agwebrunner.com

Linux netstat lệnh cung cấp cho bạn một kho tàng thông tin về các kết nối mạng của bạn, các cổng đang được sử dụng và các quy trình sử dụng chúng. Tìm hiểu làm thế nào để sử dụng nó.

Cổng, Quy trình và Giao thức

Các ổ cắm mạng có thể được kết nối hoặc đang chờ kết nối. Các kết nối sử dụng các giao thức mạng như Giao thức điều khiển truyền tải (TCP) hoặc Giao thức dữ liệu người dùng UDP. Họ sử dụng địa chỉ Giao thức Internet và cổng mạng để thiết lập kết nối.

Từ ổ cắm có thể gợi lên hình ảnh về điểm kết nối vật lý cho dây dẫn hoặc cáp, nhưng trong ngữ cảnh này, ổ cắm là một cấu trúc phần mềm được sử dụng để xử lý một đầu của kết nối dữ liệu mạng.

Các ổ cắm có hai trạng thái chính: Chúng là kết nối và tạo điều kiện cho giao tiếp mạng đang diễn ra, hoặc chúng đang chờ đợi cho một kết nối đến để kết nối với chúng. Có những trạng thái khác, chẳng hạn như trạng thái khi một ổ cắm đang ở giữa quá trình thiết lập kết nối trên một thiết bị từ xa, nhưng đặt các trạng thái tạm thời sang một bên, bạn có thể nghĩ về một ổ cắm đang được kết nối hoặc đang chờ (thường được gọi là nghe).

Ổ cắm nghe được gọi là người phục vụvà ổ cắm yêu cầu kết nối với ổ cắm nghe gọi là khách hàng. Những tên này không liên quan gì đến vai trò phần cứng hoặc máy tính. Chúng chỉ đơn giản là xác định vai trò của mỗi ổ cắm ở mỗi đầu của kết nối.

Các netstat lệnh cho phép bạn khám phá ổ cắm nào được kết nối và ổ cắm nào đang nghe. Có nghĩa là, nó cho bạn biết cổng nào đang được sử dụng và quy trình nào đang sử dụng chúng. Nó có thể hiển thị cho bạn bảng định tuyến và số liệu thống kê về giao diện mạng và kết nối đa hướng của bạn.

Chức năng của netstat đã được nhân rộng theo thời gian trong các tiện ích Linux khác nhau, chẳng hạn như ip và ss. Vẫn đáng để biết ông ngoại của tất cả các lệnh phân tích mạng này, bởi vì nó có sẵn trên tất cả các hệ điều hành giống như Linux và Unix, và thậm chí trên Windows và Mac.

Dưới đây là cách sử dụng nó, hoàn chỉnh với các lệnh ví dụ.

Liệt kê tất cả các ổ cắm

Các -a (tất cả) tùy chọn làm netstat hiển thị tất cả các ổ cắm đã kết nối và đang chờ. Lệnh này có thể tạo ra một danh sách dài, vì vậy chúng tôi đưa nó vào ít hơn.

netstat -a | ít hơn

Danh sách bao gồm các ổ cắm TCP (IP), TCP6 (IPv6) và UDP.

Việc bao quanh trong cửa sổ thiết bị đầu cuối làm cho nó hơi khó khăn để xem những gì đang xảy ra. Dưới đây là một số phần trong danh sách đó:

Kết nối Internet đang hoạt động (máy chủ và được thiết lập) Proto Recv-Q Gửi-Q Địa chỉ cục bộ Địa chỉ nước ngoài Trạng thái tcp 0 0 localhost: tên miền 0.0.0.0:* LISTEN tcp 0 0 0.0.0.0:ssh 0.0.0.0:* LISTEN tcp 0 0 localhost : ipp 0.0.0.0:* LISTEN tcp 0 0 localhost: smtp 0.0.0.0:* LISTEN tcp6 0 0 [::]: ssh [::]: * LISTEN tcp6 0 0 ip6-localhost: ipp [::]: * NGHE. . . Các ổ cắm miền UNIX đang hoạt động (máy chủ và được thiết lập) Cờ Proto RefCnt Loại Trạng thái I-Node Đường dẫn unix 24 [] DGRAM 12831 / run / systemd / journal / dev-log unix 2 [ACC] STREAM LISTENING 24747 @ / tmp / dbus-zH6clYmvw8 unix 2 [] DGRAM 26372 / run / user / 1000 / systemd / thông báo cho unix 2 [] DGRAM 23382 / run / user / 121 / systemd / thông báo cho unix 2 [ACC] SEQPACKET LISTENING 12839 / run / udev / control

Phần “Internet đang hoạt động” liệt kê các kết nối bên ngoài được kết nối và các ổ cắm cục bộ đang lắng nghe các yêu cầu kết nối từ xa. Nghĩa là, nó liệt kê các kết nối mạng đã (hoặc sẽ) được thiết lập với các thiết bị bên ngoài.

Phần “Miền UNIX” liệt kê các kết nối nội bộ đã kết nối và đang lắng nghe. Nói cách khác, nó liệt kê các kết nối đã được thiết lập trong máy tính của bạn giữa các ứng dụng, quy trình và phần tử khác nhau của hệ điều hành.

Các cột "Internet đang hoạt động" là:

• Proto: Giao thức được sử dụng bởi ổ cắm này (ví dụ: TCP hoặc UDP).
• Recv-Q: Hàng đợi nhận. Đây là những byte đến đã được nhận và được lưu vào bộ đệm, chờ tiến trình cục bộ đang sử dụng kết nối này đọc và sử dụng chúng.
• Gửi-Q: Hàng đợi gửi. Điều này cho thấy các byte đã sẵn sàng để gửi từ hàng đợi gửi.
• Địa chỉ địa phương: Chi tiết địa chỉ của điểm kết nối cục bộ. Mặc định là dành cho netstat để hiển thị tên máy chủ cục bộ cho địa chỉ và tên dịch vụ cho cổng.
• Địa chỉ nước ngoài: Địa chỉ và số cổng của đầu kết nối từ xa.
• Tiểu bang: Trạng thái của ổ cắm cục bộ. Đối với ổ cắm UDP, ô này thường để trống. Xem tiểu bang bảng bên dưới.

Đối với các kết nối TCP, tiểu bang giá trị có thể là một trong những giá trị sau:

• NGHE: Chỉ phía máy chủ. Ổ cắm đang chờ yêu cầu kết nối.
• SYN-SENT: Chỉ phía khách hàng. Ổ cắm này đã đưa ra một yêu cầu kết nối và đang chờ xem liệu nó có được chấp nhận hay không.
• ĐỒNG BỘ NHẬN: Chỉ phía máy chủ. Ổ cắm này đang chờ xác nhận kết nối sau khi chấp nhận yêu cầu kết nối.
• THÀNH LẬP: Máy chủ và máy khách. Một kết nối hoạt động đã được thiết lập giữa máy chủ và máy khách, cho phép dữ liệu được truyền giữa hai bên.
• FIN-WAIT-1: Máy chủ và máy khách. Ổ cắm này đang chờ yêu cầu chấm dứt kết nối từ ổ cắm từ xa hoặc xác nhận yêu cầu chấm dứt kết nối đã được gửi trước đó từ ổ cắm này.
• FIN-WAIT-2: Máy chủ và máy khách. Ổ cắm này đang chờ yêu cầu chấm dứt kết nối từ ổ cắm từ xa.
• ĐÓNG-CHỜ: Máy chủ và máy khách. Ổ cắm này đang chờ yêu cầu chấm dứt kết nối từ người dùng cục bộ.
• ĐÓNG CỬA: Máy chủ và máy khách. Ổ cắm này đang chờ xác nhận yêu cầu chấm dứt kết nối từ ổ cắm từ xa.
• CUỐI CÙNG: Máy chủ và máy khách. Ổ cắm này đang chờ xác nhận yêu cầu chấm dứt kết nối mà nó đã gửi đến ổ cắm từ xa.
• THỜI GIAN CHỜ ĐỢI: Máy chủ và máy khách. Ổ cắm này đã gửi một xác nhận đến ổ cắm từ xa để cho nó biết rằng nó đã nhận được yêu cầu chấm dứt ổ cắm từ xa. Bây giờ nó đang chờ để đảm bảo rằng xác nhận đã được nhận.
• ĐÃ ĐÓNG CỬA: Không có kết nối, vì vậy ổ cắm đã được kết thúc.

Các cột "Miền Unix" là:

• Proto: Giao thức được sử dụng bởi ổ cắm này. Nó sẽ là "unix."
• RefCnt: Số lượng tham chiếu. Số lượng quy trình đính kèm được kết nối với ổ cắm này.
• Cờ: Điều này thường được đặt thành ACC , đại diện SO_ACCEPTON, nghĩa là ổ cắm đang chờ yêu cầu kết nối. SO_WAITDATA, hiển thị như W, có nghĩa là có dữ liệu đang chờ được đọc. SO_NOSPACE, hiển thị như N, có nghĩa là không có không gian để ghi dữ liệu vào socket (tức là bộ đệm gửi đã đầy).
• Kiểu: Loại ổ cắm. Xem kiểu bảng dưới đây.
• Tiểu bang: Trạng thái của ổ cắm. Xem tiểu bang bảng dưới đây.
• I-Node: Inode của hệ thống tệp được liên kết với ổ cắm này.
• Con đường: Đường dẫn hệ thống tệp đến ổ cắm.

Ổ cắm miền Unix kiểu có thể là một trong những điều sau:

• DGRAM: Ổ cắm đang được sử dụng ở chế độ sơ đồ, sử dụng các thông báo có độ dài cố định. Các biểu đồ dữ liệu không được đảm bảo là đáng tin cậy, có trình tự hoặc không trùng lặp.
• SUỐI: Ổ cắm này là ổ cắm dòng. Đây là kiểu kết nối ổ cắm "bình thường" phổ biến. Các ổ cắm này được thiết kế để cung cấp khả năng phân phối các gói tin theo trình tự (theo thứ tự) đáng tin cậy.
• NGUYÊN: Ổ cắm này đang được sử dụng như một ổ cắm thô. Các ổ cắm thô hoạt động ở cấp độ mạng của Mô hình OSI và không tham chiếu các tiêu đề TCP và UDP từ cấp độ truyền tải.
• RDM: Ổ cắm này nằm ở một đầu của kết nối tin nhắn được phân phối đáng tin cậy.
• SEQPACKET: Ổ cắm này đang hoạt động như một ổ cắm gói tuần tự, là một phương tiện khác để cung cấp phân phối gói đáng tin cậy, theo trình tự và không trùng lặp.
• GÓI: Ổ cắm truy cập giao diện thô. Các ổ cắm gói được sử dụng để nhận hoặc gửi các gói thô ở cấp trình điều khiển thiết bị (tức là lớp liên kết dữ liệu) của mô hình OSI.

Ổ cắm miền Unix tiểu bang có thể là một trong những điều sau:

• MIỄN PHÍ: Ổ cắm này chưa được phân bổ.
• NGHE: Ổ cắm này đang lắng nghe các yêu cầu kết nối đến.
• ĐANG KẾT NỐI: Ổ cắm này đang trong quá trình kết nối.
• ĐÃ KẾT NỐI: Kết nối đã được thiết lập và ổ cắm có thể nhận và truyền dữ liệu.
• KẾT NỐI: Kết nối đang trong quá trình bị chấm dứt.

Chà, thật là nhiều thông tin! Nhiều cái của netstat các tùy chọn tinh chỉnh kết quả theo cách này hay cách khác, nhưng chúng không thay đổi nội dung quá nhiều. Chúng ta hãy xem xét.

Liệt kê Sockets theo loại

Các netstat -a lệnh có thể cung cấp nhiều thông tin hơn bạn cần xem. Nếu bạn chỉ muốn hoặc cần xem các ổ cắm TCP, bạn có thể sử dụng -t (TCP) tùy chọn để hạn chế hiển thị chỉ hiển thị các ổ cắm TCP.

netstat -at | ít hơn

Màn hình hiển thị ra ngoài bị giảm đáng kể. Một vài ổ cắm được liệt kê là tất cả các ổ cắm TCP.

Các -u (UDP) và -x Các tùy chọn (UNIX) hoạt động theo cách tương tự, giới hạn kết quả đối với loại ổ cắm được chỉ định trên dòng lệnh. Đây là tùy chọn -u (UDP) đang được sử dụng:

netstat -au | ít hơn

Chỉ các ổ cắm UDP được liệt kê.

Liệt kê Sockets theo tiểu bang

Để xem các ổ cắm đang ở trạng thái nghe hoặc chờ, hãy sử dụng -l (nghe) tùy chọn.

netstat -l | ít hơn

Các ổ cắm được liệt kê là những ổ cắm đang ở trạng thái lắng nghe.

Điều này có thể được kết hợp với các tùy chọn -t (TCP, -u (UDP) và -x (UNIX) để tiếp cận sâu hơn với các ổ cắm quan tâm. Hãy cùng tìm hiểu các ổ cắm TCP đang nghe:

netstat -lt | ít hơn

Bây giờ, chúng ta chỉ thấy các socket lắng nghe TCP.

Thống kê mạng theo giao thức

Để xem số liệu thống kê cho một giao thức, hãy sử dụng -S (thống kê) và chuyển vào -t (TCP), -u (UDP), hoặc -x (UNIX) tùy chọn. Nếu bạn chỉ sử dụng -S (thống kê) của riêng nó, bạn sẽ thấy thống kê cho tất cả các giao thức. Hãy kiểm tra số liệu thống kê cho giao thức TCP.

netstat -st | ít hơn

Một bộ sưu tập thống kê cho các kết nối TCP được hiển thị trong ít hơn.

Hiển thị Tên quy trình và PID

Có thể hữu ích khi xem ID quy trình (PID) của quy trình bằng cách sử dụng ổ cắm, cùng với tên của quy trình đó. Các -p (chương trình) tùy chọn thực hiện điều đó. Hãy xem PID và tên quy trình là gì đối với các quy trình sử dụng ổ cắm TCP đang ở trạng thái lắng nghe. Chúng tôi sử dụng sudo để đảm bảo rằng chúng tôi nhận được tất cả thông tin có sẵn, bao gồm bất kỳ thông tin nào thường yêu cầu quyền root.

sudo netstat -p -at

Đây là kết quả đầu ra trong một bảng được định dạng:

Kết nối Internet đang hoạt động (máy chủ và được thiết lập) Proto Recv-Q Gửi-Q Địa chỉ cục bộ Địa chỉ nước ngoài Trạng thái PID / Tên chương trình tcp 0 0 localhost: domain 0.0.0.0:* LISTEN 6927 / systemd-Resolutionv tcp 0 0 0.0.0.0:ssh 0.0 .0.0: * LISTEN 751 / sshd tcp 0 0 localhost: ipp 0.0.0.0:* LISTEN 7687 / cốcd tcp 0 0 localhost: smtp 0.0.0.0:* LISTEN 1176 / master tcp6 0 0 [::]: ssh [:: ]: * LISTEN 751 / sshd tcp6 0 0 ip6-localhost: ipp [::]: * LISTEN 7687 / cốcd tcp6 0 0 ip6-localhost: smtp [::]: * LISTEN 1176 / master

Chúng tôi có thêm một cột có tên là “PID / tên chương trình”. Cột này liệt kê PID và tên của quá trình sử dụng từng ổ cắm.

Danh sách địa chỉ số

Một bước khác mà chúng tôi có thể thực hiện để loại bỏ một số sự mơ hồ là hiển thị địa chỉ cục bộ và địa chỉ từ xa dưới dạng địa chỉ IP thay vì tên miền và tên máy chủ đã được phân giải của chúng. Nếu chúng ta sử dụng-n (số), địa chỉ IPv4 được hiển thị ở định dạng dấu chấm-thập phân:

sudo netstat -an | ít hơn

Địa chỉ IP được hiển thị dưới dạng giá trị số. Số cổng cũng được hiển thị, phân tách bằng dấu hai chấm ” : ”Từ Địa chỉ IP.

Địa chỉ IP của 127.0.0.1 cho thấy rằng ổ cắm được liên kết với địa chỉ lặp lại của máy tính cục bộ. Bạn có thể coi địa chỉ IP là 0.0.0.0 có nghĩa là “tuyến đường mặc định” cho các địa chỉ cục bộ và “bất kỳ địa chỉ IP nào” cho các địa chỉ nước ngoài. Địa chỉ IPv6 được hiển thị là “::”Cũng là tất cả các địa chỉ bằng không.

Có thể dễ dàng kiểm tra các cổng được liệt kê để xem mục đích thông thường của chúng là gì:

• 22: Đây là cổng lắng nghe Secure Shell (SSH).
• 25: Đây là cổng lắng nghe Giao thức truyền thư đơn giản (SMTP).
• 53: Đây là cổng lắng nghe Hệ thống tên miền (DNS).
• 68: Đây là cổng lắng nghe Giao thức cấu hình máy chủ động (DHCP).
• 631: Đây là cổng lắng nghe Hệ thống In UNIX Chung (CUPS).

LIÊN QUAN:Sự khác biệt giữa 127.0.0.1 và 0.0.0.0 là gì?

Hiển thị Bảng định tuyến

Các -r (route) tùy chọn hiển thị bảng định tuyến hạt nhân.

sudo netstat -r

Đây là kết quả đầu ra trong một bảng gọn gàng:

Bảng định tuyến Kernel IP đích Cổng kết nối Genmask Cờ MSS Window irtt Iface default Vigor.router 0.0.0.0 UG 0 0 0 enp0s3 link-local 0.0.0.0 255.255.0.0 U 0 0 0 enp0s3 192.168.4.0 0.0.0.0 255.255.255.0 U 0 0 0 enp0s3

Và đây là ý nghĩa của các cột:

• Nơi Đến: Mạng đích hoặc thiết bị lưu trữ đích (nếu đích không phải là mạng).
• Cổng vào: Địa chỉ cổng. Dấu hoa thị “*”Xuất hiện ở đây nếu địa chỉ cổng không được đặt.
• Genmask: Mặt nạ mạng con cho tuyến đường.
• Cờ: Xem cờ bảng bên dưới.
• MSS: Kích thước phân đoạn tối đa mặc định cho các kết nối TCP qua tuyến đường này — đây là lượng dữ liệu lớn nhất có thể nhận được trong một phân đoạn TCP.
• Cửa sổ: Kích thước cửa sổ mặc định cho các kết nối TCP qua tuyến đường này, cho biết số lượng gói có thể được truyền và nhận trước khi bộ đệm nhận đầy. Trong thực tế, các gói được ứng dụng nhận sử dụng.
• irtt: Thời gian khứ hồi ban đầu. Giá trị này được tham chiếu bởi hạt nhân để thực hiện các điều chỉnh động đối với các tham số TCP cho các kết nối từ xa phản hồi chậm.
• Tôi đôi mặt: Giao diện mạng mà từ đó các gói được gửi qua đường này được truyền đi.

Các cờ giá trị có thể là một trong số:

• Ư: Tuyến đường đã lên.
• H: Target là một máy chủ lưu trữ và là điểm đến duy nhất có thể trên tuyến đường này.
• G: Sử dụng cổng.
• R: Khôi phục tuyến đường cho định tuyến động.
• D: Được cài đặt động bởi daemon định tuyến.
• M: Được trình nền định tuyến sửa đổi khi nó nhận được gói Giao thức thông báo điều khiển Internet (ICMP).
• A: Được cài đặt bởi addrconf, trình tạo tệp cấu hình DNS và DHCP tự động.
• C: Mục nhập bộ nhớ cache.
• !: Từ chối tuyến đường.

Tìm cổng được sử dụng bởi một quy trình

Nếu chúng ta định hướng đầu ra của netstat xuyên qua grep, chúng tôi có thể tìm kiếm một quy trình theo tên và xác định cổng mà nó đang sử dụng. Chúng tôi sử dụng -a (tất cả), -n (số) và -p (chương trình) các tùy chọn đã sử dụng trước đây và tìm kiếm “sshd”.

sudo netstat -anp | grep "sshd"

grep tìm thấy chuỗi mục tiêu và chúng tôi thấy rằng sshd daemon đang sử dụng cổng 22.

Tất nhiên, chúng ta cũng có thể làm điều này ngược lại. Nếu chúng tôi tìm kiếm “: 22”, chúng tôi có thể tìm ra quy trình nào đang sử dụng cổng đó, nếu có.

sudo netstat -anp | grep ": 22"

Thời gian này grep tìm thấy chuỗi đích “: 22” và chúng tôi thấy rằng quá trình sử dụng cổng này là sshd daemon, quy trình ID 751.

Liệt kê các giao diện mạng

Các -Tôi (giao diện) tùy chọn sẽ hiển thị một bảng các giao diện mạng netstat có thể khám phá.

sudo netstat -i

Đây là đầu ra theo cách dễ đọc hơn:

Bảng giao diện hạt nhân Iface MTU RX-OK RX-ERR RX-DRP RX-OVR TX-OK TX-ERR TX-DRP TX-OVR Flg enp0s3 1500 4520671 0 0 0 4779773 0 0 0 BMRU lo 65536 30175 0 0 0 30175 0 0 0 LRU

Đây là ý nghĩa của các cột:

• Tôi đôi mặt: Tên của giao diện. Các enp0s3 interface là giao diện mạng với ở ngoài thế giới và lo interface là giao diện lặp lại. Giao diện lặp lại cho phép các quy trình giao tiếp với nhau trong máy tính sử dụng giao thức mạng, ngay cả khi máy tính không được kết nối với mạng.
• MTU: Đơn vị truyền tối đa (MTU). Đây là “gói tin” lớn nhất có thể được gửi đi. Nó bao gồm một tiêu đề chứa các cờ giao thức và định tuyến cũng như các siêu dữ liệu khác, cộng với dữ liệu thực sự đang được vận chuyển.
• RX-OK: Số lượng gói tin nhận được, không có lỗi.
• RX-ERR: Số lượng gói nhận được, có lỗi. Chúng tôi muốn điều này càng thấp càng tốt.
• RX-DRP: Số lượng gói tin bị giảm (tức là bị mất). Chúng tôi cũng muốn điều này càng thấp càng tốt.
• RX-OVR: Số gói tin bị mất do tràn khi nhận. Điều này thường có nghĩa là bộ đệm nhận đã đầy và không thể nhận thêm bất kỳ dữ liệu nào nữa, nhưng nhiều dữ liệu đã được nhận hơn và phải bị loại bỏ. Con số này càng thấp thì càng tốt, và số 0 là hoàn hảo.
• TX-OK: Số lượng gói tin được truyền, không có lỗi.
• RX-ERR: Số lượng gói được truyền, có lỗi. Chúng tôi muốn điều này bằng không.
• RX-DRP: Số lượng gói tin bị giảm khi truyền. Lý tưởng nhất, giá trị này phải bằng không.
• RX-OVR: Số lượng gói tin bị mất do tràn khi truyền. Điều này thường có nghĩa là bộ đệm gửi đã đầy và không thể chấp nhận thêm bất kỳ dữ liệu nào nữa, nhưng nhiều dữ liệu hơn đã sẵn sàng để truyền và phải bị loại bỏ.
• Flg: Cờ. Xem cờ bảng dưới đây.

Các cờ đại diện cho những điều sau:

• B: Một địa chỉ quảng bá đang được sử dụng.
• L: Giao diện này là một thiết bị lặp lại.
• M: Tất cả các gói đang được nhận (tức là ở chế độ quảng bá). Không có gì được lọc hoặc loại bỏ.
• O: Giao thức phân giải địa chỉ (ARP) bị tắt cho giao diện này.
• P: Đây là kết nối Point-to-Point (PPP).
• R: Giao diện đang chạy.
• Ư: Giao diện đã lên.

Liệt kê tư cách thành viên nhóm Multicast

Nói một cách đơn giản, truyền đa hướng cho phép một gói chỉ được gửi một lần, bất kể số lượng người nhận. Ví dụ: đối với các dịch vụ như phát trực tuyến video, điều này làm tăng hiệu quả theo quan điểm của người gửi lên rất nhiều.

Các -g (nhóm) tùy chọn làm cho netstat liệt kê thành viên nhóm đa hướng của các ổ cắm trên mỗi giao diện.

sudo netstat -g

Các cột khá đơn giản:

• Giao diện: Tên của giao diện mà ổ cắm đang truyền.
• RefCnt: Số tham chiếu, là số quy trình được gắn vào ổ cắm.
• Nhóm: Tên hoặc định danh của nhóm phát đa hướng.

Những đứa trẻ mới trong khối

Các lệnh route, ip, ifconfig và ss có thể cung cấp rất nhiều netstat có khả năng cho bạn thấy. Tất cả chúng đều là những lệnh tuyệt vời và đáng để kiểm tra.

Chúng tôi đã tập trung vào netstat bởi vì nó có sẵn trên toàn cầu, bất kể bạn đang làm việc trên hệ điều hành giống Unix nào, ngay cả những hệ điều hành ít người biết đến.