网络协议 012：工具：netstat查看服务及监听端口详解

在 Linux 使用过程中，需要了解当前系统开放了哪些端口，并且要查看开放这些端口的具体进程和用户，可以通过 netstat 命令进行简单查询。注：以下返回内容中，我用 xxx 注释掉了一部分敏感 ip 地址。

netstat 的参数

netstat 命令各个参数说明如下：

-a 或 --all：显示所有连线中的 Socket；
-A <网络类型> 或 --<网络类型>：列出该网络类型连线中的相关地址；
-c 或 --continuous：持续列出网络状态；
-C 或 --cache：显示路由器配置的快取信息；
-e 或 --extend：显示网络其他相关信息；
-F 或 --fib：显示 FIB；
-g 或 --groups：显示多重广播功能群组组员名单；
-h 或 --help：在线帮助；
-i 或 --interfaces：显示网络界面信息表单；
-l 或 --listening：显示监控中的服务器的 Socket；
-M 或 --masquerade：显示伪装的网络连线；
-n 或 --numeric：直接使用 IP 地址，而不通过域名服务器；
-N 或 --netlink 或 --symbolic：显示网络硬件外围设备的符号连接名称；
-o 或 --timers：显示计时器；
-p 或 --programs：显示正在使用 Socket 的程序识别码和程序名称；
-r 或 --route：显示 Routing Table；
-s 或 --statistice：显示网络工作信息统计表；
-t 或 --tcp：显示 TCP 传输协议的连线状况；
-u 或 --udp：显示 UDP 传输协议的连线状况；
-v 或 --verbose：显示指令执行过程；
-V 或 --version：显示版本信息；
-w 或 --raw：显示 RAW 传输协议的连线状况；
-x 或 --unix：此参数的效果和指定 “-A unix” 参数相同；
--ip 或 --inet：此参数的效果和指定 “-A inet” 参数相同。

netstat 输出内容

以查看当前所有 tcp/udp 端口为例：

netstat -tulnp

Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1904/sshd
tcp        0      0 127.0.0.1:631           0.0.0.0:*               LISTEN      1750/cupsd
tcp        0      0 0.0.0.0:44567           0.0.0.0:*               LISTEN      1713/rpc.statd
tcp        0      0 0.0.0.0:10050           0.0.0.0:*               LISTEN      1965/zabbix_agentd
tcp        0      0 172.172.230.xxx:3306    0.0.0.0:*               LISTEN      31849/mysqld
tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN      1576/rpcbind
tcp        0      0 172.172.230.xxx:46327   172.172.100.3:80        TIME_WAIT   -
tcp        0      0 172.172.230.xxx:46329   172.172.100.3:80        TIME_WAIT   -
tcp        0     52 172.172.230.xxx:22      172.172.173.222:50043   ESTABLISHED 6095/sshd
tcp        0      0 172.172.230.xxx:46326   172.172.100.3:80        TIME_WAIT   -
tcp        0      0 172.172.230.xxx:5401    172.172.100.3:443       TIME_WAIT   -
tcp        0      0 :::22                   :::*                    LISTEN      1904/sshd
tcp        0      0 ::1:631                 :::*                    LISTEN      1750/cupsd
tcp        0      0 :::11776                :::*                    LISTEN      1713/rpc.statd
tcp        0      0 :::10050                :::*                    LISTEN      1965/zabbix_agentd
tcp        0      0 :::111                  :::*                    LISTEN      1576/rpcbind

对上述返回内容进一步解释如下。

Proto，Recv-Q，Send-Q

Proto：协议名（tcp 协议还是 udp 协议）；
Recv-Q：网络接收队列，表示收到的数据已经在本地接收缓冲，但是还有多少没有被进程取走，recv()。如果接收队列 Recv-Q 一直处于阻塞状态，可能是遭受了拒绝服务 denial-of-service 攻击；
Send-Q：网路发送队列，对方没有收到的数据或者说没有 Ack 的，还是本地缓冲区。如果发送队列 Send-Q 不能很快地清零，可能是有应用向外发送数据包过快，或者是对方接收数据包不够快。

这两个值通常应该为 0，如果不为 0 可能是有问题的，packets 在两个队列里都不应该有堆积状态，可接受短暂的非 0 情况。从上面的结果中可以看到 22 端口对应的链路的 Send-Q 中堆积了大量的数据包，可以判定是发送数据给目的地址的时候出现了阻塞的问题，导致了包堆积在本地缓存中，不能成功发出去。

Local Address

0.0.0.0:22：表示监听服务器上所有 ip 地址的 22 端口（0.0.0.0 表示本地所有 ip），比如你的服务器是有 172.172.230.210 和 172.172.230.11 两个 ip 地址，那么 0.0.0.0:22 此时表示监听 172.172.230.210、172.172.230.xxx、127.0.0.1 三个地址的 22 端口；
:::22：这个也表示监听本地所有 ip 的 22 端口，跟上面的区别是这里表示的是 IPv6 地址，上面的 0.0.0.0 表示的是本地所有 IPv4 地址。NOTE：”:::” 这三个 : 的前两个 ”::“，是 “0:0:0:0:0:0:0:0” 的缩写，相当于 IPv6 的 “0.0.0.0”，就是本机的所有 IPv6 地址，第三个 : 是 IP 和端口的分隔符；
127.0.0.1:631：表示监听本机的 loopback 地址的 631 端口（如果某个服务只监听了回环地址，那么只能在本机进行访问，无法通过 tcp/ip 协议进行远程访问）；
::1:631：表示监听 IPv6 的回环地址的 631 端口，::1 表示 IPv6 的 loopback 地址；
172.172.230.xxx:3306：这里我们看到 mysqld 进程监听的是 172.172.230.xxx 的 3306 端口，这是因为我们在启动的时候指定了 bind_address=172.172.230.xxx 参数，如果不指定 bind_address 的话，mysqld 默认监听 :::3306（本机所有 ip 地址的 3306 端口 - IPv6）。

Foreign Address

与本机端口通信的外部 socket，显示规则与 Local Address 相同。

State

共有 11 种链路状态 + Unknown，共计 12 种 state 值，前面 11 种是按照 TCP 连接建立的三次握手和 TCP 连接断开的四次挥手过程来描述的。

状态	描述
LISTEN	首先服务端需要打开一个 socket 进行监听，状态为 LISTEN。侦听来自远方 TCP 端口的连接请求
SYN_SENT	客户端通过应用程序调用 connect 进行 active open，于是客户端 tcp 发送一个 SYN 以请求建立一个连接，之后状态置为 SYN_SENT。在发送连接请求后等待匹配的连接请求
SYN_RECV	服务端应发出 ACK 确认客户端的 SYN，同时自己向客户端发送一个 SYN，之后状态置为 SYN_RECV。在收到和发送一个连接请求后等待对连接请求的确认
ESTABLISHED	代表一个打开的连接，双方可以进行或已经在数据交互了。代表一个打开的连接，数据可以传送给用户
FIN_WAIT1	主动关闭（active close）端应用程序调用 close，于是其 TCP 发出 FIN 请求主动关闭连接，之后进入 FIN_WAIT1 状态。等待远程 TCP 的连接中断请求，或先前的连接中断请求的确认
CLOSE_WAIT	被动关闭（passive close）端 TCP 接到 FIN 后，就发出 ACK 以回应 FIN 请求（它的接收也作为文件结束符传递给上层应用程序），并进入 CLOSE_WAIT。等待从本地用户发来的连接中断请求
FIN_WAIT2	主动关闭端接到 ACK 后，就进入了 FIN-WAIT-2。从远程 TCP 等待连接中断请求
LAST_ACK	被动关闭端一段时间后，接收到文件结束符的应用程序将调用 CLOSE 关闭连接，这导致它的 TCP 也发送一个 FIN，等待对方的 ACK，就进入了 LAST-ACK。等待原来发向远程 TCP 的连接中断请求的确认
TIME_WAIT	在主动关闭端接收到 FIN 后，TCP 就发送 ACK 包，并进入 TIME-WAIT 状态。等待足够的时间以确保远程 TCP 接收到连接中断请求的确认
CLOSING	比较少见。Both sockets are shut down but we still don’t have all our data sent，等待远程 TCP 对连接中断的确认
CLOSED	被动关闭端在接受到 ACK 包后，就进入了 closed 的状态，连接结束。没有任何连接状态
UNKNOWN	未知的 Socket 状态

备注：

SYN：(同步序列编号，Synchronize Sequence Numbers) 该标志仅在三次握手建立 TCP 连接时有效，表示一个新的 TCP 连接请求；
ACK：(确认编号，Acknowledgement Number) 是对 TCP 请求的确认标志，同时提示对端系统已经成功接收所有数据；
FIN：(结束标志，FINish) 用来结束一个 TCP 回话，但对应端口仍处于开放状态，准备接收后续数据。

PID/Program

PID 即进程 id，Program 即使用该 socket 的应用程序。

常用的一些命令

netstat -t/-u/-l/-r/-n【显示网络相关信息，-t:TCP 协议，-u:UDP 协议，-l:监听，-r:路由，-n:显示 IP 地址和端口号】。

显示协议统计信息和 TCP/IP 网络连接

注：删减了部分结果。

netstat -ano

Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       Timer
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      off (0.00/0/0)
tcp        0      0 0.0.0.0:443             0.0.0.0:*               LISTEN      off (0.00/0/0)
tcp        0      0 172.21.0.14:443         120.242.11.29:15878     ESTABLISHED off (0.00/0/0)
tcp        0      0 172.21.0.14:55758       169.254.0.4:80          TIME_WAIT   timewait (33.29/0/0)
tcp        0   6728 172.21.0.14:443         183.249.4.28:52323      ESTABLISHED on (0.05/0/0)
tcp6       0      0 :::3306                 :::*                    LISTEN      off (0.00/0/0)
udp        0      0 0.0.0.0:68              0.0.0.0:*                           off (0.00/0/0)
udp        0      0 172.21.0.14:123         0.0.0.0:*                           off (0.00/0/0)
udp        0      0 127.0.0.1:123           0.0.0.0:*                           off (0.00/0/0)
udp6       0      0 fe80::5054:ff:fe2b::123 :::*                                off (0.00/0/0)
udp6       0      0 ::1:123                 :::*                                off (0.00/0/0)
Active UNIX domain sockets (servers and established)
Proto RefCnt Flags       Type       State         I-Node Path
unix 2      [ ACC ]     STREAM     LISTENING     67561565 /usr/local/yd.socket.server
unix 2      [ ACC ]     STREAM     LISTENING     13619    /var/run/acpid.socket
unix 2      [ ACC ]     STREAM     LISTENING     12855    /var/run/lsm/ipc/simc
unix 2      [ ACC ]     STREAM     LISTENING     12857    /var/run/lsm/ipc/sim
unix 2      [ ]         DGRAM                   10062    /run/systemd/shutdownd
unix 2      [ ]         DGRAM                   15773
unix 3      [ ]         STREAM     CONNECTED     67561623

查看本机监听的端口

netstat -tlun

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:443             0.0.0.0:*               LISTEN
udp        0      0 172.21.0.14:123         0.0.0.0:*
udp        0      0 127.0.0.1:123           0.0.0.0:*
udp6       0      0 fe80::5054:ff:fe2b::123 :::*
udp6       0      0 ::1:123                 :::*

查看本机路由表

netstat -rn

Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
0.0.0.0         172.21.0.1      0.0.0.0         UG        0 0          0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U         0 0          0 eth0
172.21.0.0      0.0.0.0         255.255.240.0   U         0 0          0 eth0

列出所有端口

netstat -a

Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 VM-0-14-cent:cslistener  0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:http            0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:us-srv          0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:ssh             0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:https           0.0.0.0:*               LISTEN
tcp        0      0 pdai-centos:https        125.85.238.55:7123      TIME_WAIT
tcp        0      0 pdai-centos:https        39.144.22.5:50742       ESTABLISHED
...

列出所有的 TCP 端口

netstat -at

Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 VM-0-14-cent:cslistener  0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:http            0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:us-srv          0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:ssh             0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:https           0.0.0.0:*               LISTEN
tcp        0      0 pdai-centos:https        39.144.22.xx:50742      FIN_WAIT2
tcp        0      0 pdai-centos:https        59.71.243.xx:6994       ESTABLISHED
tcp        0      0 pdai-centos:https        125.85.238.xx:7096      FIN_WAIT2
tcp6       0      0 [::]:mysql              [::]:*                  LISTEN
tcp6       0      0 [::]:distinct           [::]:*                  LISTEN
tcp6       0      0 [::]:ddi-tcp-1          [::]:*                  LISTEN
tcp6       1      0 172.21.0.14:ddi-tcp-1   140.82.115.xx:24923     CLOSE_WAIT
tcp6       1      0 172.21.0.14:ddi-tcp-1   140.82.115.xx:64953     CLOSE_WAIT
tcp6       1      0 172.21.0.14:ddi-tcp-1   140.82.115.xx:55955     CLOSE_WAIT

列出所有的 UDP 端口

netstat -au

Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
udp        0      0 0.0.0.0:bootpc          0.0.0.0:*
udp        0      0 pdai-centos:ntp         0.0.0.0:*
udp        0      0 pdai-centos:ntp         0.0.0.0:*
udp6       0      0 pdai-centos:ntp         [::]:*
udp6       0      0 pdai-centos:ntp         [::]:*

列出所有监听 TCP 端口的 socket

netstat -lt

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 VM-0-14-cent:cslistener  0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:http            0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:us-srv          0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:ssh             0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:https           0.0.0.0:*               LISTEN
tcp6       0      0 [::]:mysql              [::]:*                  LISTEN
tcp6       0      0 [::]:distinct           [::]:*                  LISTEN
tcp6       0      0 [::]:ddi-tcp-1          [::]:*                  LISTEN

列出所有监听 UDP 端口的 socket

netstat -lu

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
udp        0      0 0.0.0.0:bootpc          0.0.0.0:*
udp        0      0 pdai-centos:ntp         0.0.0.0:*
udp        0      0 pdai-centos:ntp         0.0.0.0:*
udp6       0      0 pdai-centos:ntp         [::]:*
udp6       0      0 pdai-centos:ntp         [::]:*

找出程序运行的端口

以 ssh 为例：

netstat -ap | grep ssh

tcp        0      0 0.0.0.0:ssh             0.0.0.0:*               LISTEN      1120/sshd
tcp        0     64 pdai-centos:ssh         117.82.229.xx:41408     ESTABLISHED 28968/sshd: xx@pt
tcp        0      0 pdai-centos:ssh         xxx.122.15.xx:32966     TIME_WAIT   -
tcp        0      0 pdai-centos:ssh         203.xxx.85.146:43730    ESTABLISHED 687/sshd: xx [pri
tcp        0      0 pdai-centos:ssh         134.xx.xx.36:54474      TIME_WAIT   -
tcp        0      0 pdai-centos:ssh         64.xx.111.127:45444     TIME_WAIT   -
unix 3      [ ]         STREAM     CONNECTED     16580    1120/sshd
unix 2      [ ]         DGRAM                   113619201 28968/sshd: root@pt

几个有用查找

查找请求数前 20 个 IP（常用于查找攻击来源）：

netstat -anlp|grep 80|grep tcp|awk '{print $5}'|awk -F: '{print $1}'|sort|uniq -c|sort -nr|head -n20

或者：

netstat -ant |awk '/:80/{split($5,ip,":");++A[ip[1]]}END{for(i in A) print A[i],i}' |sort -rn|head -n20

查找较多 time_wait 连接：

netstat -n|grep TIME_WAIT|awk '{print $5}'|sort|uniq -c|sort -rn|head -n20

找查较多的 SYN 连接：

netstat -an | grep SYN | awk '{print $5}' | awk -F: '{print $1}' | sort | uniq -c | sort -nr | more

根据端口列进程：

netstat -ntlp | grep 80 | awk '{print $7}' | cut -d/ -f1

系列导航

上一篇：tcpdump 使用详解
下一篇：网络协议和工具知识体系详解（回到系列首页）
相关阅读：TCP 协议详解（对照 State 各状态理解） | tcpdump 使用详解 | Wireshark 介绍及抓包分析

CHARLIE SAYS