Linux统计TCP连接状态命令大全

本文深入解析了Linux下高效统计TCP连接状态的核心命令，明确推荐使用更精准、更快的`ss`替代传统`netstat`，详述了`ss -tan`及其状态过滤（如ESTABLISHED、TIME-WAIT、LISTEN）的正确用法，揭示了IPv4/IPv6重复计数、状态缩写陷阱、本地回环干扰等实战中极易踩坑的关键细节，并提供了基于`ss + awk`的一站式状态分类统计方案和性能排查思路——帮你告别模糊统计、快速定位连接异常根源。

直接看结论：用 ss -tan 统计最准、最快，netstat 在新系统上默认不可用且慢，别硬扛。

为什么 ss 比 netstat 更适合查 TCP 状态数量

ss 直接从内核 socket 子系统读取数据，不走 /proc/net/tcp 的文本解析流程；而 netstat 是对 /proc/net/{tcp,tcp6} 做字符串扫描，开销大、易受格式变更影响。CentOS 8+/Ubuntu 18.04+ 默认不装 net-tools，强行装还可能和 systemd-resolved 冲突。

• ss -tan state established | wc -l —— 查 ESTABLISHED 连接数（推荐）
• ss -tan state time-wait | wc -l —— 查 TIME-WAIT 数（常被忽略但影响端口复用）
• ss -tan state listen | wc -l —— 查监听中的端口数（注意：一个端口多个 IP 会算多次）
• 加 -o 可看到 timer 信息，比如 onack 或 keepalive，对排查连接假死有用

netstat 还能用吗？哪些场景下必须用它

仅当你要看进程名（-p）且没权限跑 ss -tulp（需要 root 或 cap_net_admin），或者调试老脚本兼容性时才考虑 netstat。但要注意：

• netstat -an | grep -i "established" | wc -l 会漏掉状态字段带空格的变体（如 ESTABLISHED 和 ESTABLISHED 尾部空格）
• netstat -ant | awk '$NF ~ /^[a-zA-Z]+$/ {print $NF}' | sort | uniq -c 才能真正按状态分类统计，但效率低
• 在容器里跑 netstat 很可能报 command not found，因为基础镜像（alpine、distroless）根本不含它

按状态精确分类统计的可靠写法（ss + awk）

要一次性列出所有 TCP 状态及数量，避免手工 grep 多次，用这个：

ss -tan | awk '{print $1}' | sort | uniq -c | sort -nr

说明：

• $1 是 ss -tan 输出的第一列，即状态（如 ESTAB、TIME-WAIT、LISTEN）
• 注意 ss 缩写状态名：ESTAB ≠ ESTABLISHED，FIN-WAIT-1 中的短横是字面量，不能写成下划线
• 如果想过滤掉本地回环连接，加 | grep -v "127.0.0.1\|::1" 在管道中
• ss -s 能快速总览（含 memory usage），但不按状态细分，适合初步判断是否异常膨胀

容易被忽略的陷阱：IPv4/IPv6 混合统计与端口复用

默认 ss -tan 同时包含 IPv4 和 IPv6 连接，但很多服务（如 Nginx）监听 :::80 时，一个连接会同时出现在 tcp 和 tcp6 中——导致重复计数。解决办法：

• 只看 IPv4：ss -tan4；只看 IPv6：ss -tan6
• 确认是否启用了 net.ipv6.bindv6only=0（默认值），这会让 IPv6 socket 同时接受 IPv4 连接，此时必须用 -4 避免 double-count
• TIME-WAIT 过多时，别急着调 net.ipv4.tcp_tw_reuse，先确认是不是客户端主动断连（如 HTTP keep-alive 关闭不当）

真实环境里，状态分布比总数更重要；比如大量 SYN-RECV 可能是 SYN Flood，大量 LAST-ACK 通常意味着对端没正确响应 FIN。

到这里，我们也就讲完了《Linux统计TCP连接状态命令大全》的内容了。个人认为，基础知识的学习和巩固，是为了更好的将其运用到项目中，欢迎关注golang学习网公众号，带你了解更多关于的知识点！