io、free、ps、netstat命令、Linux下抓包

 

一、监控 io 性能

 

这个 iostat 命令，在安装 sar 命令的时候，就一块儿安装了，因此不用从新安装。具体用法见下图，

iostat 命令和 vmstat 挺像的，输入 iostat 能够直接查看磁盘显示状况，输入 iostat 1 就是每隔1秒显示一次，是动态命令，使用 ctrl + c 结束命令。sda 和 sdb 表示磁盘，第3 列和第4 列表示读和写的速度。这个命令没什么用处，由于命令 sar -b 也能够看出这些信息。

接着往下介绍命令 iostat -x 1，见下图，

这个命令有一个很是重要的指标 %util ，表示 io 等待，在统计时间内全部处理IO时间，除以总共统计时间。例如，若是统计间隔1秒，该设备有0.8秒在处理IO，而0.2秒闲置，那么该设备的%util = 0.8/1 = 80%，因此该参数暗示了设备的繁忙程度。通常地，若是该参数是100%表示设备已经接近满负荷运行了（固然若是是多磁盘，即便%util是100%，由于磁盘的并发能力，因此磁盘使用未必就到了瓶颈）。

还有一个命令 iotop ，须要安装，见下图，

iotop 命令和 top 命令很像，也是动态显示，输入命令 iotop ，回车，见下图，

能够看到排序，可是 io 没有什么读写信息，也就没有什么排序。按字母 q 退出。

 

二、free 命令

 

直接查看内存使用情况。输入 free ，回车，见下图，

能够看到当前系统的总内存大小以及使用内存的状况，单纯的 free 命令单位是 KB ，-m 选项的单位是 M ，-g 选项的单位是 G，-h 选项是智能的显示单位。其中，第2行是内存使用状况，第3行是 swap的使用状况。咱们关注的是第2行的数据，从上例中可看到当前系统内存总大小为999936 KB，已经使用118532 KB，剩余578680 KB，共享6832 KB。 系统初始化时，就已经分配出很大一部份内存给缓存（buff/cache），这部分缓存用来随时提供给程序使用，若是程序不用，那这部份内存就空闲。CPU 和磁盘之间，须要经过内存来缓存。从磁盘到CPU之间的内存叫 cache ，从CPU到磁盘之间的内存叫 buffer。

公式：total=used+free+buff/cache。

avaliable包含free和buffer/cache剩余部分。

 

三、ps 命令

 

 

做为系统管理员，必定要知道你所管理的系统都有那些进程在运行，在windows下只要打开任务管理器便可查看。在linux下呢？其实在上面介绍的top命令就能够，可是不容易看，还有专门显示系统进程的命令 ps ，静态显示出来进程状况。

先输入命令 man ps ，回车，来查看一下 ps 的功能，见下图，

能够看到 ps 的做用是报告当前流程的快照。

接着来看一下 ps 的用法，见下图，

ps aux 命令显示当前系统的全部进程，它常常会连同管道符一块儿使用，用来查看某个进程或者它的数量，见下图，

ps 还有一种用法，见下图，

-elf 的用法和 aux 大同小异，显示的信息基本上是同样的，不一一截图了。这两种方法就是看我的喜爱。

接着介绍 ps aux 命令结果里面几个参数的意义：

USER：进程的运行用户

PID ：进程的id，这个id颇有用，在linux中内核管理进程就得靠pid来识别和管理某一个程序，好比我想终止某一个进程，则用 kill  进程的pid 有时并不能杀掉，则须要加一个-9选项了 kill  -9  进程pid

如今假设 PID 为509的进程是非法进程，先查看一下进程的目录，看看进程是从哪边启动起来的，就是下图红色框框绿色字体的内容。

%CPU   CPU百分比

%MEM  内存百分比

VSZ       虚拟内存

RSS       物理内存

START   何时启动

TIME     运行多久

COMMAND 命令

STAT ：表示进程的状态，进程状态分为如下几种（不要求记住，但要了解）

D 不能中断的进程（一般为IO）

R 正在运行中的进程

S （大写的S）已经中断的进程，一般状况下，系统中大部分进程都是这个状态

T 已经中止或者暂停的进程，若是咱们正在运行一个命令，好比说 vmstat 1 ，若是咱们按一下 ctrl + z  让他暂停，那么咱们用ps查看就会显示T这个状态，见下图，

W 这个好像是说，从内核2.6xx 之后，表示为没有足够的内存页分配

X 已经死掉的进程（这个好像历来不会出现）

Z 僵尸进程，杀不掉，打不死的垃圾进程，占系统一小点资源，不过没有关系。若是太多，就有问题了。通常不会出现。

< 高优先级进程，CPU先给这些进程用

N 低优先级进程

L 在内存中被锁了内存分页（还没见过，了解便可）

s （小写的s）主进程，通常显示为 Ss 为主进程，S 为子进程。

l 多线程进程，意思就是这个进程有多个线程。这边线程和进程，能够查查资料

+ 表明在前台运行的进程

这个ps命令是在工做中用的很是多的命令之一。

 

总结：

iostat -x     %util表示在统计时间内全部处理IO时间，除以总共统计时间

iostat         显示当前磁盘使用状况

iostat 1      每隔1秒显示一次磁盘使用状况，是动态命令，使用 ctrl + c 结束命令

iotop          磁盘使用状况，按 io 排序

free            能够看到当前系统的总内存大小以及使用内存的状况，-m 单位M，-g单位G，-h智能显示单位

ps aux        静态的显示当前系统的全部进程，常常与 | 一块儿使用

ps -elf        结果与 ps aux 大同小异，看我的喜爱使用

 

四、netstat

 

netstat 是在内核中访问网络链接状态及其相关信息的程序，它能提供TCP链接，TCP和UDP监听，进程内存管理的相关报告。

netstat 是控制台命令,是一个监控TCP/IP网络的很是有用的工具，它能够显示路由表、实际的网络链接以及每个网络接口设备的状态信息。netstat用于显示与IP、TCP、UDP和ICMP协议相关的统计数据，通常用于检验本机各端口的网络链接状况。

若是你的计算机有时候接收到的数据包致使出错数据或故障，你没必要感到奇怪，TCP/IP能够允许这些类型的错误，并可以自动重发数据包。但若是累计的出错状况数目占到所接收的IP数据报至关大的百分比，或者它的数目正迅速增长，那么你就应该使用netstat查一查为何会出现这些状况了。

netstat 命令的功能是显示网络链接、路由表和网络接口信息，可让用户得知有哪些网络链接正在运做。使用时若是不带参数，netstat显示活动的 TCP 链接。

 

netstat 命令用来打印网络链接情况、系统所开放端口、路由表等信息。最经常使用的关于netstat的命令就是这个 netstat -lnp （查看当前系统启动哪些端口）以及 netstat  -an （查看网络链接情况）这两个命令很是有用。

正常状况下，一台机器是没有任何的端口监听，也就意味着它没有办法和其余的机器通讯。要想提供web服务，让其余人访问服务器和网站，就须要监听一个端口。那么怎么查看监听端口？输入命令 netstat -lnp ，回车，见下图，

重点关注上图红色框框的内容，显示监听了哪些端口，后面会常常用到这个命令。tcp和udp，最好网上查查他们俩的意思，作个了解。

tcp 百度百科 https://baike.baidu.com/item/TCP/33012?fr=aladdin 

dup 百度百科 https://baike.baidu.com/item/UDP/571511?fr=aladdin 

除了 tcp 和 dup ，还有 unix ，以前说过 socket 文件，说的是同一台服务器，两个进程以前互相通讯使用 socket 文件。

只查看tcp和udp的命令，见下图，

还有一个命令，输入 netstat -an ，回车，见下图，

内容较多，没有一一截图。这个命令涉及扩展知识，叫TCP/IP的“三次握手，四次挥手”。“三次握手，四次挥手”是重点。

上图中常见状态即链接状态。在原模式中没有状态，在用户数据报协议中也常常没有状态，因而状态列能够空出来。如有状态，一般取值为：

LISTEN

侦听来自远方的TCP端口的链接请求

SYN-SENT

在发送链接请求后等待匹配的链接请求

SYN-RECEIVED

在收到和发送一个链接请求后等待对方对链接请求的确认

ESTABLISHED

表明一个打开的链接，表示正在通讯。这个数值须要关注，若是很大的话，说明系统如今很忙。一般状况下，1000之内，服务器都是能够接受的。

FIN-WAIT-1

等待远程TCP链接中断请求，或先前的链接中断请求的确认

FIN-WAIT-2

从远程TCP等待链接中断请求

CLOSE-WAIT

等待从本地用户发来的链接中断请求

CLOSING

等待远程TCP对链接中断的确认

LAST-ACK

等待原来的发向远程TCP的链接中断请求的确认

TIME-WAIT

等待足够的时间以确保远程TCP接收到链接中断请求的确认

CLOSED

没有任何链接状态

 

分享一个小技巧，能够查看全部的状态的数字，输入命令 netstat -an | awk '/^tcp/ {++sta[$NF]} END {for(key in sta) print key, "\t", sta[key]}' ，回车，见下图，

个人虚拟机上的状态比较少，显示为 LISTEN 4个，ESTABLISHED 1个。

 

还有一个命令 ss ，它与 netstat 相似，见下图，

内容较多，不一一截图。ss -an 也可以查看状态，想单独查看某一个状态的话，输入命令 ss -an | grep -i listen，回车，见下图，

这个命令有个缺点，不会显示进程的名字，netstat 命令就能够。

 

五、Linux 下抓包

 

 

TcpDump能够将网络中传送的数据包彻底截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。

Linux做为网络服务器，特别是做为路由器和网关时，数据的采集和分析是不可少的。TcpDump是Linux中强大的网络数据采集分析工具之一。

用简单的话来定义tcpdump，就是：dump the traffic on a network，根据使用者的定义对网络上的数据包进行截获的包分析工具。

做为互联网上经典的的系统管理员必备工具，tcpdump以其强大的功能，灵活的截取策略，成为每一个高级的系统管理员分析网络，排查问题等所必备的工具之一。

tcpdump提供了源代码，公开了接口，所以具有很强的可扩展性，对于网络维护和入侵者都是很是有用的工具。tcpdump存在于基本的 FreeBSD系统中，因为它须要将网络接口设置为混杂模式，普通用户不能正常执行，但具有root权限的用户能够直接执行它来获取网络上的信息。所以系统中存在网络分析工具主要不是对本机安全的威胁，而是对网络上的其余计算机的安全存在威胁。

基本上tcpdump的总的输出格式为：系统时间 来源主机.端口 > 目标主机.端口 数据包参数

 

有时候，也许你会有这样的需求，想看一下某个网卡上都有哪些数据包，尤为是当你初步断定你的服务器上有流量攻击。这时，使用抓包工具来抓一下数据包，就能够知道有哪些IP在攻击你了。

若是没有tcpdump 这个命令，须要用 yum install -y tcpdump 命令去安装一下。见下图，

接着执行最简单的用法，输入命令 tcpdump -nn ，回车，见下图，

出现上图所示一段话，而后命令就卡着没有动，须要使用 ctrl + c 才能结束命令。这是由于个人设备名字比较特殊，因此须要指定网卡的名字，使用命令 ifconfig ，见下图，

而后输入命令 tcpdump -nn -i ens33 ，回车，见下图，

命令跑得很是快，须要使用 ctrl + c 来结束命令。上图中，结果显示出不少信息，命令这边的 -nn 中第1个 n 表示IP用数字的形式显示出来，若是不加就会显示成主机名。输入命令 tcpdump -i ens33 ，回车，见下图，

能够看到，显示的ip地址变成主机名了。主机名对咱们来讲，不知道是谁，因此仍是用 -nn 查看ip地址比较直观。咱们本身的主机名上的 .ssh 意思是ssh服务的端口 22 ，知道 22 的话就还好，不知道的话，就不知道是谁了。

上上图中第1列是时间，第2列是IP，第3列显示的是原IP.原端口，> 是一个方向表示到哪里去，第4列显示的信息是如今的IP和端口，后面的信息是该数据包的相关信息。咱们主要关注的是IP地址和端口这两列。认真看的话，会发现这两列IP地址是一对一对，并且互相发送信息。

tcpdump 查看的就是数据的流向。

也能够指定端口查看，来看一下123端口的，输入命令 tcpdump -nn -i ens33 port 123 ，回车，见下图，

结果就只有端口123的出来，固然也有排除的命令，输入 tcpdump -nn -i ens33 not port 22 ，回车，见下图，

还能够加入条件，输入命令 tcpdump -nn -i ens33 not port 22 and host 192.168.218.128 ，回车，见下图，

还能够指定数据包的长度和个数，见下图，

上图中的10就表示个数，还能够指定存放的文件，文件名随便取，见下图，

这边取包会须要点时间，不是卡住了，耐心等一会就会有结果的。最终写出的文件，能够进入查看，输入命令 file /tmp/1.cap ，回车，见下图，

这个文件没法用 cat 命令查看，结果会出现一堆乱码，可使用 file 命令查看一下大体信息，也可使用 tcpdump 命令查看，须要加上 -r ，见下图，

结果就是一些数据流。

接着分享一个命令 tshark ，须要先安装一个工具，见下图，

安装完毕，往下操做，输入命令 tshark -n -t a -R http.request -T fields -e "frame.time" -e "ip.src" -e "http.host" -e "http.request.method" -e "http.request.uri" ，回车，见下图，

能够查看指定网卡，80端口的一个web端口访问的状况，虚拟机是查不到状况的，由于没有任何的80端口在监听，没有提供web服务。因此上图没有结果，看不到效果，可是须要记住这个命令。这个命令的结果相似于web的访问日志，包含时间、IP地址、访问的域名，连接等信息。

 

总结：

netstat -lnp         查看当前系统启动哪些端口

netstat -an          查看网络链接情况

netstat -ltnp        查看当前系统启动的tcp端口

netstat -lunp       查看当前系统启动的udp端口

netstat -ltunp      查看当前系统启动的tcp和udp端口

netstat -an | awk '/^tcp/ {++sta[$NF]} END {for(key in sta) print key, "\t", sta[key]}'     能够查看全部的状态的数字。

课件地址在 centos7.aminglinux.com 

ss -an                  与 netstat 殊途同归，都是查看状态的，不过它不会显示进程的名字

ss -an | grep -i listen       查看状态为 listen 的状况

tcpdump -nn -i ens33     查看数据的流向，可查看ip地址和端口

tcpdump -i ens33            不加-nn查看主机名，没有ip地址和端口

tcpdump -nn -i ens33 port 123   查看指定端口123的数据流向

tcpdump -nn -i ens33 not port 22    查看非指定端口22的数据流向

tcpdump -nn -i ens33 not port 22 and host 192.168.218.128     查看非指定端口22和ip地址是 192.168.218.128 的数据流向

tcpdump -nn -i ens33 -c 10       查看10个数据的流向

tcpdump -nn -i ens33 -c 10 -w /tmp/1.cap    查看10个数据的流向而且指定存放的路径/tmp/1.cap 

tcpdump -r /tmp/1.cap      查看数据存放的文件