Linux系统查看TCP连接状态分布统计命令汇总

排查网络问题、监控服务状态或进行容量规划时，查看TCP连接的状态分布是必不可少的环节。哪些连接仍活跃，哪些正在挥手告别，哪些在排队等待，这些数字背后往往隐藏着性能瓶颈的线索。本文将介绍在Linux系统下，最稳定、最高效、最准确的统计命令。

查TCP各状态连接数用什么命令最稳

答案直接明了：ss -tn state all | awk '{print $NF}' | sort | uniq -c | sort -nr。这条命令组合堪称当前环境下的“黄金标准”。

它比传统的netstat更快、更准，且不依赖额外的网络工具包。命令原理清晰：state all确保抓取所有可能的TCP状态，一个不漏；awk '{print $NF}'精准提取每行的最后一列，即连接状态；经过排序和去重计数后，sort -nr使ESTABLISHED、TIME_WAIT等高频状态自然排在最前面，一目了然。

需注意几个常见陷阱。第一，别省略state all。有人图省事只写ss -tn，但在某些内核版本下，默认输出可能只包含部分状态，导致统计不全。第二，尽量避免使用netstat -an | awk '/^tcp/ {print $6}' | sort | uniq -c这类传统方法。当连接数达到万级甚至更高时，netstat的解析过程会变得缓慢，CPU占用明显提升，实时性大打折扣。

如果身处极简环境（如某些Alpine基础容器），连ss命令都没有，还有终极后路——直接读取内核的/proc/net/tcp文件。可尝试此命令：awk '$4 ~ /^0[1-9A-F]$/ {++s[$4]} END {for (k in s) print k, s[k]}' /proc/net/tcp。这里的$4列是十六进制状态码，例如01代表ESTABLISHED，06是TIME_WAIT，0A则是LISTEN。无需死记硬背，记不住时参考man 7 tcp或搜索“linux tcp state hex”，对照表即得。

统计ESTABLISHED连接数为什么不能只看netstat -na | grep established

此问题看似简单，却令不少人踩坑。原因主要有两个：大小写敏感和模糊匹配。

首先，grep established默认区分大小写。不同内核版本或网络工具的输出格式不统一，状态字段可能是全大写“ESTABLISHED”，也可能是全小写“established”。只用一种写法过滤，另一半数据就漏掉了。

其次，grep是行级文本匹配。如果某行日志包含“established_time”等字段，或输出有其他干扰列，也会被一并抓取，导致统计数字虚高。

因此，正确做法是精确锁定：

• 使用ss的原生过滤语法：ss -tn state established | wc -l。这是最推荐的方式，state established由ss命令内部处理，不涉及文本匹配，既快又准。
• 如果非用netstat，则用awk精确匹配列：netstat -tn | awk '$6 == "ESTABLISHED" {++n} END {print n+0}'。这里只统计第六列等于“ESTABLISHED”的行，完美避开大小写和字段偏移问题。

另外提醒，切勿用netstat -l来查活跃连接，该参数用于列出监听端口，与已建立的ESTABLISHED连接完全是两码事。

按端口或IP统计连接分布时sport/dport别写反

这是另一个高频出错点，关键在于分清“源端口”和“目标端口”的视角。

简单来说：sport (source port)指连接发起方的端口，dport (destination port)指连接接收方的端口。当站在服务器角度，想查看“有多少客户端连接到了我的80端口”，应关心sport :80（因为对于服务器，客户端源端口随机，但目标端口固定为80）。反过来，如果想了解“我的服务器主动向外发起了多少到别人80端口的连接”，才应使用dport :80。

很多人搞反了，想查Web服务负载却用了ss -tn dport :80，结果统计了本机作为客户端去访问其他网站80端口的数据，完全偏离目标。

几个实用的命令组合：

• 查本机80端口上的活跃连接数：ss -tn state established sport :80 | wc -l
• 查哪个远程IP连接本机80端口最频繁：ss -tn state established sport :80 | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | head -10
• 排除IPv6地址干扰：在上述命令中加上grep -v '\[.*\]'过滤掉IPv6即可。

注意，ss输出中第五列格式为“IP:端口”，因此用cut -d: -f1剥离端口号，只保留IP。若服务器绑定多个IP，想针对特定IP统计，可使用ss -tn dst 192.168.1.100:80限定目标地址。

高并发下统计不准或卡顿，优先换ss + 减少管道层级

当系统承载数万甚至更多并发连接时，统计命令本身的性能成为瓶颈。经典的netstat -an | grep ESTABLISHED | wc -l可能卡住数秒，因为netstat需遍历并解析所有套接字信息，开销巨大。相比之下，ss直接从内核套接字表读取结构化数据，效率通常高出3到5倍。

要进一步提升统计效率，牢记两个优化原则：

1. 减少不必要的管道和命令。避免类似ss -tn | grep established | grep :80 | wc -l的多层grep套娃。直接使用ss的原生过滤：ss -tn state established sport :80 | wc -l，一步到位。
2. 合并文本处理步骤。不要用awk '{print $5}' | awk -F: '{print $1}'这种连续切割，完全可以在一次awk中完成：awk '{split($5,a,":"); print a[1]}'。

对于需要实时监控的场景，也请舍弃watch -n1 'netstat -an | grep ESTABLISHED | wc -l'，换成watch -n1 'ss -tn state established | wc -l'，系统压力会小很多。

最后，值得关注的状态不只是ESTABLISHED。大量堆积的TIME_WAIT连接虽然不算活跃负载，但会占用文件描述符，可能影响新连接的建立。单独检查它用ss -tn state time-wait | wc -l。若数字过高，不要只盯着统计命令，更要检查系统参数，例如sysctl net.ipv4.tcp_tw_reuse是否开启了复用，从根源上思考解决方案。