网络接口列表与拓展信息。
netstat -ie
配合awk命令获取TCP套接字的状态统计信息。
netstat -ant|awk '/^tcp/ {++S[$NF]} END {for(a in S) print (a,S[a])}'
每日一题
https://github.com/WindrunnerMax/EveryDay
参考
https://www.computerhope.com/unix/unetstat.htm
https://www.runoob.com/linux/linux-comm-netstat.html
https://www.geeksforgeeks.org/netstat-command-linux/