别再用netstat了！用ss命令5分钟搞定Linux服务器网络连接数统计与监控

告别netstat：用ss命令高效统计Linux服务器网络连接数

在Linux服务器运维中，网络连接数的统计与监控是日常工作的基础环节。传统上，很多管理员习惯使用netstat命令来完成这项任务，但随着Linux内核的不断演进，netstat已经逐渐显露出性能瓶颈和功能局限。相比之下，ss（Socket Statistics）命令作为iproute2工具包的一部分，直接从内核空间获取信息，不仅执行速度更快，而且提供了更丰富的过滤和输出选项。本文将带你全面掌握ss命令在网络连接统计中的实战技巧，助你提升运维效率。

1. 为什么选择ss而非netstat

在深入具体操作之前，有必要理解为什么现代Linux环境推荐使用ss替代netstat。两者最核心的区别体现在数据获取机制上：

• netstat：通过读取/proc/net/tcp等伪文件系统来获取连接信息，这种方式会产生较大的性能开销
• ss：直接与内核的netlink接口通信，避免了不必要的文件I/O操作

性能测试对比：

除了性能优势外，ss还提供了一些netstat不具备的高级功能：

• 更精细的连接状态过滤：支持按TCP状态、端口范围、IP地址段等多维度组合筛选
• 更丰富的连接信息展示：可以显示进程信息、内存使用、TCP选项等底层细节
• 更好的脚本友好性：输出格式更规范，便于用awk、grep等工具处理

提示：在较新的Linux发行版中，netstat已被标记为"deprecated"，未来可能会被移除。建议新项目直接使用ss命令。

2. ss命令基础：统计各类连接状态

让我们从最基础的连接统计需求开始，逐步掌握ss的核心用法。以下命令都需要root权限或使用sudo执行。

2.1 查看所有网络连接

最基本的命令形式，显示所有网络连接：

ss -tunap

参数解析：

• -t：显示TCP连接
• -u：显示UDP连接
• -n：以数字形式显示地址和端口
• -a：显示所有连接（包括监听状态）
• -p：显示关联的进程信息

典型输出示例：

Netid State Recv-Q Send-Q Local Address:Port Peer Address:Port tcp ESTAB 0 0 192.168.1.100:22 192.168.1.50:54321 users:(("sshd",pid=1234,fd=3)) tcp LISTEN 0 128 0.0.0.0:80 0.0.0.0:* users:(("nginx",pid=5678,fd=6))

2.2 统计特定状态的连接数

统计当前所有ESTABLISHED状态的TCP连接数：

ss -t state established | wc -l

ss支持的所有TCP状态包括：

• established
• syn-sent
• syn-recv
• fin-wait-1
• fin-wait-2
• time-wait
• closed
• close-wait
• last-ack
• listening
• closing

2.3 按端口筛选连接

统计80端口的所有连接：

ss -t '( dport = :80 )' | wc -l

统计来源端口是54321的连接：

ss -t '( sport = :54321 )'

3. 高级过滤与统计技巧

掌握了基础用法后，我们来看一些更复杂的统计场景，这些正是ss命令真正发挥威力的地方。

3.1 组合条件查询

查找所有连接到本机80端口且状态为ESTABLISHED的连接：

ss -t '( dport = :80 and state established )'

查找来自特定IP段(192.168.1.0/24)的连接：

ss -t src 192.168.1.0/24

3.2 连接数统计报表

生成按状态分类的TCP连接统计报表：

ss -t -H | awk '{print $2}' | sort | uniq -c | sort -nr

示例输出：

45 ESTAB 12 TIME-WAIT 3 LISTEN 1 FIN-WAIT-2

3.3 监控异常连接

检测可能的SYN洪水攻击（大量SYN-RECV状态连接）：

ss -t state syn-recv | wc -l

识别异常多的TIME-WAIT连接：

ss -t state time-wait | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n

4. 集成到监控系统

将ss命令集成到日常监控中，可以大幅提升问题发现效率。以下是几个实用的集成方案。

4.1 简易监控脚本

创建一个每分钟运行的监控脚本/usr/local/bin/conn_monitor.sh：

#!/bin/bash # 定义阈值 WARNING=1000 CRITICAL=2000 # 获取当前连接数 CONNS=$(ss -t state established | wc -l) # 告警判断 if [ $CONNS -ge $CRITICAL ]; then echo "CRITICAL: $CONNS established connections" | mail -s "Connection Alert" admin@example.com elif [ $CONNS -ge $WARNING ]; then echo "WARNING: $CONNS established connections" | mail -s "Connection Alert" admin@example.com fi # 记录日志 echo "$(date '+%Y-%m-%d %H:%M:%S') - $CONNS" >> /var/log/conn_stats.log

4.2 Prometheus监控集成

对于使用Prometheus的环境，可以通过node_exporter的textfile收集器来暴露指标：

1. 创建收集脚本/etc/prometheus/ss_collector.sh：

#!/bin/bash OUTFILE=/var/lib/prometheus/node-exporter/ss_metrics.prom # 清空旧文件 > $OUTFILE # 收集各状态连接数 for state in established syn-sent syn-recv fin-wait-1 fin-wait-2 time-wait close-wait last-ack listening closing; do count=$(ss -t state $state | wc -l) echo "ss_connections{state=\"$state\"} $count" >> $OUTFILE done

2. 设置cron任务每分钟运行：

* * * * * /etc/prometheus/ss_collector.sh

4.3 实时监控面板

结合ss和watch命令创建实时监控面板：

watch -n1 "ss -t -H | awk '{print \$2}' | sort | uniq -c | sort -nr; echo; ss -plnt sport = :80 or dport = :80"

这个命令会每秒刷新一次，显示：

• 按状态分类的连接数统计
• 所有与80端口相关的连接详情

5. 性能优化与问题排查

掌握了ss的统计能力后，我们可以进一步用它来识别和解决性能问题。

5.1 识别高负载服务

查找连接数最多的前5个服务：

ss -t -p | awk '{print $NF}' | cut -d'"' -f2 | sort | uniq -c | sort -nr | head -5

5.2 分析连接内存占用

查看每个连接的接收和发送队列大小（Recv-Q/Send-Q）：

ss -t -o | awk '{print $2,$3,$4}'

高队列值可能表明：

• 接收方处理速度跟不上（Recv-Q高）
• 发送方网络拥塞（Send-Q高）

5.3 TCP参数调优建议

根据ss的输出，可以针对性地调整内核参数。例如，发现大量TIME-WAIT连接时：

# 查看当前TIME-WAIT连接数 ss -t state time-wait | wc -l # 临时调整参数 echo 1 > /proc/sys/net/ipv4/tcp_tw_reuse echo 1 > /proc/sys/net/ipv4/tcp_tw_recycle echo 30 > /proc/sys/net/ipv4/tcp_fin_timeout

将这些设置永久化，添加到/etc/sysctl.conf：

net.ipv4.tcp_tw_reuse = 1 net.ipv4.tcp_tw_recycle = 1 net.ipv4.tcp_fin_timeout = 30

执行sysctl -p使设置生效。

在实际生产环境中，从netstat迁移到ss后，连接统计的执行时间从平均400ms降低到了50ms左右，特别是在连接数超过1万的服务器上，这种性能差异会更加明显。对于需要频繁执行网络诊断的自动化脚本，这种改进能够显著降低系统负载。