简介
Netstat 命令用于显示各种网络相关信息，如网络连接，路由表，接口状态 (Interface Statistics)，masquerade 连接，多播成员 (Multicast Memberships) 等等。
输出信息含义
执行netstat后，其输出结果为
Active Internet connections (w/o servers) Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 0 linux.site:7047 144.131.254.154:63855 ESTABLISHED tcp 0 0 linux.site:ncube-lm 172.27.16.136:51217 ESTABLISHED tcp 0 0 linux.site:7103 144.131.254.154:62328 ESTABLISHED tcp 0 0 linux.site:55586 144.131.254.154:61111 ESTABLISHED tcp 0 1716 linux.site:ssh 172.27.16.238:61407 ESTABLISHED Active UNIX domain sockets (w/o servers) Proto RefCnt Flags Type State I-Node Path unix 12 [ ] DGRAM 11363 /dev/log unix 2 [ ] DGRAM 11370 /var/lib/named/dev/log unix 3 [ ] STREAM CONNECTED 9593032 unix 3 [ ] STREAM CONNECTED 9581604 unix 3 [ ] STREAM CONNECTED 9580352
netstat输出结果可以分为两个部分：
Active Internet connections，称为有源TCP连接。Proto（协议，有tcp、udp等），Recv-Q接收队列，Send-Q发送队列。
Active UNIX domain sockets，称为有源Unix域套接口（和网络套接字一样，但是只能用于本机通信，性能可以提高一倍）。Proto显示连接使用的协议,RefCnt表示连接到本套接口上的进程号，Typs显示套接口的类型，State显示套接口当前的状态，Path表示连接到套接口的其它进程使用的路径名。
常见参数
-a (all)显示所有选项，默认不显示LISTEN相关
-t (tcp)仅显示tcp相关选项
-u (udp)仅显示udp相关选项
-x (unix域套接字)仅显示unix域套接字相关选项
-n 拒绝显示别名，能显示数字的全部转化成数字。
-l 仅列出有在 Listen (监听) 的服務状态
-p 显示建立相关链接的程序名
-r 显示路由信息，路由表
-e 显示扩展信息，例如uid等
-s 按各个协议进行统计
-c 每隔一个固定时间，执行该netstat命令。
-e 显示额外的信息
-i 显示所有网络接口表
提示：LISTEN和LISTENING的状态只有用-a或者-l才能看到
实用命令实例
1. 列出所有端口 (包括监听和未监听的)
列出所有端口 netstat -a
# netstat -a Active Internet connections (servers and established) Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 0 nbcs235.site:7080 *:* LISTEN tcp 0 0 nbcs235.site:46759 nbcs235.site:beeyond ESTABLISHED udp 0 0 nbcs235.site:svrloc *:* Active UNIX domain sockets (servers and established) Proto RefCnt Flags Type State I-Node Path unix 2 [ ACC ] STREAM LISTENING 24515 public/flush unix 3 [ ] STREAM CONNECTED 24518
列出所有 tcp 端口 netstat -at
# netstat -at Active Internet connections (servers and established) Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 0 localhost:fagordnc *:* LISTEN tcp 0 0 *:ups-onlinet *:* LISTEN tcp 0 0 nbcs235.site:beeyond 172.16.28.61:53312 ESTABLISHED tcp 0 0 nbcs235.site:beeyond 144.131.254.75:25721 ESTABLISHED
列出所有 udp 端口 netstat -au
# netstat -au Active Internet connections (servers and established) Proto Recv-Q Send-Q Local Address Foreign Address State udp 0 0 localhost:filenet-tms localhost:filenet-tms ESTABLISHED udp 0 0 *:14247 *:* udp 0 0 255.255.255.255:svrloc *:*
2. 列出所有处于监听状态的 Sockets
只显示监听端口 netstat -l
# netstat -l Active Internet connections (only servers) Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 0 localhost:fagordnc *:* LISTEN tcp 0 0 *:ups-onlinet *:* LISTEN Active UNIX domain sockets (only servers) Proto RefCnt Flags Type State I-Node Path unix 2 [ ACC ] STREAM LISTENING 24499 private/bounce unix 2 [ ACC ] STREAM LISTENING 24503 private/defer
只列出所有监听 tcp 端口 netstat -lt
# netstat -lt Active Internet connections (only servers) Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 0 localhost:fagordnc *:* LISTEN tcp 0 0 *:ups-onlinet *:* LISTEN
只列出所有监听 udp 端口 netstat -lu
# netstat -lu Active Internet connections (only servers) Proto Recv-Q Send-Q Local Address Foreign Address State udp 0 0 *:14247 *:* udp 0 0 255.255.255.255:svrloc *:*
只列出所有监听 UNIX 端口 netstat -lx
# netstat -lx Active UNIX domain sockets (only servers) Proto RefCnt Flags Type State I-Node Path unix 2 [ ACC ] STREAM LISTENING 24576 private/vscan unix 2 [ ACC ] STREAM LISTENING 24022 /var/run/.nscd_socket
3. 显示每个协议的统计信息
显示所有端口的统计信息 netstat -s
# netstat -s Ip: 11150 total packets received 1 with invalid addresses 0 forwarded 0 incoming packets discarded 11149 incoming packets delivered 11635 requests sent out Icmp: 0 ICMP messages received 0 input ICMP message failed. Tcp: 582 active connections openings 2 failed connection attempts 25 connection resets received Udp: 1183 packets received 4 packets to unknown port received. .....
显示 TCP 或 UDP 端口的统计信息 netstat -st 或 -su
# netstat -st # netstat -su
4. 在 netstat 输出中显示 PID 和进程名称 netstat -p
netstat -p 可以与其它开关一起使用，就可以添加 “PID/进程名称” 到 netstat 输出中，这样 debugging 的时候可以很方便的发现特定端口运行的程序。
# netstat -pt Active Internet connections (w/o servers) Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp 0 0 linux.site:7047 144.131.254.154:63855 ESTABLISHED 24367/nac_d tcp 0 0 linux.site:ncube-lm 172.27.16.136:51217 ESTABLISHED -
5. 在 netstat 输出中不显示主机，端口和用户名 (host, port or user)
当你不想让主机，端口和用户名显示，使用 netstat -n。将会使用数字代替那些名称。
同样可以加速输出，因为不用进行比对查询。
# netstat -an
如果只是不想让这三个名称中的一个被显示，使用以下命令
# netsat -a --numeric-ports # netsat -a --numeric-hosts # netsat -a --numeric-users
6. 持续输出 netstat 信息
netstat 将每隔一秒输出网络信息。
# netstat -c Active Internet connections (w/o servers) Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 0 linux.site:7047 144.131.254.154:63855 ESTABLISHED tcp 0 0 linux.site:ncube-lm 172.27.16.136:51217 ESTABLISHED
7. 显示系统不支持的地址族 (Address Families)
netstat --verbose
在输出的末尾，会有如下的信息
netstat: no support for `AF IPX' on this system. netstat: no support for `AF AX25' on this system. netstat: no support for `AF X25' on this system. netstat: no support for `AF NETROM' on this system.
8. 显示核心路由信息 netstat -r
# netstat -r Kernel IP routing table Destination Gateway Genmask Flags MSS Window irtt Iface 144.131.254.0 * 255.255.255.0 U 0 0 0 eth0 link-local * 255.255.0.0 U 0 0 0 eth0 loopback * 255.0.0.0 U 0 0 0 lo default 144.131.254.254 0.0.0.0 UG 0 0 0 eth0
注意： 使用 netstat -rn 显示数字格式，不查询主机名称。
9. 找出程序运行的端口
并不是所有的进程都能找到，没有权限的会不显示，使用 root 权限查看所有的信息。
# netstat -ap | grep ssh tcp 0 0 *:ssh *:* LISTEN - tcp 0 0 linux.site:ssh 10.32.6.250:8570 ESTABLISHED - tcp 0 0 linux.site:ssh 172.27.16.208:56619 ESTABLISHED - tcp 0 0 linux.site:ssh 10.32.6.250:49715 ESTABLISHED -
找出运行在指定端口的进程
# netstat -an | grep ':80'
10. 显示网络接口列表
# netstat -i Kernel Interface table Iface MTU Met RX-OK RX-ERR RX-DRP RX-OVR TX-OK TX-ERR TX-DRP TX-OVR Flg eth0 1500 017773437 0 0 018315393 0 0 0 BMRU lo 16436 0 204145 0 0 0 204145 0 0 0 LRU
显示详细信息，像是 ifconfig 使用 netstat -ie:
# netstat -ie Kernel Interface table eth0 Link encap:Ethernet HWaddr 34:40:B5:A1:A5:4C inet addr:144.131.254.238 Bcast:144.131.254.255 Mask:255.255.255.0 inet6 addr: fe80::3640:b5ff:fea1:a54c/64 Scope:Link UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:17777389 errors:0 dropped:0 overruns:0 frame:0 TX packets:18319805 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1000 RX bytes:1474017065 (1405.7 Mb) TX bytes:600551761 (572.7 Mb) Interrupt:17 Memory:96000000-96012100 lo Link encap:Local Loopback inet addr:127.0.0.1 Mask:255.0.0.0 inet6 addr: ::1/128 Scope:Host UP LOOPBACK RUNNING MTU:16436 Metric:1 RX packets:204951 errors:0 dropped:0 overruns:0 frame:0 TX packets:204951 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:19357868 (18.4 Mb) TX bytes:19357868 (18.4 Mb)
11. IP和TCP分析
查看连接某服务端口最多的的IP地址
wss8848@ubuntu:~$ netstat -nat | grep "192.168.1.15:22" |awk '{print $5}'|awk -F: '{print $1}'|sort|uniq -c|sort -nr|head -20 18 221.136.168.36 3 154.74.45.242 2 78.173.31.236 2 62.183.207.98 2 192.168.1.14 2 182.48.111.215 2 124.193.219.34 2 119.145.41.2 2 114.255.41.30 1 75.102.11.99
TCP各种状态列表
wss8848@ubuntu:~$ netstat -nat |awk '{print $6}' established) Foreign LISTEN TIME_WAIT ESTABLISHED TIME_WAIT SYN_SENT
先把状态全都取出来,然后使用uniq -c统计，之后再进行排序。
wss8848@ubuntu:~$ netstat -nat |awk '{print $6}'|sort|uniq -c 143 ESTABLISHED 1 FIN_WAIT1 1 Foreign 1 LAST_ACK 36 LISTEN 6 SYN_SENT 113 TIME_WAIT 1 established)
最后的命令如下:
netstat -nat |awk '{print $6}'|sort|uniq -c|sort -rn