重学ss命令

简介

ss(Socket Statistics)是一个查询套接字的工具,它可以显示出类似于netstat的信息。
和其它工具相比，ss能显示出更多的信息。并且比netstat更加灵活，同样的查询，可能netstat需要写挺长的awk外加好几层管道做过滤，ss很多情况下可以不使用那么复杂的管道，直接通过参数就能得到我们想要的结果。
​

关于什么是套接字，可以看萌新之前的一篇文章。

常用参数

• -h, –help: 显示帮助信息
• -V, –version: 显示版本信息
• -H, –no-header: 不显示Header那一栏
• -n, –numeric: 不尝试解析服务名称,例如22不会显示成ssh
• -r, –resolve: 尝试解析ip地址与端口,例如尝试将ss解析成ssh,ip地址解析成主机名
• -a, –all: 显示监听与非监听的套接字
• -l, –listening: 仅显示监听的套接字(默认情况下是忽略这些套接字的)
• -o, –options: 显示计时器信息
• -e, –extended: 显示详细的套接字信息
• -m, –memory: 显示套接字的内存使用情况
• -p, –processes: 显示使用套接字的进程
• -i, –info: 显示内部的TCP信息
• -s, –summary: 显示摘要统计信息(当套接字数量比较多的时候，解析/proc/net/tcp会很慢), 显示摘要会比较快
• -N NSNAME, --net=NSNAME: 切换到指定的命名空间(docker就是用命名空间做的资源隔离)
• -4, –ipv4: 仅显示ipv4的套接字(也可以使用-f inet)
• -6, –ipv6: 仅显示ipv6的套接字(也可以使用-f inet6)
• -t, –tcp: 仅显示tcp套接字
• -u, –udp: 仅显示udp套接字
• -d, --dccp: 显示dccp套接字
• -w, --raw: 显示raw套接字
• -x, –unix: 显示unix套接字
• -S, –sctp: 显示sctp套接字(与tcp、udp类似,也是一种传输协议)
• –vsock: 显示vsock套接字(也可以使用-f vsock)
• -f FAMILY, –family=FAMILY: 显示套接字类型,例: -f inet,目前支持unix、inet、inet6、link、netlink、vsock
• -A QUERY, --query=QUERY, --socket=QUERY: 要显示的套接字列表,有(all,inet,tcp,udp,raw,unix,packet,netlink,unix_dgram,unix_stream,unix_seqpacket,packet_raw,packet_dgram,dccp,sctp,vsock_stream,vsock_dgram)
• START-FILTER: 状态过滤器，根据state和exclude关键字，后面跟状态标识符来过滤 (不仅仅是TCP接口，如果我们想用这个参数过滤TCP状态的话，需要自己加-t参数)

​

TCP接口状态

在START-FILTER中可以不区分大小写

• ESTABLISHED: TCP三次握手成功，已经建立正常的连接，可以随时进行数据传输
• SYN-SENT: 主动打开，主动握手的一方发送第一次握手后的状态
• SYN-RECV: 被动握手的一方接收到第一次握手消息后的状态
• FIN-WAIT-1: 主动关闭的一方，发送第一次挥手消息(FIN)后的状态
• FIN-WAIT-2: 主动关闭的一方，接收到第二次挥手后的状态
• TIME-WAIT: 主动关闭的一方，发送完第四次挥手后的状态，需要等待2MSL时间后才能进入CLOSED状态(Centos上是60s，并且不能通过配置参数修改)，TIME_WAIT只发生在主动关闭的一方。
• CLOSED: 套接字未被使用
• CLOSE-WAIT: 被动关闭的一方，发送第二次挥手的状态
• LAST-ACK: 被动关闭的一方，发送第三次挥手后的状态
• LISTENING: 套接字正在监听的状态，除非指定 -l或者 -a参数才能显示
• CLOSING: 两个套接字都已经关闭了，但是仍然还有数据没有发送完的状态
• UNKNOWN: 未知的套接字状态

​

还有几个不属于TCP接口的状态，ss命令帮咱们封装了一下，可以用来代表多种TCP状态。

• all: 所有的状态(不仅仅是TCP协议，UDP等其它协议也包含在内)
• connected: 除了LISTENING和CLOSED之外的所有状态
• synchronized: 在connected的基础上再排除SYN-SENT，也就是说除了LISTENING、CLOSED、SYN-SENT的所有状态
• bucket: 包含TIME-WAIT和SYN-RECV状态
• big: 与bucket相反

​

​

常见例子

• 显示套接字摘要

萌新个人感觉还挺好用的，比netstat -s实用多了还能区分tcp的几种状态，可以省去自己敲awk的时间

ss -s

• 显示所有的tcp连接

ss -ta

• 显示所有udp套接字

ss -ua

• 显示所有处于监听状态的tcp端口，并且不解析服务名称

ss -lnt

• 显示所有处于监听状态的tcp端口，并尝试解析ip和端口(如果没有特殊需求，不建议使用-r参数，性能比较差)

ss -lrt

• 显示所有处于监听状态的tcp端口,并查询程序名称

ss -ltp

• 显示所有已建立的ssh连接

使用dport(destination port)过滤目标端口,sport(source port)过滤来源端口

# 下面的三种写法是等价的，如果有括号需要用单引号或者转义符号转义
ss state established dport = :ssh or sport = :ssh
ss state established '( dport = :ssh or sport = :ssh )'
ss state established \( dport = :ssh or sport = :ssh \)

• 查询处于监听状态的tcp，并且source port为22或者80的

ss -ltn sport = :22 or sport = :80

• 查看我们的http(80)或者https(443)处于fin-wait-1状态下目标为192.168.7/24的所有连接，并查看他们的计时器

使用dst(destination) 目标地址,src(source)可以过滤来源地址

ss -o state fin-wait-1 '( sport = :http or sport = :https )' dst 192.168.7/24

• 列出所有连接到10.0.8.14:22的连接

ss -n src 10.0.8.14:22

• 统计TIME-WAIT状态的TCP数量

其实ss -s可以直接查询，这里只是与netstat做一下对比，可以发现ss真的比netstat灵活太多了

ss -tnH state time-wait|wc -l

• 查看connected状态的TCP连接(不包含listening和closed)

ss -tn state connected

• 显示除了listening状态之外的TCP连接

ss -tn exclude listening

ss与netstat的性能对比

经过多次对比，发现在使用-n参数不解析ip与端口时，ss稍微比netstat快一点点

但是在不使用-n参数时，netstat默认会将ip解析为域名,将端口解析为服务名,ss默认只会将端口解析为服务名
对比上面使用了-n参数可以看到netstat解析ip和端口时慢了几十倍，ss更是慢了上百倍。所以没有解析域名的需求时尽量使用-n参数。