ss命令详解

时间 2019-11-10

标签命令详解繁體版

原文原文链接

原文连接：https://www.jb51.net/article/135414.htmlinux

ss 是 Socket Statistics 的缩写。ss 命令能够用来获取 socket 统计信息，它显示的内容和 netstat 相似。但 ss 的优点在于它可以显示更多更详细的有关 TCP 和链接状态的信息，并且比 netstat 更快。当服务器的 socket 链接数量变得很是大时，不管是使用 netstat 命令仍是直接 cat /proc/net/tcp，执行速度都会很慢。ss 命令利用到了 TCP 协议栈中 tcp_diag。tcp_diag 是一个用于分析统计的模块，能够得到 Linux 内核中第一手的信息，所以 ss 命令的性能会好不少。swift

经常使用选项bash

-h, --help 帮助
-V, --version 显示版本号
-t, --tcp 显示 TCP 协议的 sockets
-u, --udp 显示 UDP 协议的 sockets
-x, --unix 显示 unix domain sockets，与 -f 选项相同
-n, --numeric 不解析服务的名称，如 "22" 端口不会显示成 "ssh"
-l, --listening 只显示处于监听状态的端口
-p, --processes 显示监听端口的进程(Ubuntu 上须要 sudo)
-a, --all 对 TCP 协议来讲，既包含监听的端口，也包含创建的链接
-r, --resolve 把 IP 解释为域名，把端口号解释为协议名称服务器

常见用例网络

若是不添加选项 ss 命令默认输出全部创建的链接(不包含监听的端口)，包括 tcp, udp, and unix socket 三种类型的链接：并发

查看主机监听的端口dom

1	`$ ss -tnl`

经过 -r 选项解析 IP 和端口号ssh

1	`$ ss -tlr`

使用 -p 选项查看监听端口的程序名称socket

1	`$` `sudo` `ss -tlp`

最后一列就是运行的程序名称。还能够经过 grep 继续过滤：

1	`$` `sudo` `ss -tlp \|` `grep` `ssh`

查看创建的 TCP 链接

-a --all 对 TCP 协议来讲，既包含监听的端口，也包含创建的链接

1	`$ ss -tna`

显示更多的信息

-o, --options 显示时间信息
-m, --memory 显示 socket 使用的内存
-i, --info 显示更多 TCP 内部的信息

显示概要信息

$ ss -s

dst/src dport/sport 语法

能够经过 dst/src/dport/sprot 语法来过滤链接的来源和目标，来源端口和目标端口。

匹配远程地址和端口号

 
         $ ss dst 192.168.1.5 
        
         $ ss dst 192.168.119.113:http 
        
         $ ss dst 192.168.119.113:443

匹配本地地址和端口号

 
         $ ss src 192.168.119.103 
        
         $ ss src 192.168.119.103:http 
        
         $ ss src 192.168.119.103:80

将本地或者远程端口和一个数比较

可使用下面的语法作端口号的过滤：

1 2	`$ ss dport OP PORT` `$ ss sport OP PORT`

OP 能够表明如下任意一个：

<=	le	小于或等于某个端口号
>=	ge	大于或等于某个端口号
==	eq	等于某个端口号
!=	ne	不等于某个端口号
>	gt	大于某个端口号
<	lt	小于某个端口号

下面是一个简单的 demo(注意，须要对尖括号使用转义符)：

1 2	`$ ss -tunl sport lt 50` `$ ss -tunl sport \< 50`

经过 TCP 的状态进行过滤

ss 命令还能够经过 TCP 链接的状态进程过滤，支持的 TCP 协议中的状态有：
established
syn-sent
syn-recv
fin-wait-1
fin-wait-2
time-wait
closed
close-wait
last-ack
listening
closing

除了上面的 TCP 状态，还可使用下面这些状态：

all	列出全部的 TCP 状态。
connected	列出除了 listening 和 closing 以外的全部 TCP 状态。
synchronized	列出除了 syn-sent 以外的全部 TCP 状态。
bucket	列出 maintained 的状态，如：time-wait 和 syn-recv。
big	列出和 bucket 相反的状态。

使用 ipv4 时的过滤语法以下：

1	`$ ss -4 state filter`

使用 ipv6 时的过滤语法以下：

1	`$ ss -6 state filter`

下面是一个简单的例子：

1	`$ ss -4 state listening`

同时过滤 TCP 的状态和端口号

(注意下面命令中的转义符和空格，都是必须的。若是不用转义符，可使用单引号)

下面的命令显示全部状态为 established 的 ssh 链接：

1	`$ ss -4n state listening`

下面的两种写法是等价的，要有使用 \ 转义小括号，要么使用单引号括起来：

1 2	`$ ss -4n state listening $ dport = :` `ssh` `$` `$ ss -4n state listening` `'( dport = :ssh )'`

只是最后的结果稍微让人有些意外，不只显示了监听的端口，也显示了经过 22 端口创建的链接。

下面咱们显示全部状态为 Established 的 HTTP 链接：

1 2	`$ ss -4n state listening $ dport = :` `ssh` `$` `$ ss -4n state listening` `'( dport = :ssh )'`

下面的命令列出全部链接到 22 端口的链接和对 22 端口的监听：

1	`$ ss state all dport = :22`

下面是一个来自 ss man page 的例子，它列举出处于 FIN-WAIT-1状态的源端口为 80 或者 443，目标网络为 193.233.7/24 全部 TCP 套接字：

1	`$ ss state fin-wait-1` `'( sport = :http or sport = :https )'` `dst 193.233.7` `/24`

总结

因为性能出色且功能丰富，ss 命令能够用来替代 netsate 命令成为咱们平常查看 socket 相关信息的利器。其实抛弃 netstate 命令已是大势所趋，有的 Linux 版本默认已经再也不内置 netstate 而是内置了 ss 命令。

以上就是本文的所有内容，但愿对你们的学习有所帮助，也但愿你们多多支持脚本之家。

ss命令用于显示socket状态. 他能够显示PACKET sockets, TCP sockets, UDP sockets, DCCP sockets, RAW sockets, Unix domain sockets等等统计. 它比其余工具展现等多tcp和state信息. 它是一个很是实用、快速、有效的跟踪IP链接和sockets的新工具.SS命令能够提供以下信息：

全部的TCP sockets
全部的UDP sockets
全部ssh/ftp/ttp/https持久链接
全部链接到Xserver的本地进程
使用state（例如：connected, synchronized, SYN-RECV, SYN-SENT,TIME-WAIT）、地址、端口过滤
全部的state FIN-WAIT-1 tcpsocket链接以及更多

不少流行的Linux发行版都支持ss以及不少监控工具使用ss命令.熟悉这个工具备助于您更好的发现与解决系统性能问题.本人强烈建议使用ss命令替代netstat部分命令,例如netsat -ant/lnt等.

展现他以前来作个对比,统计服务器并发链接数

 netstat
# time netstat -ant | grep EST | wc -l
3100

real 0m12.960s
user 0m0.334s
sys 0m12.561s
# time ss -o state established | wc -l
3204

real 0m0.030s
user 0m0.005s
sys 0m0.026s

netstat

# time netstat -ant | grep EST | wc -l

3100

real 0m12.960s

user 0m0.334s

sys 0m12.561s

# time ss -o state established | wc -l

3204

real 0m0.030s

user 0m0.005s

sys 0m0.026s

结果很明显ss统计并发链接数效率完败netstat,在ss能搞定的状况下, 你还会在选择netstat吗, 还在犹豫吗, 看如下例子,或者跳转到帮助页面.

经常使用ss命令：

ss -l 显示本地打开的全部端口
ss -pl 显示每一个进程具体打开的socket
ss -t -a 显示全部tcp socket
ss -u -a 显示全部的UDP Socekt
ss -o state established '( dport = :smtp or sport = :smtp )' 显示全部已创建的SMTP链接
ss -o state established '( dport = :http or sport = :http )' 显示全部已创建的HTTP链接
ss -x src /tmp/.X11-unix/* 找出全部链接X服务器的进程
ss -s 列出当前socket详细信息:

ss -l 显示本地打开的全部端口

ss -pl 显示每一个进程具体打开的socket

ss -t -a 显示全部tcp socket

ss -u -a 显示全部的UDP Socekt

ss -o state established '( dport = :smtp or sport = :smtp )' 显示全部已创建的SMTP链接

ss -o state established '( dport = :http or sport = :http )' 显示全部已创建的HTTP链接

ss -x src /tmp/.X11-unix/* 找出全部链接X服务器的进程

ss -s 列出当前socket详细信息:

显示sockets简要信息
列出当前已经链接，关闭，等待的tcp链接

# ss -s
Total: 3519 (kernel 3691)
TCP: 26557 (estab 3163, closed 23182, orphaned 194, synrecv 0, timewait 23182/0), ports 1452

Transport Total IP IPv6
* 3691 - -
RAW 2 2 0
UDP 10 7 3
TCP 3375 3368 7
INET 3387 3377 10
FRAG 0 0 0

# ss -s

Total: 3519 (kernel 3691)

TCP: 26557 (estab 3163, closed 23182, orphaned 194, synrecv 0, timewait 23182/0), ports 1452

Transport Total IP IPv6

* 3691 - -

RAW 2 2 0

UDP 10 7 3

TCP 3375 3368 7

INET 3387 3377 10

FRAG 0 0 0

列出当前监听端口

# ss -l
Recv-Q Send-Q Local Address:Port Peer Address:Port
0 10 :::5989 :::*
0 5 *:rsync *:*
0 128 :::sunrpc :::*
0 128 *:sunrpc *:*
0 511 *:http *:*
0 128 :::ssh :::*
0 128 *:ssh *:*
0 128 :::35766 :::*
0 128 127.0.0.1:ipp *:*
0 128 ::1:ipp :::*
0 100 ::1:smtp :::*
0 100 127.0.0.1:smtp *:*
0 511 *:https *:*
0 100 :::1311 :::*
0 5 *:5666 *:*
0 128 *:3044 *:*

# ss -l

Recv-Q Send-Q Local Address:Port Peer Address:Port

0 10 :::5989 :::*

0 5 *:rsync *:*

0 128 :::sunrpc :::*

0 128 *:sunrpc *:*

0 511 *:http *:*

0 128 :::ssh :::*

0 128 *:ssh *:*

0 128 :::35766 :::*

0 128 127.0.0.1:ipp *:*

0 128 ::1:ipp :::*

0 100 ::1:smtp :::*

0 100 127.0.0.1:smtp *:*

0 511 *:https *:*

0 100 :::1311 :::*

0 5 *:5666 *:*

0 128 *:3044 *:*

ss列出每一个进程名及其监听的端口

# ss -pl

# ss -pl

ss列全部的tcp sockets

# ss -t -a

1	# ss -t -a

ss列出全部udp sockets

# ss -u -a

1	# ss -u -a

ss列出全部http链接中的链接

# ss -o state established '( dport = :http or sport = :http )'

1	# ss -o state established '( dport = :http or sport = :http )'

·以上包含对外提供的80，以及访问外部的80
·用以上命令完美的替代netstat获取http并发链接数，监控中经常使用到

ss列出本地哪一个进程链接到x server

# ss -x src /tmp/.X11-unix/*

1	# ss -x src /tmp/.X11-unix/*

ss列出处在FIN-WAIT-1状态的http、https链接

# ss -o state fin-wait-1 '( sport = :http or sport = :https )'

1	# ss -o state fin-wait-1 '( sport = :http or sport = :https )'

ss经常使用的state状态：

established
syn-sent
syn-recv
fin-wait-1
fin-wait-2
time-wait
closed
close-wait
last-ack
listen
closing
all : All of the above states
connected : All the states except for listen and closed
synchronized : All the connected states except for syn-sent
bucket : Show states, which are maintained as minisockets, i.e. time-wait and syn-recv.
big : Opposite to bucket state.

established

syn-sent

syn-recv

fin-wait-1

fin-wait-2

time-wait

closed

close-wait

last-ack

listen

closing

all : All of the above states

connected : All the states except for listen and closed

synchronized : All the connected states except for syn-sent

bucket : Show states, which are maintained as minisockets, i.e. time-wait and syn-recv.

big : Opposite to bucket state.

ss使用IP地址筛选

ss src ADDRESS_PATTERN
src：表示来源
ADDRESS_PATTERN：表示地址规则

以下：
ss src 120.33.31.1 # 列出来之20.33.31.1的链接

＃　列出来至120.33.31.1,80端口的链接
ss src 120.33.31.1:http
ss src 120.33.31.1:80

ss src ADDRESS_PATTERN

src：表示来源

ADDRESS_PATTERN：表示地址规则

以下：

ss src 120.33.31.1 # 列出来之20.33.31.1的链接

＃　列出来至 120.33.31.1,80端口的链接

ss src 120.33.31.1:http

ss src 120.33.31.1:80

ss使用端口筛选

ss dport OP PORT
OP:是运算符
PORT：表示端口
dport：表示过滤目标端口、相反的有sport

ss dport OP PORT

OP:是运算符

PORT：表示端口

dport：表示过滤目标端口、相反的有sport

OP运算符以下：

<= or le : 小于等于 >= or ge : 大于等于
== or eq : 等于
!= or ne : 不等于端口
< or lt : 小于这个端口 > or gt : 大于端口

<= or le : 小于等于 >= or ge : 大于等于

== or eq : 等于

!= or ne : 不等于端口

< or lt : 小于这个端口 > or gt : 大于端口

OP实例

ss sport = :http 也能够是 ss sport = :80
ss dport = :http
ss dport \> :1024
ss sport \> :1024
ss sport \< :32000
ss sport eq :22
ss dport != :22
ss state connected sport = :http
ss \( sport = :http or sport = :https \)
ss -o state fin-wait-1 \( sport = :http or sport = :https \) dst 192.168.1/24

ss sport = :http 也能够是 ss sport = :80

ss dport = :http

ss dport \> :1024

ss sport \> :1024

ss sport \< :32000

ss sport eq :22

ss dport != :22

ss state connected sport = :http

ss $ sport = :http or sport = :https $

ss -o state fin-wait-1 $ sport = :http or sport = :https $ dst 192.168.1/24

为何ss比netstat快：
netstat是遍历/proc下面每一个PID目录，ss直接读/proc/net下面的统计信息。因此ss执行的时候消耗资源以及消耗的时间都比netstat少不少

ss命令帮助

# ss -h
Usage: ss [ OPTIONS ]
       ss [ OPTIONS ] [ FILTER ]
   -h, --help           this message
   -V, --version        output version information
   -n, --numeric        don't resolve service names
   -r, --resolve       resolve host names
   -a, --all            display all sockets
   -l, --listening      display listening sockets
   -o, --options       show timer information
   -e, --extended      show detailed socket information
   -m, --memory        show socket memory usage
   -p, --processes      show process using socket
   -i, --info           show internal TCP information
   -s, --summary        show socket usage summary

   -4, --ipv4          display only IP version 4 sockets
   -6, --ipv6          display only IP version 6 sockets
   -0, --packet display PACKET sockets
   -t, --tcp            display only TCP sockets
   -u, --udp            display only UDP sockets
   -d, --dccp           display only DCCP sockets
   -w, --raw            display only RAW sockets
   -x, --unix           display only Unix domain sockets
   -f, --family=FAMILY display sockets of type FAMILY

   -A, --query=QUERY, --socket=QUERY
       QUERY := {all|inet|tcp|udp|raw|unix|packet|netlink}[,QUERY]

   -D, --diag=FILE      Dump raw information about TCP sockets to FILE
   -F, --filter=FILE   read filter information from FILE
       FILTER := [ state TCP-STATE ] [ EXPRESSION ]

# ss -h

Usage: ss [ OPTIONS ]

ss [ OPTIONS ] [ FILTER ]

-h, --help this message

-V, --version output version information

-n, --numeric don't resolve service names

-r, --resolve resolve host names

-a, --all display all sockets

-l, --listening display listening sockets

-o, --options show timer information

-e, --extended show detailed socket information

-m, --memory show socket memory usage

-p, --processes show process using socket

-i, --info show internal TCP information

-s, --summary show socket usage summary

-4, --ipv4 display only IP version 4 sockets

-6, --ipv6 display only IP version 6 sockets

-0, --packet display PACKET sockets

-t, --tcp display only TCP sockets

-u, --udp display only UDP sockets

-d, --dccp display only DCCP sockets

-w, --raw display only RAW sockets

-x, --unix display only Unix domain sockets

-f, --family=FAMILY display sockets of type FAMILY

-A, --query=QUERY, --socket=QUERY

QUERY := {all|inet|tcp|udp|raw|unix|packet|netlink}[,QUERY]

-D, --diag=FILE Dump raw information about TCP sockets to FILE

-F, --filter=FILE read filter information from FILE

FILTER := [ state TCP-STATE ] [ EXPRESSION ]

参考：http://www.cyberciti.biz/tips/linux-investigate-sockets-network-connections.html
转摘请注明出处：Linux网络状态工具ss命令详解 http://www.ttlsa.com/html/2070.html