Linux ss -s 怎样快速查看 TCP 连接汇总

Linux 服务器出现连接变多、接口变慢或短连接堆积时，先把所有 socket 明细刷出来往往会被大量输出淹没。更合适的第一步是执行 ss -s：它直接给出 socket 的汇总统计，能快速看到 TCP 连接总量和状态分布，再决定是否需要继续查具体地址、端口或进程。

官方手册：https://man7.org/linux/man-pages/man8/ss.8.html

一句话记忆：ss -s 负责回答“现在大概有多少连接、集中在哪些状态”，不负责回答“哪一个进程、哪一个远端地址导致了问题”。先看总览，再用过滤条件缩小范围，排障会更快。

先理解 ss -s 看到了什么

ss 是 iproute2 提供的 socket 统计工具。官方手册中，-s 或 --summary 表示打印汇总统计，并且不会通过解析完整 socket 列表来获得结果。因此它适合连接数量很大、只想先判断规模的场景。

需要注意的是，汇总行里的状态是排障线索，不是故障结论。例如 established 表示当前已建立连接较多，可能是正常高并发，也可能意味着连接回收不及时；timewait 增长则提示短连接和主动关闭值得继续观察，但不能只凭一个数字断定系统异常。

用一条命令快速查看连接汇总

先执行最短命令，观察本机当前的总体状态：

# 只读取 socket 汇总，不展开每一条连接
ss -s

常见输出会包含 TCP、UDP、RAW、FRAG 等协议类别，以及 established、timewait、orphaned 等统计项。不同内核、iproute2 版本和当前负载会让具体字段或数字变化，所以排障时重点看状态结构和趋势，不要把下面的数字当成固定模板。

TCP:   18 (estab 6, closed 4, orphaned 0, timewait 8)
Transport Total     IP        IPv6
*         22        14        8

如果标题只关心 TCP，可以加上 -t，让后续判断不被 UDP 或其他 socket 类型干扰：

# 只保留 TCP socket 的汇总视角
ss -t -s

这里的 -t 是协议范围，-s 是输出形态。两者组合后仍然是“汇总”，并不会自动列出远端地址、端口或所属进程。

把状态数字变成排障线索

拿到汇总后，可以按下面的顺序做一个轻量判断：

• established 较高：先确认业务是否本来就有长连接或连接池，再继续查看连接的目标端口和进程。
• timewait 较高：重点关注短连接频率、主动关闭方向和端口复用，不要直接把它等同于“连接泄漏”。
• orphaned 出现：说明存在没有关联用户文件描述符的 TCP socket 线索，应继续结合进程、内核资源和应用日志分析。

这一步的目标不是凭汇总结果做最终归因，而是决定下一条命令要收窄哪一个维度：协议、状态、地址端口，还是进程。

需要细节时再逐层缩小范围

若 TCP 汇总显示某类状态异常，先用状态过滤查看对应的连接集合：

# 只查看已建立的 TCP 连接，并保留数字地址和端口
ss -t -n state established

# 只查看 TIME-WAIT 集合，用于观察短连接回收线索
ss -t -n state time-wait

-n 关闭服务名解析，能让端口保持数字形式，便于快速比对和避免名称解析带来的干扰。若还需要知道连接属于哪个进程，可以在权限允许时添加 -p：

# 在权限允许时显示使用这些 TCP socket 的进程信息
ss -t -n -p state established

如果只想查看监听端口，则查询目标已经变化，不应继续用 established 的结论解释它：

# 单独查看监听中的 TCP socket
ss -t -l -n

常见误区与命令边界

第一，不要把 ss -s 当成性能监控系统。它提供的是一次采样的汇总视角，若要判断趋势，需要在相同条件下多次采样，并结合应用指标和系统日志。

第二，不要看到 timewait 就立即修改内核参数。先确认连接关闭方向、业务请求模式和端口使用情况，必要时用状态过滤和进程信息继续定位。

第三，不要用汇总命令替代应用层排障。它能告诉你“连接形态”，却不能解释请求为什么慢、哪个接口没有复用连接，或远端服务是否已经超时。

小结：先总览，再定位

记住三层命令关系即可：

1. ss -s：快速掌握 socket 和 TCP 状态总览。
2. ss -t -n state ...：把范围收窄到某类 TCP 状态，并保留数字地址端口。
3. ss -t -n -p state ...：在权限允许时继续关联到具体进程。

这样既不会一开始被完整连接列表淹没，也不会把一次汇总数字误判成根因。

相关问题

ss -s 和 ss -t 有什么区别？

ss -s强调汇总统计，ss -t强调只选择 TCP socket；组合成 ss -t -s 后，就是只看 TCP 的汇总。

为什么 ss -s 看不到远端 IP？

因为 -s 只输出汇总视角，不展开逐条 socket。需要远端地址时，去掉 -s，再用 -t、-n 和状态过滤控制输出范围。

timewait 很多一定是故障吗？

不一定。它首先说明近期存在较多进入 TIME-WAIT 的连接，是否异常还要看业务流量、关闭方向、端口资源和时间趋势。