Linux ss 怎样按状态筛选 TCP 连接

Linux 上连接很多时，直接运行 ss -tan 往往会得到一张难以阅读的长表。更稳妥的做法是先用 state 过滤 TCP 状态，再叠加端口或地址条件。本文围绕 ss 的状态筛选语法，给出可复用的排障命令，并说明 established、time-wait、close-wait 等结果应该怎样理解。

用 -t 和 state 建立 TCP 状态筛选骨架

ss 用来查看 socket 统计信息，-t 将查询范围限定为 TCP，-a 把监听和非监听 socket 一并纳入，-n 则避免 DNS 和服务名解析干扰排障。最小的状态筛选可以这样写：

# 只查看 TCP，并筛出已经建立的连接；-n 保留数字地址和端口
ss -tan state established

# 需要把监听 socket 也纳入观察时显式加上 -a
ss -tna state established

两条命令的重点是 state established，而不是输出表格的排列方式。若只想先看总量，可以把输出交给计数工具；计数只是当前采样，不代表服务长期容量。

按常见状态集合筛选连接

官方手册把状态条件分成具体状态和集合。具体状态包括 established、syn-sent、syn-recv、fin-wait-1、fin-wait-2、time-wait、close-wait、last-ack、listening 和 closing。常用集合可以这样理解：

• connected：除 listening 与 closed 外的连接状态。
• synchronized：已连接状态，但排除 syn-sent。
• bucket：内核以 minisocket 维护的 time-wait 与 syn-recv。
• big：与 bucket 相对的状态集合。

因此，“查看等待回收的连接”和“查看业务已建立连接”是两个不同问题：

# 观察 TCP time-wait 连接，适合排查短连接和端口回收现象
ss -tan state time-wait

# 观察应用仍保持的已建立连接，并按数字端口显示
ss -tan state established

看到 close-wait 较多时，只能说明对端关闭后本端 socket 仍处于等待应用处理的状态；还需要结合服务日志和程序生命周期判断原因，不能仅凭一条 ss 命令下结论。

把 state 与地址端口表达式组合

state 后面还可以接表达式。官方语法支持 and、or、not，也支持 sport、dport、src 和 dst。括号用于控制组合关系，复杂条件建议加引号：

# 只看已建立且源端口或目的端口为 22 的连接
# 中文注释：括号把两个端口条件组合成一个“或”分组
ss -tan state established '( sport = :22 or dport = :22 )'

# 查看到目标网段 192.0.2.0/24 的 FIN-WAIT-1 连接
# 中文注释：状态和目标地址同时成立时才输出
ss -tan state fin-wait-1 dst 192.0.2.0/24

sport 是源端口，dport 是目的端口；对客户端连接来说，本地临时端口通常是源端口，服务端口通常是目的端口，但判断时仍应以当前输出的方向为准。不要把端口条件写成模糊的文本匹配，那会掩盖表达式的真实逻辑。

建立总量与筛选后数量的排障基线

排障时可先记录全部 TCP 数量，再记录目标状态和目标端口数量。下面的命令只生成当前采样的计数，不虚构固定结果：

# 中文注释：分别统计全部 TCP、已建立连接和等待回收连接
ss -tan | tail -n +2 | wc -l
ss -tan state established | tail -n +2 | wc -l
ss -tan state time-wait | tail -n +2 | wc -l

比较这些数字时要保留时间、主机角色、是否包含监听 socket 以及过滤表达式。若排障目标是服务端监听状态，使用 state listening 或 -l；若目标是连接是否正在建立，则应分别观察 syn-sent 和 syn-recv，不要用 connected 代替所有状态。

按输出字段确认边界

ss 默认展示状态、接收队列、发送队列、本地地址和对端地址。-o 可查看 TCP 计时器，-a 扩大 socket 范围，-n 保证端口不会被服务名替换。它们都是观察选项。

最后要把边界记清：状态筛选不会主动关闭连接，ss 的结果也不是应用泄漏或内核故障的单独证据。尤其不要把 -K 当成普通筛选选项；它用于尝试强制关闭 socket，属于不同的处理动作，生产环境应先确认影响范围。

常见问题

为什么 ss -tan state established 仍然看不到某条连接？

先确认连接确实属于 TCP、采样时刻没有变化，并检查是否把监听连接、网络命名空间或地址族条件排除在外。必要时再加入 -a、-4 或 -6，不要先凭状态名称推断故障。

time-wait 很多就代表服务异常吗？

不一定。它可能只是短连接频繁建立和关闭后的正常内核状态。应结合连接建立速率、端口使用、应用复用策略和时间序列观察，单次数量只能作为排查线索。