了解网络诊断工具: `netstat`_netstat的优缺点-CSDN博客

本文链接：https://blog.csdn.net/kaka_buka/article/details/146096150

了解网络诊断工具: `netstat`

在网络故障排查、性能监控和系统调优中，有一个工具堪称不可或缺——netstat。作为网络状态的观察窗口，它不仅提供关于网络连接、路由表、接口状态等信息，还为系统管理员和开发者提供了诊断复杂问题的能力。

什么是 `netstat`？

netstat 是网络统计（Network Statistics）的缩写，是一个跨平台的命令行工具，用于显示当前网络连接的详细信息。它通常预装在 Linux、macOS 和 Windows 操作系统中。

它可以帮你回答这样的问题：

系统当前有哪些活动的网络连接？
各种协议（如 TCP、UDP）的使用情况如何？
哪些端口正在监听？
是否存在异常连接或可疑流量？

常见的 `netstat` 用法

以下是一些常用的 netstat 命令及其功能：

1. 查看所有活动的网络连接

netstat -a

这个选项列出系统中所有的网络连接，包括正在监听的端口和建立的连接。

输出示例：

Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 localhost:3306          *:*                     LISTEN
tcp        0      0 192.168.1.100:ssh       192.168.1.50:60122      ESTABLISHED

解读：

Proto：协议类型（如 TCP 或 UDP）。
Recv-Q / Send-Q：接收和发送队列的长度。
State：连接的状态，例如 LISTEN 表示正在监听，ESTABLISHED 表示已建立连接。

2. 显示端口的监听状态

netstat -l

这个命令仅显示处于监听状态的端口，可以用来确认服务是否已正确启动。

3. 显示统计信息

netstat -s

提供协议级别的统计数据，适用于分析网络性能或定位故障。

输出示例：

Tcp:
    987 active connections openings
    12 failed connection attempts
Udp:
    320 packets received
    1 packet receive errors

4. 显示网络接口信息

netstat -i

这个选项显示网络接口的发送和接收统计数据，类似于 ifconfig 或 ip addr。

5. 查看连接的 PID 和程序名称

netstat -p

这个选项会显示每个连接对应的进程 ID 和进程名称，对排查未知流量特别有帮助。需要注意的是，这个功能可能需要管理员权限。

示例：

Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 localhost:3306          *:*                     LISTEN      1234/mysqld

6. 结合过滤条件

netstat 可以与管道命令结合使用。例如，查找特定端口的监听情况：

netstat -an | grep :80

限制与替代品

尽管 netstat 功能强大，但在现代系统中逐渐被替代，原因包括：

在高负载系统中，netstat 的性能可能不佳。
它的部分功能在某些平台上已被弃用。

替代工具

ss
- 专为 Linux 系统设计，功能更强大，性能更优。
- 替代 netstat -an 的命令是：
```
ss -an
```
ip
- ip route 和 ip addr 是查看路由表和接口信息的现代方式。
lsof
- 可以列出打开的文件和套接字。
- 例如：
```
lsof -i :80
```

`lsof` 和 `nmap`：如何替代 `netstat`

在网络诊断工具领域，lsof 和 nmap 是两个常被提及的名字。这两个工具虽然不能完全取代 netstat 的所有功能，但在特定场景下可以更高效地完成相关任务。下面，我们将深入了解它们的作用，以及它们如何补充或替代 netstat。

`lsof`：开放文件和网络连接的多面手

lsof 是 list open files 的缩写。它的核心功能是列出当前系统中所有被打开的文件，而在 Unix/Linux 系统中，网络套接字也被视为一种文件。这让 lsof 成为分析网络连接的利器。

用法示例

查看特定端口的活动
想知道哪个进程正在使用某个端口？lsof 可以快速给出答案：

lsof -i :80

输出示例：

COMMAND   PID   USER   FD   TYPE DEVICE SIZE/OFF NODE NAME
nginx    1234   root   10u  IPv4  0x123   0t0    TCP  *:http (LISTEN)

显示所有网络连接
通过 -i 参数查看系统中的网络活动：
```
lsof -i
```
它会显示所有协议（TCP、UDP）及其活动连接。
按进程过滤
想确认某个进程的网络活动？比如 mysqld：
```
lsof -c mysqld
```

为什么选择 `lsof`？

它能结合文件系统与网络的状态，提供更丰富的信息。
适用于排查 “某个端口被占用” 或 “某个进程是否正常运行” 等问题。

局限性

输出信息可能较为冗长，不如 netstat 直观。
并非专门针对网络连接，功能相对泛化。

`nmap`：端口扫描与安全分析的专家

如果说 lsof 是网络与文件的通才，那么 nmap（Network Mapper）就是端口扫描与安全分析的专才。nmap 主要用于网络探测和安全扫描，但它也可以替代 netstat 的部分功能，例如查看网络状态和监听端口。

用法示例

扫描本地系统的开放端口
想知道系统中哪些端口在监听？

nmap -sT localhost

输出示例：

PORT    STATE SERVICE
22/tcp  open  ssh
80/tcp  open  http
3306/tcp open mysql

扫描远程主机
nmap 的强大之处在于它不仅能分析本地系统，还可以扫描远程主机。例如，检查远程服务器的开放端口：
```
nmap -p 1-1000 192.168.1.1
```
探测服务版本
想知道某个端口运行的具体服务版本？
```
nmap -sV localhost
```
它会尝试识别监听服务的版本信息，比如 SSH 版本或 Web 服务器版本。

为什么选择 `nmap`？

在网络安全领域，它提供了超越 netstat 的强大功能，例如识别服务、检测漏洞。
能跨越主机边界进行扫描，而 netstat 主要局限于本地系统。

局限性

专注于扫描和探测，而非实时显示连接状态。
需要一定的权限和配置，扫描行为可能被视为潜在的入侵。

比较与总结

工具	主要用途	优势	局限性
`netstat`	查看网络连接状态、路由表	简单直观，跨平台支持	性能较低，部分功能被废弃
`lsof`	显示开放文件和网络套接字	适合分析端口占用、与文件系统结合	信息较复杂，不专注于网络分析
`nmap`	网络扫描、安全分析	远程扫描、服务版本识别、漏洞探测	偏向安全领域，不实时显示本地连接