CentOS 7如何查看主机TCP连接数？

Question

在CentOS 7系统运维中，如何实时查看主机的TCP连接数是一个常见需求。许多用户在排查网络性能瓶颈或服务响应缓慢问题时，希望快速统计当前系统的TCP连接总量及各状态（如ESTABLISHED、TIME_WAIT等）分布情况。常用的命令包括 `netstat` 和 `ss`，但部分用户反映执行 `netstat -an | grep :80 | wc -l` 等命令时结果不准确，或因性能问题导致命令卡顿。此外，`ss` 命令虽更高效，但其语法较复杂，初学者难以掌握。如何在CentOS 7中准确、高效地查看TCP连接总数及状态分布？是否存在系统资源占用低的最佳实践方法？

Answer 1

一、背景与常见问题分析

在CentOS 7系统运维中，实时查看主机的TCP连接数是排查网络性能瓶颈、服务响应延迟等问题的关键手段。随着业务并发量上升，尤其是Web服务器（如Nginx、Apache）或数据库服务面临高负载时，系统可能产生大量TCP连接。运维人员常需统计当前系统的TCP连接总数及各状态分布（如ESTABLISHED、TIME_WAIT、CLOSE_WAIT等），以判断是否存在连接泄漏、端口耗尽或SYN Flood攻击。

传统方法多采用netstat命令，例如：

netstat -an | grep :80 | wc -l

但该方式存在两个显著问题：一是grep :80会误匹配到本地地址中的80端口（如192.168.1.80），导致结果偏高；二是netstat依赖遍历/proc/net/tcp和内核接口，性能开销大，在连接数超过数万时极易卡顿甚至阻塞系统。

二、技术演进：从 netstat 到 ss

Linux社区早已意识到netstat的性能缺陷。ss（Socket Statistics）是iproute2套件中的现代替代工具，直接从内核tcp_diag模块获取信息，无需用户态解析完整连接表，效率提升显著。

对比维度	netstat	ss
数据源	/proc/net/tcp, /proc/net/udp	内核netlink接口
执行速度（10万连接）	3-5秒	<0.5秒
CPU占用	高	低
精度	易受grep干扰	原生过滤精准

三、准确高效的命令实践

以下是针对CentOS 7环境推荐的ss命令用法，兼顾准确性与性能：

1. 统计所有TCP连接总数：

2. ss -t -a | wc -l

3. 按状态分类统计（推荐使用awk处理）：

4. ss -t -a | awk 'NR>1 {print $1}' | sort | uniq -c

5. 精确统计80端口的ESTABLISHED连接数：

6. ss -t -a -n sport = :80 or dport = :80 | grep ESTAB | wc -l

7. 快速查看高频状态分布：

8. ss -s

   输出示例：

   Total: 12548 (kernel 12800)
   TCP:   3456 (estab 2100, closed 800, orphaned 12, synrecv 0, timewait 340)
     

四、深入原理：/proc/net/sockstat 与 内核统计

对于追求极致低开销的场景，可直接读取内核提供的轻量级统计接口：

cat /proc/net/sockstat

输出内容如下：

sockets: used 1245
TCP: inuse 3456 orphan 12 tw 340 alloc 3460 mem 456
UDP: inuse 23 mem 5
UDPLITE: inuse 0
RAW: inuse 1
FRAG: inuse 0 memory 0

其中TCP: inuse表示当前活跃TCP连接数（包括监听和已建立），tw为TIME_WAIT数量。此文件由内核定时更新，读取几乎无性能损耗，适合集成至监控脚本。

五、自动化监控与告警集成

结合Shell脚本与Zabbix、Prometheus等监控系统，可实现持续观测。以下为一个采集脚本示例：

#!/bin/bash
# tcp_stats.sh - 高效采集TCP连接状态
echo "=== $(date) ==="
echo "Total TCP Sockets:" $(cat /proc/net/sockstat | grep TCP | awk '{print $3}')
echo "ESTABLISHED:" $(ss -t -a | grep ESTAB | wc -l)
echo "TIME_WAIT:" $(ss -t -a | grep TIME-WAIT | wc -l)
echo "CLOSE_WAIT:" $(ss -t -a | grep CLOSE-WAIT | wc -l)

通过cron每分钟执行并写入日志，可用于趋势分析。

六、可视化流程：TCP状态监控决策流

graph TD A[开始] --> B{是否需实时诊断?} B -- 是 --> C[使用 ss -t -a 或 ss -s] B -- 否 --> D[读取 /proc/net/sockstat] C --> E[分析ESTAB/TIME_WAIT比例] D --> F[写入监控系统] E --> G{是否存在异常?} G -- 是 --> H[检查应用层连接池或超时设置] G -- 否 --> I[记录基线数据]

七、最佳实践总结与建议

• 避免使用netstat | grep组合，易出错且低效。
• 生产环境优先采用ss命令或直接读取/proc/net/sockstat。
• 对80/443等端口统计时，使用sport = :80语法确保精准匹配。
• 将TCP状态采集纳入自动化监控体系，设定TIME_WAIT过高（如>5000）告警阈值。
• 注意区分ss -s中的“closed”为瞬态状态，不计入活跃连接。
• 若启用IPv6，建议添加-4限定仅IPv4以减少噪声。
• 定期审查ulimit -n和net.core.somaxconn是否满足连接需求。
• 对于长连接服务，关注CLOSE_WAIT堆积，通常意味着应用未正确关闭socket。
• 使用ss -ti可查看TCP详细信息（如rtt、retransmit），辅助性能调优。
• 结合lsof -i :80定位具体进程，用于复杂排错场景。