ss指令詳解

基礎指令學習目錄

原文連結：https://www.jb51.net/article/135414.htm

ss 是 Socket Statistics 的縮寫。ss 指令可以用來擷取 socket 統計資訊，它顯示的内容和 netstat 類似。但 ss 的優勢在于它能夠顯示更多更詳細的有關 TCP 和連接配接狀态的資訊，而且比 netstat 更快。當伺服器的 socket 連接配接數量變得非常大時，無論是使用 netstat 指令還是直接 cat /proc/net/tcp，執行速度都會很慢。ss 指令利用到了 TCP 協定棧中 tcp_diag。tcp_diag 是一個用于分析統計的子產品，可以獲得 Linux 核心中第一手的資訊，是以 ss 指令的性能會好很多。

常用選項

-h, --help 幫助

-V, --version 顯示版本号

-t, --tcp 顯示 TCP 協定的 sockets

-u, --udp 顯示 UDP 協定的 sockets

-x, --unix 顯示 unix domain sockets，與 -f 選項相同

-n, --numeric 不解析服務的名稱，如 "22" 端口不會顯示成 "ssh"

-l, --listening 隻顯示處于監聽狀态的端口

-p, --processes 顯示監聽端口的程序(Ubuntu 上需要 sudo)

-a, --all 對 TCP 協定來說，既包含監聽的端口，也包含建立的連接配接

-r, --resolve 把 IP 解釋為域名，把端口号解釋為協定名稱

常見用例

如果不添加選項 ss 指令預設輸出所有建立的連接配接(不包含監聽的端口)，包括 tcp, udp, and unix socket 三種類型的連接配接：

檢視主機監聽的端口

1	`$ ss -tnl`

通過 -r 選項解析 IP 和端口号

$ ss -tlr

使用 -p 選項檢視監聽端口的程式名稱

sudo

ss -tlp

最後一列就是運作的程式名稱。還可以通過 grep 繼續過濾：

sudo

ss -tlp |

grep

ssh

檢視建立的 TCP 連接配接

-a --all 對 TCP 協定來說，既包含監聽的端口，也包含建立的連接配接

$ ss -tna

顯示更多的資訊

-o, --options 顯示時間資訊

-m, --memory 顯示 socket 使用的記憶體

-i, --info 顯示更多 TCP 内部的資訊

顯示概要資訊

$ ss -s

dst/src dport/sport 文法

可以通過 dst/src/dport/sprot 文法來過濾連接配接的來源和目标，來源端口和目标端口。

比對遠端位址和端口号

2 3	`$ ss dst 192.168.1.5` `$ ss dst 192.168.119.113:http` `$ ss dst 192.168.119.113:443`

比對本地位址和端口号

$ ss src 192.168.119.103

$ ss src 192.168.119.103:http

$ ss src 192.168.119.103:80

将本地或者遠端端口和一個數比較

可以使用下面的文法做端口号的過濾：

$ ss dport OP PORT

$ ss sport OP PORT

OP 可以代表以下任意一個：

<=	le	小于或等于某個端口号
>=	ge	大于或等于某個端口号
==	eq	等于某個端口号
!=	ne	不等于某個端口号
>	gt	大于某個端口号
<	lt	小于某個端口号

下面是一個簡單的 demo(注意，需要對尖括号使用轉義符)：

$ ss -tunl sport lt 50

$ ss -tunl sport \< 50

通過 TCP 的狀态進行過濾

ss 指令還可以通過 TCP 連接配接的狀态程序過濾，支援的 TCP 協定中的狀态有：

established

syn-sent

syn-recv

fin-wait-1

fin-wait-2

time-wait

closed

close-wait

last-ack

listening

closing

除了上面的 TCP 狀态，還可以使用下面這些狀态：

all	列出所有的 TCP 狀态。
connected	列出除了 listening 和 closing 之外的所有 TCP 狀态。
synchronized	列出除了 syn-sent 之外的所有 TCP 狀态。
bucket	列出 maintained 的狀态，如：time-wait 和 syn-recv。
big	列出和 bucket 相反的狀态。

使用 ipv4 時的過濾文法如下：

$ ss -4 state filter

使用 ipv6 時的過濾文法如下：

$ ss -6 state filter

下面是一個簡單的例子：

$ ss -4 state listening

同時過濾 TCP 的狀态和端口号

(注意下面指令中的轉義符和空格，都是必須的。如果不用轉義符，可以使用單引号)

下面的指令顯示所有狀态為 established 的 ssh 連接配接：

$ ss -4n state listening

下面的兩種寫法是等價的，要有使用 \ 轉義小括号，要麼使用單引号括起來：

$ ss -4n state listening \( dport = :

ssh

\)

$ ss -4n state listening

'( dport = :ssh )'

隻是最後的結果稍微讓人有些意外，不僅顯示了監聽的端口，也顯示了通過 22 端口建立的連接配接。

下面我們顯示所有狀态為 Established 的 HTTP 連接配接：

$ ss -4n state listening \( dport = :

ssh

\)

$ ss -4n state listening

'( dport = :ssh )'

下面的指令列出所有連接配接到 22 端口的連接配接和對 22 端口的監聽：

$ ss state all dport = :22

下面是一個來自 ss man page 的例子，它列舉出處于 FIN-WAIT-1狀态的源端口為 80 或者 443，目标網絡為 193.233.7/24 所有 TCP 套接字：

$ ss state fin-wait-1

'( sport = :http or sport = :https )'

dst 193.233.7

/24

總結

由于性能出色且功能豐富，ss 指令可以用來替代 netsate 指令成為我們日常檢視 socket 相關資訊的利器。其實抛棄 netstate 指令已經是大勢所趨，有的 Linux 版本預設已經不再内置 netstate 而是内置了 ss 指令。

以上就是本文的全部内容，希望對大家的學習有所幫助，也希望大家多多支援腳本之家。

ss指令用于顯示socket狀态. 他可以顯示PACKET sockets, TCP sockets, UDP sockets, DCCP sockets, RAW sockets, Unix domain sockets等等統計. 它比其他工具展示等多tcp和state資訊. 它是一個非常實用、快速、有效的跟蹤IP連接配接和sockets的新工具.SS指令可以提供如下資訊：

所有的TCP sockets
所有的UDP sockets
所有ssh/ftp/ttp/https持久連接配接
所有連接配接到Xserver的本地程序
使用state（例如：connected, synchronized, SYN-RECV, SYN-SENT,TIME-WAIT）、位址、端口過濾
所有的state FIN-WAIT-1 tcpsocket連接配接以及更多

很多流行的Linux發行版都支援ss以及很多監控工具使用ss指令.熟悉這個工具有助于您更好的發現與解決系統性能問題.本人強烈建議使用ss指令替代netstat部分指令,例如netsat -ant/lnt等.

展示他之前來做個對比,統計伺服器并發連接配接數

netstat

# time netstat -ant | grep EST | wc -l

3100

real 0m12.960s

user 0m0.334s

sys 0m12.561s

# time ss -o state established | wc -l

3204

real 0m0.030s

user 0m0.005s

sys 0m0.026s

netstat

結果很明顯ss統計并發連接配接數效率完敗netstat,在ss能搞定的情況下, 你還會在選擇netstat嗎, 還在猶豫嗎, 看以下例子,或者跳轉到幫助頁面.

常用ss指令：

ss -l 顯示本地打開的所有端口

ss -pl 顯示每個程序具體打開的socket

ss -t -a 顯示所有tcp socket

ss -u -a 顯示所有的UDP Socekt

ss -o state established '( dport = :smtp or sport = :smtp )' 顯示所有已建立的SMTP連接配接

ss -o state established '( dport = :http or sport = :http )' 顯示所有已建立的HTTP連接配接

ss -x src /tmp/.X11-unix/* 找出所有連接配接X伺服器的程序

ss -s 列出目前socket詳細資訊:

顯示sockets簡要資訊

列出目前已經連接配接，關閉，等待的tcp連接配接

# ss -s

Total: 3519 (kernel 3691)

TCP: 26557 (estab 3163, closed 23182, orphaned 194, synrecv 0, timewait 23182/0), ports 1452

Transport Total IP IPv6

* 3691 - -

RAW 2 2 0

UDP 10 7 3

TCP 3375 3368 7

INET 3387 3377 10

FRAG 0 0 0

列出目前監聽端口

# ss -l

Recv-Q Send-Q Local Address:Port Peer Address:Port

0 10 :::5989 :::*

0 5 *:rsync *:*

0 128 :::sunrpc :::*

0 128 *:sunrpc *:*

0 511 *:http *:*

0 128 :::ssh :::*

0 128 *:ssh *:*

0 128 :::35766 :::*

0 128 127.0.0.1:ipp *:*

0 128 ::1:ipp :::*

0 100 ::1:smtp :::*

0 100 127.0.0.1:smtp *:*

0 511 *:https *:*

0 100 :::1311 :::*

0 5 *:5666 *:*

0 128 *:3044 *:*

ss列出每個程序名及其監聽的端口

# ss -pl

ss列所有的tcp sockets

# ss -t -a

ss列出所有udp sockets

# ss -u -a

ss列出所有http連接配接中的連接配接

# ss -o state established '( dport = :http or sport = :http )'

·以上包含對外提供的80，以及通路外部的80

·用以上指令完美的替代netstat擷取http并發連接配接數，監控中常用到

ss列出本地哪個程序連接配接到x server

# ss -x src /tmp/.X11-unix/*

ss列出處在FIN-WAIT-1狀态的http、https連接配接

# ss -o state fin-wait-1 '( sport = :http or sport = :https )'

ss常用的state狀态：

listen

all : All of the above states

connected : All the states except for listen and closed

synchronized : All the connected states except for syn-sent

bucket : Show states, which are maintained as minisockets, i.e. time-wait and syn-recv.

big : Opposite to bucket state.

ss使用IP位址篩選

ss src ADDRESS_PATTERN

src：表示來源

ADDRESS_PATTERN：表示位址規則

如下：

ss src 120.33.31.1 # 列出來之20.33.31.1的連接配接

＃　列出來至120.33.31.1,80端口的連接配接

ss src 120.33.31.1:http

ss src 120.33.31.1:80

ss使用端口篩選

ss dport OP PORT

OP:是運算符

PORT：表示端口

dport：表示過濾目标端口、相反的有sport

OP運算符如下：

<= or le : 小于等于 >= or ge : 大于等于

== or eq : 等于

!= or ne : 不等于端口

< or lt : 小于這個端口 > or gt : 大于端口

OP執行個體

ss sport = :http 也可以是 ss sport = :80

ss dport = :http

ss dport \> :1024

ss sport \> :1024

ss sport \< :32000

ss sport eq :22

ss dport != :22

ss state connected sport = :http

ss $ sport = :http or sport = :https $

ss -o state fin-wait-1 $ sport = :http or sport = :https $ dst 192.168.1/24

為什麼ss比netstat快：

netstat是周遊/proc下面每個PID目錄，ss直接讀/proc/net下面的統計資訊。是以ss執行的時候消耗資源以及消耗的時間都比netstat少很多

ss指令幫助

# ss -h

Usage: ss [ OPTIONS ]

ss [ OPTIONS ] [ FILTER ]

-h, --help this message

-V, --version output version information

-n, --numeric don't resolve service names

-r, --resolve resolve host names

-a, --all display all sockets

-l, --listening display listening sockets

-o, --options show timer information

-e, --extended show detailed socket information

-m, --memory show socket memory usage

-p, --processes show process using socket

-i, --info show internal TCP information

-s, --summary show socket usage summary

-4, --ipv4 display only IP version 4 sockets

-6, --ipv6 display only IP version 6 sockets

-0, --packet display PACKET sockets

-t, --tcp display only TCP sockets

-u, --udp display only UDP sockets

-d, --dccp display only DCCP sockets

-w, --raw display only RAW sockets

-x, --unix display only Unix domain sockets

-f, --family=FAMILY display sockets of type FAMILY

-A, --query=QUERY, --socket=QUERY

QUERY := {all|inet|tcp|udp|raw|unix|packet|netlink}[,QUERY]

-D, --diag=FILE Dump raw information about TCP sockets to FILE

-F, --filter=FILE read filter information from FILE

FILTER := [ state TCP-STATE ] [ EXPRESSION ]