Linux ss 怎么查看监听 socket 对应的进程和网络状态

排查 Linux 端口时，ss 最有价值的不是“列出一堆端口”，而是把监听 socket、本地地址、连接状态和占用它的进程放到同一张视图里。想知道监听端口对应哪个进程，先执行 sudo ss -lntup；想看已经建立的连接，再执行 sudo ss -antp。其中 -l 只看监听，-n 保留数字端口，-t/-u 分别选择 TCP/UDP，-p 显示进程信息。

先从监听 socket 建立进程映射

监听检查建议先分协议，不要一上来只看一个端口号。下面的命令会同时列出 TCP 和 UDP 监听项：

# -p 需要读取进程信息，生产机上用 sudo 避免权限导致映射不完整
sudo ss -lntup

重点看四类字段：Netid 表示协议，State 表示当前状态，Local Address:Port 表示绑定地址和端口，users 则给出进程名、PID 和文件描述符。0.0.0.0:8080 通常意味着 IPv4 所有本地地址，127.0.0.1:8080 只接受本机回环访问；这两种监听范围不能混为一谈。

用连接状态判断问题停在哪一层

监听存在，只能说明服务创建了 socket，不能证明请求已经成功建立。查看连接时去掉 -l，并保留进程字段：

# -a 包含监听和非监听项，-t 只筛 TCP，-p 继续保留 PID/FD 映射
sudo ss -antp

LISTEN 表示等待连接；ESTAB 表示连接已经建立；SYN-SENT 常见于本端发起连接后等待回应；TIME-WAIT 是连接关闭后的 TCP 状态。UDP 通常没有 TCP 那样的握手状态，因此要同时观察本地地址、对端地址以及是否有对应进程。排查“服务端口开着但访问失败”时，先判断客户端是否能看到 ESTAB，再讨论应用层。

过滤端口，再看队列和扩展字段

连接很多时，使用过滤器比人工翻输出可靠。下面只聚焦本地 8080 端口：

# 过滤本地端口，冒号表示端口值；保留数字地址，便于和防火墙规则对照
sudo ss -tanp 'sport = :8080'

# 只看已经建立的 TCP 连接，观察对端地址和进程映射
sudo ss -antp state established

Recv-Q 和 Send-Q 是 socket 队列相关字段，含义会随监听或已连接状态变化，不能直接当作网卡吞吐量。需要看 TCP 定时器时加 -o，需要补充 UID、inode 等信息时加 -e：

# -o 展示定时器；-e 展示 UID、inode 等扩展信息
sudo ss -ntope

进程字段为空时先查可见性

看到监听项却没有完整的 users:(())，不要立即判断“端口没有程序占用”。常见原因有三个：当前用户无权读取其他用户的 socket；命令运行在容器或其他网络命名空间里；进程刚好退出，socket 状态正在变化。先用 sudo 重复同一查询，再确认命令和服务是否位于同一个网络命名空间。容器场景还要核对宿主机端口映射，宿主机看到的监听进程未必是容器内的业务进程。

相关问题

只想查一个端口，最短命令是什么？

sudo ss -lntup 'sport = :8080' 适合先查 TCP/UDP 监听；如果还要看连接，把 -l 去掉并使用 -a。

为什么 ss 能看到端口却看不到 PID？

优先怀疑权限或网络命名空间。用相同参数加 sudo，并在服务所在的命名空间内再次执行。

ss 能替代应用日志吗？

不能。ss 说明 socket 和内核网络状态，应用是否处理请求、返回什么错误仍要结合应用日志和指标。

实际排查可以固定成四步：先看 -lntup 的监听和进程，再看 -antp 的状态与对端，随后用端口过滤缩小范围，最后用权限、命名空间和应用日志交叉确认。