ss 监听端口怎么配置或排查

排查 Linux 监听端口时，先执行 ss -lntup：-l 只看监听套接字，-n 保留数字地址和端口，-t、-u 分别覆盖 TCP 和 UDP，-p 补出进程信息。它能回答“端口有没有监听、绑定在哪个地址、谁占用了它”这三个问题，但不能单独证明防火墙已经放行。

先用 ss -lntup 看见所有监听端口

ss 是 iproute2 工具集中的套接字统计命令。默认输出并不等于“所有端口”，因此排查监听状态要显式加上 -l。建议先保留表头跑一遍，确认列的含义：

# 同时查看 TCP/UDP 监听，并显示数字端口和所属进程
ss -lntup

# 只查 TCP 监听，避免 UDP 记录干扰阅读
ss -lntp

常见列可以这样读：Netid 是协议，State 对 TCP 常见为 LISTEN，Local Address:Port 是监听地址和端口，Process 展示进程名与 PID。使用 -p 时，普通用户可能看不到不属于自己的进程信息，必要时在授权范围内使用 sudo。

按端口、协议和进程缩小范围

全量结果较多时，优先用 ss 自带过滤表达式，不要只依赖肉眼搜索。下面的过滤条件围绕“源端口是 8080”这一项，括号要用引号保护，避免被 shell 当成语法：

# 查询 TCP 8080 的监听记录，保留数字地址和进程信息
ss -lntp '( sport = :8080 )'

# 查询 UDP 5353 的本地监听记录
ss -lnup '( sport = :5353 )'

# 只筛 IPv4，排除 IPv6 记录造成的重复判断
ss -4lntp '( sport = :8080 )'

如果只想确认端口号是否出现，也可以配合 grep，但要注意端口可能出现在进程命令行或其他列中；过滤表达式更适合作为第一判断。-a 会把监听和非监听套接字一起列出，适合追踪已有连接，不适合替代默认的监听排查。

为什么看到 LISTEN 仍然连不上

监听记录只说明内核已经为某个本地地址和端口维护监听套接字。先看地址，再判断访问范围：

• 127.0.0.1:8080：服务只绑定回环地址，远程主机无法直接连接。
• 0.0.0.0:8080：服务通常监听所有 IPv4 本地地址，但仍可能被防火墙或上游安全策略拦截。
• [::]:8080：表示 IPv6 通配地址；是否同时接收 IPv4 取决于系统的 IPv6 socket 行为和服务设置，不能仅凭这一行下结论。

再对照进程名和 PID，确认不是旧实例、容器网络命名空间或错误的服务用户。最后分别检查主机防火墙、容器端口映射、云安全组和客户端实际访问的 IP。ss 看不到“远端是否放行”，也不会替代应用层健康检查。

把命令组合成一段可复制的排查脚本

下面的片段只读取套接字信息，不修改服务配置。端口未知时先全量查看；端口已知时把变量替换为目标值。输出为空不一定代表服务不存在，也可能是协议选错、权限不足或服务运行在其他网络命名空间。

#!/usr/bin/env bash
set -u

port="${1:-8080}"

# 先分别查询 TCP 和 UDP，避免把两种协议的状态混在一起
echo "== TCP :${port} =="
ss -lntp "( sport = :${port} )" || true

echo "== UDP :${port} =="
ss -lnup "( sport = :${port} )" || true

# 地址只代表绑定范围，外部访问仍需继续检查防火墙和上游策略
echo "== all listening sockets =="
ss -lntup

这里的 || true 只用于让脚本继续输出下一段，不能把空结果当作成功。生产环境建议把命令输出和检查时间一并记录，再与服务启动参数、容器端口映射和防火墙规则比对。

常见问题

ss 和 netstat 查到的端口为什么不一样？

两者展示方式和默认过滤条件可能不同。先统一 TCP/UDP、IPv4/IPv6 和监听范围，再比较；新环境优先以 ss 的结果为主。

没有权限时怎么查看监听进程？

先不加 -p 确认端口是否存在；如果需要 PID 和进程名，应按主机权限策略使用授权的 sudo ss -lntup，不要把权限错误误判成端口未监听。

端口显示为 LISTEN 就一定能从外网访问吗？

不一定。还要确认绑定地址不是回环地址，并检查主机防火墙、容器映射、云安全组和应用自身的访问控制。

排查顺序可以固定为“协议和端口 → 监听地址 → 进程 PID → 本机策略 → 上游网络”。这样每条命令都对应一个判断，不会把“端口已监听”和“服务已对外可达”混成同一个结论。