ss 命令指南：网络排查神器

# 问题：用户反馈访问 Web 服务慢
# 排查：查看 443 端口的 TCP 细节

$ ss -tin state established sport = :443
State  Recv-Q Send-Q  Local Address:Port  Peer Address:Port
ESTAB  0      0       192.168.1.10:443    10.0.0.5:39821
         cubic wscale:7,7 rto:204 rtt:12.5/2.3 ato:40 cwnd:10 ssthresh:256 send 1.2Mbps rcv_rtt:1 rcv_space:29200

ESTAB  0      0       192.168.1.10:443    10.0.0.8:48123
         cubic wscale:7,7 rto:800 rtt:345.2/120.5 ato:40 cwnd:3 ssthresh:10 send 0.2Mbps rcv_rtt:2 rcv_space:29200

# 🔍 分析：
# - 第一个连接：rtt=12.5ms（延迟正常），cwnd=10（窗口适中），速率 1.2Mbps
# - 第二个连接：rtt=345ms（延迟高！），cwnd=3（窗口很小），速率仅 0.2Mbps
# - 且 rto=800ms（重传超时很高），ssthresh=10（已进入拥塞避免）
# 
# 🎯 结论：第二个连接可能存在网络丢包或对端带宽受限
# 💡 建议：检查对端 10.0.0.8 的网络状况，或调整拥塞控制算法为 bbr

# 问题：系统出现 "Cannot assign requested address" 错误
# 排查：查看 TIME_WAIT 数量是否过多

$ ss -t state time-wait | wc -l
8543

# 分析：8543 个 TIME_WAIT，可能耗尽本地端口（默认范围 32768-60999，约 28000 个）
# 如果短期内达到 28000，就会出现端口耗尽

# 查看具体 TIME_WAIT 分布
$ ss -t state time-wait sport = :80 | head -5
TIME-WAIT 0      0       192.168.1.10:80      10.0.0.5:54321
TIME-WAIT 0      0       192.168.1.10:80      10.0.0.5:54322
TIME-WAIT 0      0       192.168.1.10:80      10.0.0.5:54323
...

# 💡 解决方案：调整内核参数 net.ipv4.tcp_tw_reuse=1
# 或减少 net.ipv4.tcp_fin_timeout 值

# 问题：服务器负载飙升，怀疑 CC 攻击
# 排查：查看 ESTAB 连接数 TOP 10

$ ss -tn state established | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | head -10
  1256 203.0.113.100
   432 203.0.113.105
    89 192.168.1.100
    12 10.0.0.5
     8 192.168.1.1

# 🔍 分析：203.0.113.100 有 1256 个 ESTAB 连接，远超正常值！
# 🎯 结论：该 IP 疑似攻击源

# 查看该 IP 的详细连接
$ ss -tn state established src 203.0.113.100
ESTAB  0  0  192.168.1.10:443  203.0.113.100:48723
ESTAB  0  0  192.168.1.10:443  203.0.113.100:48724
...（共 1256 行）

# 💡 解决方案：iptables -A INPUT -s 203.0.113.100 -j DROP

# 问题：安全审计，查看服务器开放了哪些端口
# 排查：显示所有监听端口及进程

$ ss -tulnp
Netid  State   Recv-Q  Send-Q  Local Address:Port    Peer Address:Port    Process
tcp    LISTEN  0       128     0.0.0.0:22            0.0.0.0:*           users:(("sshd",pid=1234,fd=3))
tcp    LISTEN  0       128     0.0.0.0:80            0.0.0.0:*           users:(("nginx",pid=12345,fd=6))
tcp    LISTEN  0       128     0.0.0.0:443           0.0.0.0:*           users:(("nginx",pid=12345,fd=7))
tcp    LISTEN  0       128     127.0.0.1:3306        0.0.0.0:*           users:(("mysqld",pid=2345,fd=22))
udp    UNCONN  0       0       0.0.0.0:53            0.0.0.0:*           users:(("dnsmasq",pid=3456,fd=5))

# 🔍 分析：
# - 22: SSH（外部访问）
# - 80/443: Nginx Web 服务（外部访问）
# - 3306: MySQL 只监听 127.0.0.1（安全，仅本机访问）
# - 53: DNS 服务（UDP）
#
# ⚠️ 检查是否有异常端口开放，如 4444、6667 等可疑端口

# 监控系统采集数据，使用 JSON 格式便于解析

$ ss -tlnO sport = :443
[
  {
    "netid": "tcp",
    "state": "LISTEN",
    "recv-q": 0,
    "send-q": 0,
    "local": "0.0.0.0:443",
    "peer": "0.0.0.0:*",
    "process": "nginx"
  }
]

# 可用 jq 处理
$ ss -tlnO sport = :443 | jq '.[] | {port: .local, state: .state}'
{
  "port": "0.0.0.0:443",
  "state": "LISTEN"
}

# 查看系统整体 socket 统计

$ ss -s
Total: 1256 (kernel 1892)
TCP:   456 (estab 123, closed 285, orphaned 12, timewait 42)

Transport Total     IP        IPv6
RAW       2         1         1
UDP       8         6         2
TCP       456       423       33
INET      466       430       36
FRAG      0         0         0

# 🔍 解读：
# - Total: 1256 个 socket，kernel 级 1892（含未显示）
# - estab 123：当前活跃连接数
# - closed 285：已关闭但未释放的 socket
# - timewait 42：TIME_WAIT 状态数量
# - orphaned 12：孤儿连接（需要关注，可能连接泄漏）

# ⚠️ 如果 orphaned 持续增长 → 应用程序可能存在 socket 泄漏

客户端连接流程：
   CLOSED
      ↓ (connect)
   SYN-SENT
      ↓ (收到 SYN+ACK)
   ESTABLISHED
      ↓ (发送 FIN)
   FIN-WAIT-1 → FIN-WAIT-2 → TIME-WAIT → CLOSED

服务端监听流程：
   CLOSED
      ↓ (bind + listen)
   LISTEN
      ↓ (收到 SYN)
   SYN-RECV
      ↓ (发送 SYN+ACK)
   ESTABLISHED
      ↓ (收到 FIN)
   CLOSE-WAIT → LAST-ACK → CLOSED

# 添加到 ~/.bashrc 或 ~/.zshrc
alias ssall='ss -tunap'           # 所有连接 + 进程
alias ssl='ss -tlnp'              # 所有监听端口 + 进程
alias ssc='ss -tunp state established'  # 仅已建立连接
alias ssw='ss -tn state time-wait'      # TIME_WAIT 连接
alias ssm='ss -tin'               # TCP 性能参数

# 端口查询函数
ssport() {
    ss -tlnp sport = :$1 | grep -v "^State"
}

# 连接数统计
sscount() {
    echo "ESTAB: $(ss -t state established | wc -l)"
    echo "TIME_WAIT: $(ss -t state time-wait | wc -l)"
    echo "LISTEN: $(ss -t state listening | wc -l)"
}