Linux查看TCP连接状态命令详解

本文深入解析了Linux系统中高效、准确统计TCP连接状态的核心方法，重点推荐了比netstat更快更稳的ss命令组合——`ss -tn state all | awk '{print $NF}' | sort | uniq -c | sort -nr`，并系统揭示了常见误区（如大小写敏感、字段偏移、sport/dport混淆、IPv6干扰等），同时提供高并发场景下的性能优化技巧和/proc/net/tcp底层替代方案，助你精准掌控ESTABLISHED、TIME_WAIT、LISTEN等关键状态，真正读懂服务器网络连接健康状况。

查 TCP 各状态连接数用什么命令最稳

直接跑 ss -tn state all | awk '{print $NF}' | sort | uniq -c | sort -nr，比 netstat 快、准、不依赖额外包。它把每行最后一列（即状态）抽出来计数，state all 确保不漏掉任何状态，sort -nr 让 ESTABLISHED、TIME_WAIT 这类高频状态排在前面。

常见错误是只写 ss -tn 不加 state all，某些内核版本下默认只显示部分状态；也有人用 netstat -an | awk '/^tcp/ {print $6}' | sort | uniq -c，但高并发时 netstat 解析慢、CPU 占用高，万级连接下延迟明显。

如果系统连 ss 都没有（比如 Alpine 容器），就去读 /proc/net/tcp：
awk '$4 ~ /^0[1-9A-F]$/ {++s[$4]} END {for (k in s) print k, s[k]}' /proc/net/tcp。这里 $4 是十六进制状态码，01 = ESTABLISHED，06 = TIME_WAIT，0A = LISTEN —— 别硬记，查 man 7 tcp 或搜 “linux tcp state hex” 就能确认。

统计 ESTABLISHED 连接数为什么不能只看 netstat -na | grep established

大小写敏感，且容易误匹配：比如 established 可能被 established_time 或日志里其他字段带出来。更糟的是，有些输出里状态列是 ESTABLISHED（全大写），有些是 established（小写），取决于内核版本或工具实现。

正确做法是强制统一过滤：

• ss -tn state established | wc -l —— state established 是 ss 的原生语法，不区分大小写，也不怕字段偏移
• netstat -tn | awk '$6 == "ESTABLISHED" {++n} END {print n+0}' —— 用 $6 锁定第六列，避免 grep 模糊匹配
• 别用 netstat -l 查活跃连接，它只列 LISTEN，和 ESTABLISHED 完全是两回事

按端口或 IP 统计连接分布时 sport/dport 别写反

服务端视角看自己监听的连接，用 sport（source port）；客户端视角看自己连出去的目标端口，用 dport（destination port）。很多人查 Web 服务连了多少人，却写了 ss -tn dport :80，结果统计的是“本机主动连了哪些 80 端口”，不是“别人连了本机的 80 端口”。

实操建议：

• 查本机 80 端口被连了多少次：ss -tn state established sport :80 | wc -l
• 查哪个远程 IP 连得最多：ss -tn state established sport :80 | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | head -10
• 排除 IPv6 干扰：ss -tn state established sport :80 | grep -v '\[.*\]' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr

注意 $5 是 ss 输出里的第五列，格式为 192.168.1.100:12345，所以用 cut -d: -f1 提取 IP；如果服务绑定了多个 IP，可用 ss -tn dst 192.168.1.100:80 限定目标地址。

高并发下统计不准或卡顿，优先换 ss + 减少管道层级

当连接数上万时，netstat -an | grep ESTABLISHED | wc -l 可能卡住几秒，因为 netstat 要遍历所有 socket 并做字符串解析；而 ss 直接从内核 socket 表读取，结构化输出，快 3–5 倍。

性能优化要点：

• 避免多层 grep 套娃，比如 ss -tn | grep established | grep :80 | wc -l，改用 ss -tn state established sport :80 | wc -l
• 不用 awk '{print $5}' | awk -F: '{print $1}' 这种重复切分，一次 awk 足够：awk '{split($5,a,":"); print a[1]}'
• 实时监控别用 watch -n1 'netstat -an | grep ESTABLISHED | wc -l'，换成 watch -n1 'ss -tn state established | wc -l'

真正难处理的是 TIME_WAIT 大量堆积——它不算活跃连接，但会占文件描述符。单独查它：ss -tn state time-wait | wc -l，再结合 sysctl net.ipv4.tcp_tw_reuse 看是否可复用，而不是光盯着 ESTABLISHED 数字猛刷。

本篇关于《Linux查看TCP连接状态命令详解》的介绍就到此结束啦，但是学无止境，想要了解学习更多关于文章的相关知识，请关注golang学习网公众号！