Netstat 簡介

Netstat 是一款命令列工具，可用於列出系統上所有的網路套接字連線情況，包括 tcp, udp 以及 unix 套接字，另外它還能列出處於監聽狀態（即等待接入請求）的套接字。如果你想確認系統上的 Web 服務有沒有起來，你可以檢視80埠有沒有開啟。以上功能使 netstat 成為網管和系統管理員的必備利器。在這篇教程中，我會列出幾個例子，教大家如何使用 netstat 去查詢網路連線資訊和系統開啟的埠號。

1. 列出所有連線

第一個要介紹的，是最簡單的命令：列出所有當前的連線。使用 -a 選項即可。

1. $ netstat -a
2. Active Internet connections (servers and established)
3. Proto Recv-Q Send-Q Local Address Foreign Address State
4. tcp 0 0 enlightened:domain *:* LISTEN
5. tcp 0 0 localhost:ipp *:* LISTEN
6. tcp 0 0 enlightened.local:54750 li240-5.members.li:http ESTABLISHED
7. tcp 0 0 enlightened.local:49980 del01s07-in-f14.1:https ESTABLISHED
8. tcp6 0 0 ip6-localhost:ipp [::]:* LISTEN
9. udp 0 0 enlightened:domain *:*
10. udp 0 0 *:bootpc *:*
11. udp 0 0 enlightened.local:ntp *:*
12. udp 0 0 localhost:ntp *:*
13. udp 0 0 *:ntp *:*
14. udp 0 0 *:58570 *:*
15. udp 0 0 *:mdns *:*
16. udp 0 0 *:49459 *:*
17. udp6 0 0 fe80::216:36ff:fef8:ntp [::]:*
18. udp6 0 0 ip6-localhost:ntp [::]:*
19. udp6 0 0 [::]:ntp [::]:*
20. udp6 0 0 [::]:mdns [::]:*
21. udp6 0 0 [::]:63811 [::]:*
22. udp6 0 0 [::]:54952 [::]:*
23. Active UNIX domain sockets (servers and established)
24. Proto RefCnt Flags Type State I-Node Path
25. unix 2 [ ACC ] STREAM LISTENING 12403 @/tmp/dbus-IDgfj3UGXX
26. unix 2 [ ACC ] STREAM LISTENING 40202 @/dbus-vfs-daemon/socket-6nUC6CCx

上述命令列出 tcp, udp 和 unix 協議下所有套接字的所有連線。然而這些資訊還不夠詳細，管理員往往需要檢視某個協議或埠的具體連線情況。

2. 只列出 TCP 或 UDP 協議的連線

使用 -t 選項列出 TCP 協議的連線：

1. $ netstat -at
2. Active Internet connections (servers and established)
3. Proto Recv-Q Send-Q Local Address Foreign Address State
4. tcp 0 0 enlightened:domain *:* LISTEN
5. tcp 0 0 localhost:ipp *:* LISTEN
6. tcp 0 0 enlightened.local:36310 del01s07-in-f24.1:https ESTABLISHED
7. tcp 0 0 enlightened.local:45038 a96-17-181-10.depl:http ESTABLISHED
8. tcp 0 0 enlightened.local:37892 ABTS-North-Static-:http ESTABLISHED
9. .....

使用 -u 選項列出 UDP 協議的連線：

1. $ netstat -au
2. Active Internet connections (servers and established)
3. Proto Recv-Q Send-Q Local Address Foreign Address State
4. udp 0 0 *:34660 *:*
5. udp 0 0 enlightened:domain *:*
6. udp 0 0 *:bootpc *:*
7. udp 0 0 enlightened.local:ntp *:*
8. udp 0 0 localhost:ntp *:*
9. udp 0 0 *:ntp *:*
10. udp6 0 0 fe80::216:36ff:fef8:ntp [::]:*
11. udp6 0 0 ip6-localhost:ntp [::]:*
12. udp6 0 0 [::]:ntp [::]:*

上面同時顯示了 IPv4 和 IPv6 的連線。

3. 禁用反向域名解析，加快查詢速度

預設情況下 netstat 會通過反向域名解析技術查詢每個 IP 地址對應的主機名。這會降低查詢速度。如果你覺得 IP 地址已經足夠，而沒有必要知道主機名，就使用 -n 選項禁用域名解析功能。

1. $ netstat -ant
2. Active Internet connections (servers and established)
3. Proto Recv-Q Send-Q Local Address Foreign Address State
4. tcp 0 0 127.0.1.1:53 0.0.0.0:* LISTEN
5. tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN
6. tcp 0 0 192.168.1.2:49058 173.255.230.5:80 ESTABLISHED
7. tcp 0 0 192.168.1.2:33324 173.194.36.117:443 ESTABLISHED
8. tcp6 0 0 ::1:631 :::* LISTEN

上述命令列出所有 TCP 協議的連線，沒有使用域名解析技術。So easy ? 非常好。

4. 只列出監聽中的連線

任何網路服務的後臺程序都會開啟一個埠，用於監聽接入的請求。這些正在監聽的套接字也和連線的套接字一樣，也能被 netstat 列出來。使用 -l 選項列出正在監聽的套接字。

1. $ netstat -tnl
2. Active Internet connections (only servers)
3. Proto Recv-Q Send-Q Local Address Foreign Address State
4. tcp 0 0 127.0.1.1:53 0.0.0.0:* LISTEN
5. tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN
6. tcp6 0 0 ::1:631 :::* LISTEN

現在我們可以看到處於監聽狀態的 TCP 埠和連線。如果你檢視所有監聽埠，去掉 -t 選項。如果你只想檢視 UDP 埠，使用 -u 選項，代替 -t 選項。

注意：不要使用 -a 選項，否則 netstat 會列出所有連線，而不僅僅是監聽埠。

5. 獲取程序名、程序號以及使用者 ID

檢視埠和連線的資訊時，能檢視到它們對應的程序名和程序號對系統管理員來說是非常有幫助的。舉個栗子，Apache 的 httpd 服務開啟80埠，如果你要檢視 http 服務是否已經啟動，或者 http 服務是由 apache 還是 nginx 啟動的，這時候你可以看看程序名。

使用 -p 選項檢視程序資訊。

1. ~$ sudo netstat -nlpt
2. Active Internet connections (only servers)
3. Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
4. tcp 0 0 127.0.1.1:53 0.0.0.0:* LISTEN 1144/dnsmasq
5. tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN 661/cupsd
6. tcp6 0 0 ::1:631 :::* LISTEN 661/cupsd

使用 -p 選項時，netstat 必須執行在 root 許可權之下，不然它就不能得到執行在 root 許可權下的程序名，而很多服務包括 http 和 ftp 都執行在 root 許可權之下。

相比程序名和程序號而言，檢視程序的擁有者會更有用。使用 -ep 選項可以同時檢視程序名和使用者名稱。

1. $ sudo netstat -ltpe
2. Active Internet connections (only servers)
3. Proto Recv-Q Send-Q Local Address Foreign Address State User Inode PID/Program name
4. tcp 0 0 enlightened:domain *:* LISTEN root 11090 1144/dnsmasq
5. tcp 0 0 localhost:ipp *:* LISTEN root 9755 661/cupsd
6. tcp6 0 0 ip6-localhost:ipp [::]:* LISTEN root 9754 661/cupsd

上面列出 TCP 協議下的監聽套接字，同時顯示程序資訊和一些額外資訊。

這些額外的資訊包括使用者名稱和程序的索引節點號。這個命令對網管來說很有用。

注意 - 假如你將 -n 和 -e 選項一起使用，User 列的屬性就是使用者的 ID 號，而不是使用者名稱。

6. 列印統計資料

netstat 可以打印出網路統計資料，包括某個協議下的收發包數量。

下面列出所有網路包的統計情況：

1. $ netstat -s
2. Ip:
3. 32797 total packets received
4. 0 forwarded
5. 0 incoming packets discarded
6. 32795 incoming packets delivered
7. 29115 requests sent out
8. 60 outgoing packets dropped
9. Icmp:
10. 125 ICMP messages received
11. 0 input ICMP message failed.
12. ICMP input histogram:
13. destination unreachable: 125
14. 125 ICMP messages sent
15. 0 ICMP messages failed
16. ICMP output histogram:
17. destination unreachable: 125
18. ... OUTPUT TRUNCATED ...

如果想只打印出 TCP 或 UDP 協議的統計資料，只要加上對應的選項（-t 和 -u）即可，so easy。

7. 顯示核心路由資訊

使用 -r 選項列印核心路由資訊。打印出來的資訊與 route 命令輸出的資訊一樣。我們也可以使用 -n 選項禁止域名解析。

1. $ netstat -rn
2. Kernel IP routing table
3. Destination Gateway Genmask Flags MSS Window irtt Iface
4. 0.0.0.0 192.168.1.1 0.0.0.0 UG 0 0 0 eth0
5. 192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0

8. 列印網路介面

netstat 也能列印網路介面資訊，-i 選項就是為這個功能而生。

1. $ netstat -i
2. Kernel Interface table
3. Iface MTU Met RX-OK RX-ERR RX-DRP RX-OVR TX-OK TX-ERR TX-DRP TX-OVR Flg
4. eth0 1500 0 31611 0 0 0 27503 0 0 0 BMRU
5. lo 65536 0 2913 0 0 0 2913 0 0 0 LRU

上面輸出的資訊比較原始。我們將 -e 選項和 -i 選項搭配使用，可以輸出使用者友好的資訊。

1. $ netstat -ie
2. Kernel Interface table
3. eth0 Link encap:Ethernet HWaddr 00:16:36:f8:b2:64
4. inet addr:192.168.1.2 Bcast:192.168.1.255 Mask:255.255.255.0
5. inet6 addr: fe80::216:36ff:fef8:b264/64 Scope:Link
6. UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
7. RX packets:31682 errors:0 dropped:0 overruns:0 frame:0
8. TX packets:27573 errors:0 dropped:0 overruns:0 carrier:0
9. collisions:0 txqueuelen:1000
10. RX bytes:29637117 (29.6 MB) TX bytes:4590583 (4.5 MB)
11. Interrupt:18 Memory:da000000-da020000
12. lo Link encap:Local Loopback
13. inet addr:127.0.0.1 Mask:255.0.0.0
14. inet6 addr: ::1/128 Scope:Host
15. UP LOOPBACK RUNNING MTU:65536 Metric:1
16. RX packets:2921 errors:0 dropped:0 overruns:0 frame:0
17. TX packets:2921 errors:0 dropped:0 overruns:0 carrier:0
18. collisions:0 txqueuelen:0
19. RX bytes:305297 (305.2 KB) TX bytes:305297 (305.2 KB)

上面的輸出資訊與 ifconfig 輸出的資訊一樣。

9. netstat 持續輸出

我們可以使用 netstat 的 -c 選項持續輸出資訊。

1. $ netstat -ct

這個命令可持續輸出 TCP 協議資訊。

10. 顯示多播組資訊

選項 -g 會輸出 IPv4 和 IPv6 的多播組資訊。

1. $ netstat -g
2. IPv6/IPv4 Group Memberships
3. Interface RefCnt Group
4. --------------- ------ ---------------------
5. lo 1 all-systems.mcast.net
6. eth0 1 224.0.0.251
7. eth0 1 all-systems.mcast.net
8. lo 1 ip6-allnodes
9. lo 1 ff01::1
10. eth0 1 ff02::fb
11. eth0 1 ff02::1:fff8:b264
12. eth0 1 ip6-allnodes
13. eth0 1 ff01::1
14. wlan0 1 ip6-allnodes
15. wlan0 1 ff01::1

更多用法

目前為止我們列出了 netstat 的基本用法，現在讓我們一起來 geek 吧～

列印 active 狀態的連線

active 狀態的套接字連線用 "ESTABLISHED" 欄位表示，所以我們可以使用 grep 命令獲得 active 狀態的連線：

1. $ netstat -atnp | grep ESTA
2. (Not all processes could be identified, non-owned process info
3. will not be shown, you would have to be root to see it all.)
4. tcp 0 0 192.168.1.2:49156 173.255.230.5:80 ESTABLISHED 1691/chrome
5. tcp 0 0 192.168.1.2:33324 173.194.36.117:443 ESTABLISHED 1691/chrome

配合 watch 命令監視 active 狀態的連線：

1. $ watch -d -n0 "netstat -atnp | grep ESTA"

檢視服務是否在執行

如果你想看看 http,smtp 或 ntp 服務是否在執行，使用 grep。

1. $ sudo netstat -aple | grep ntp
2. udp 0 0 enlightened.local:ntp *:* root 17430 1789/ntpd
3. udp 0 0 localhost:ntp *:* root 17429 1789/ntpd
4. udp 0 0 *:ntp *:* root 17422 1789/ntpd
5. udp6 0 0 fe80::216:36ff:fef8:ntp [::]:* root 17432 1789/ntpd
6. udp6 0 0 ip6-localhost:ntp [::]:* root 17431 1789/ntpd
7. udp6 0 0 [::]:ntp [::]:* root 17423 1789/ntpd
8. unix 2 [ ] DGRAM 17418 1789/ntpd

從這裡可以看到 ntp 服務正在執行。使用 grep 命令你可以檢視 http 或 smtp 或其它任何你想檢視的服務。