Featured image of post 关于 netstat 命令

关于 netstat 命令

使用 netstat

  netstat 命令是 linux 下一个非常有用的命令,顾名思义,其作用是查询当前的网络状态。
  以最常用的查询 TCP 连接状态为例,在 Shell 里运行以下命令:

1
netstat -an | awk '/tcp/ {print $6}' | sort | uniq -c

  你会看到当前所有 TCP 连接的状态计数:

屏幕快照

  有更高追求的程序员,可能会想吧结果美化一下。比如,使用下面的命令:

1
netstat -n | awk '/^tcp/ {++state[$NF]} END {for(key in state) print key,"\t",state[key]}'

  你会得到如下的结果:

屏幕快照

  上述两个命令的结果不同,是因为我运行命令的时机不同,他们的意义是一样的,仅仅只有格式的区别。

分析 TCP 状态

  这些状态有什么含义呢?我们首先看一下 TCP 状态转换图:

TCP 状态转换图

  总结各状态大致意义如下:

  CLOSED 初始状态。
  LISTEN 服务端处于监听状态,可以接受连接。
  SYN_SENT 客户端连接并发送 SYN 报文,进入 SYN_SENT 状态,等待服务端确认。
  SYN_RCVD 服务端接受到了 SYN 报文,当收到客户端的 ACK 报文后,会进入到 ESTABLISHED 状态。
  ESTABLISHED 连接已经建立,进入数据传输状态。
  FIN_WAIT_1 建立连接后,其中一方请求终止连接,等待对方的 FIN 报文。
  FIN_WAIT_2 半连接,有一方要求关闭连接,但另外还告诉对方,我还有数据需要传输,稍后再关闭连接。
  TIME_WAIT 收到了对方的 FIN 报文,并发送出了 ACK 报文,2MSL 后即可回到 CLOSED 可用状态。
  CLOSE_WAIT 等待关闭。
  CLOSING 当发送 FIN 报文后,并未收到对方的 ACK 报文,却收到了 FIN 报文,表示双方都正在关闭连接。
  LAST_ACK 被动关闭一方在发送 FIN 报文后,最后等待对方的 ACK 报文。

  其中 SYN_RECVESTABLISHEDTIME_WAIT 是对我们比较有意义的几个状态。

SYN_RECV

  表示正在等待处理的请求数。SYN_RECV 过多或居高不下,可以理解为服务器并不能及时处理所有的请求。这时要考虑进行效率优化,或增加更多的服务器;

ESTABLISHED

  表示正在进行数据传输的请求数。通常与在线人数和并发相关,可以作为服务器负载能力的一项指标。

TIME_WAIT

  表示处理完毕,等待超时结束的请求数。若 TIME_WAIT 过多,可调整内核参数进行优化,若仍无效,则需注意是否遭到了恶意攻击。若有大量的 SYN_RECEIVEDTIME_WAITFIN_WAIT_1 等状态存在,而 ESTABLISHED 很少,则可初步判断存在 DDOS 攻击。

关于 TIME_WAIT

  主动关闭的一方在发送最后一个 ACK 报文后,就会进入 TIME_WAIT 状态,停留 2MSL(max segment lifetime)。

  TCP/IP 协议中如此设计,主要有两个原因:

  1. 防止上一次连接中的包,迷路后重新出现,影响新连接。 经过 2MSL,上一次连接中所有的重复包都会消失。

  2. 可靠的关闭 TCP 连接。 主动关闭方发送的最后一个 ACK(FIN) 报文,有可能丢失,这时被动方会重新发送 FIN 报文, 如果这时主动方处于 CLOSED 状态 ,就会响应 RST 报文而不是 ACK 报文。所以主动方要处于 TIME_WAIT 状态,而不能是 CLOSED

  TIME_WAIT 并不会占用太多资源,除非受到恶意攻击。

优化 TIME_WAIT

  通过调整内核参数,可以缓解 TIME_WAIT 过多的情况。   首先打开配置文件 vim /etc/sysctl.conf,修改以下配置:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
# 表示开启 SYN cookies。当出现 SYN 等待队列溢出时,启用 cookies 来处理,可防范少量 SYN 攻击,默认为 0,表示关闭;
net.ipv4.tcp_syncookies = 1

# 表示开启重用。允许将 TIME-WAIT sockets 重新用于新的 TCP 连接,默认为 0,表示关闭;
net.ipv4.tcp_tw_reuse = 1

# 表示开启 TCP 连接中 TIME-WAIT sockets 的快速回收,默认为 0,表示关闭;
net.ipv4.tcp_tw_recycle = 1

# 修改系統默认的 TIMEOUT 时间
net.ipv4.tcp_fin_timeout = 1

  然后执行以命令 /sbin/sysctl -p 让参数生效。