Netstatコマンド解析
Netstatコマンドは、ネットワーク接続、ルーティングテーブル、インタフェースステータス(Interface Statistics)、masquerade接続、マルチキャストメンバー(Multicast Memberships)など、さまざまなネットワーク関連情報を表示するために使用されます.
出力情報の意味
netstatを実行すると、その出力結果は
全体的にnetstatの出力結果は2つの部分に分けることができます.
1つはActive Internet connectionsであり、アクティブTCP接続と呼ばれ、「Recv-Q」および「Send-Q」は受信キューおよび送信キューを指す.これらの数字は一般的に0であるべきだ.そうでない場合は、パッケージがキューに蓄積されていることを示します.このような状況は非常に少ない状況でしか見られない.
もう1つはActive UNIX domain socketsで、アクティブUnixドメインソケットインタフェースと呼ばれています(ネットワークソケットと同じですが、ネイティブ通信にのみ使用でき、パフォーマンスが2倍に向上します).Protoは接続に使用されるプロトコルを表示し、RefCntは本ソケットに接続されているプロセス番号を表し、Typesはソケットのタイプを表示し、Stateはソケットの現在の状態を表示し、Pathはソケットに接続されている他のプロセスが使用するパス名を表す.
一般的なパラメータ
-a(all)はすべてのオプションを表示します.デフォルトではLISTEN関連-t(tcp)は表示されません.tcp関連オプション-u(udp)はudp関連オプションだけを表示します.-nは別名の表示を拒否し、数字のすべてを数字に変換できます.-l Listen(傍受)にあるサービス状態のみをリストする
-pは関連リンクを確立するプログラム名-rを表示し、ルーティングテーブル-eはuidなどの拡張情報を表示し、sは各プロトコルに従って統計-cを行い、一定時間おきにnetstatコマンドを実行する.
ヒント:LISTENとLISTENNINGの状態は-aまたは-lでしか見られません
ユーティリティコマンドインスタンス
1.すべてのポート(リスニングおよび非リスニングを含む)を一覧表示
すべてのポートnetstat-aのリスト
すべてのtcpポートnetstat-atをリスト
すべてのudpポートnetstat-auをリスト
2.リスニングされているすべてのSocketsを一覧表示
リスニングポートnetstat-lのみ表示
すべてのリスニングtcpポートnetstat-ltのみがリストされます
すべてのリスニングudpポートnetstat-luのみがリストされます
すべてのリスニングUNIXポートnetstat-lxのみがリストされます
3.各プロトコルの統計を表示する
すべてのポートの統計を表示netstat-s
TPまたはUDPポートの統計を表示するnetstat-stまたは-su
4.netstat出力にPIDとプロセス名netstat-pを表示する
Netstat-pは他のスイッチと一緒に使用でき、「PID/プロセス名」をnetstat出力に追加することができ、debugging時に特定のポートで実行されているプログラムを簡単に見つけることができます.
5.netstat出力にホスト、ポート、ユーザー名を表示しない(host,port or user)
ホスト、ポート、ユーザー名を表示したくない場合はnetstat-nを使用します.それらの名前の代わりに数字が使用されます.
比較クエリを行わないため、出力を高速化できます.
この3つの名前のうちの1つだけを表示したくない場合は、次のコマンドを使用します.
6.netstat情報の継続出力
Netstatは、ネットワーク情報を1秒おきに出力します.
7.システムがサポートしていないアドレスファミリーを表示する(Address Families)
出力の末尾には、次のようなメッセージが表示されます.
8.コアルーティング情報netstat-rを表示する
注:netstat-rnを使用して数値フォーマットを表示し、ホスト名はクエリーされません.
9.プログラムが実行するポートを探し出す
すべてのプロセスが見つかるわけではありません.権限がない場合は表示されず、root権限を使用してすべての情報を表示します.
指定したポートで実行されているプロセスを特定します.
10.ネットワークインタフェースのリストを表示する
ifconfigがnetstat-ieを使用するように詳細を表示します.
11.IPとTCP分析
あるサービスポートに最も接続されているIPアドレスを表示する
TCP各種状態リスト
出力情報の意味
netstatを実行すると、その出力結果は
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 2 210.34.6.89:telnet 210.34.6.96:2873 ESTABLISHED
tcp 296 0 210.34.6.89:1165 210.34.6.84:netbios-ssn ESTABLISHED
tcp 0 0 localhost.localdom:9001 localhost.localdom:1162 ESTABLISHED
tcp 0 0 localhost.localdom:1162 localhost.localdom:9001 ESTABLISHED
tcp 0 80 210.34.6.89:1161 210.34.6.10:netbios-ssn CLOSE
Active UNIX domain sockets (w/o servers)
Proto RefCnt Flags Type State I-Node Path
unix 1 [ ] STREAM CONNECTED 16178 @000000dd
unix 1 [ ] STREAM CONNECTED 16176 @000000dc
unix 9 [ ] DGRAM 5292 /dev/log
unix 1 [ ] STREAM CONNECTED 16182 @000000df全体的にnetstatの出力結果は2つの部分に分けることができます.
1つはActive Internet connectionsであり、アクティブTCP接続と呼ばれ、「Recv-Q」および「Send-Q」は受信キューおよび送信キューを指す.これらの数字は一般的に0であるべきだ.そうでない場合は、パッケージがキューに蓄積されていることを示します.このような状況は非常に少ない状況でしか見られない.
もう1つはActive UNIX domain socketsで、アクティブUnixドメインソケットインタフェースと呼ばれています(ネットワークソケットと同じですが、ネイティブ通信にのみ使用でき、パフォーマンスが2倍に向上します).Protoは接続に使用されるプロトコルを表示し、RefCntは本ソケットに接続されているプロセス番号を表し、Typesはソケットのタイプを表示し、Stateはソケットの現在の状態を表示し、Pathはソケットに接続されている他のプロセスが使用するパス名を表す.
一般的なパラメータ
-a(all)はすべてのオプションを表示します.デフォルトではLISTEN関連-t(tcp)は表示されません.tcp関連オプション-u(udp)はudp関連オプションだけを表示します.-nは別名の表示を拒否し、数字のすべてを数字に変換できます.-l Listen(傍受)にあるサービス状態のみをリストする
-pは関連リンクを確立するプログラム名-rを表示し、ルーティングテーブル-eはuidなどの拡張情報を表示し、sは各プロトコルに従って統計-cを行い、一定時間おきにnetstatコマンドを実行する.
ヒント:LISTENとLISTENNINGの状態は-aまたは-lでしか見られません
ユーティリティコマンドインスタンス
1.すべてのポート(リスニングおよび非リスニングを含む)を一覧表示
すべてのポートnetstat-aのリスト
# netstat -a | more
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 localhost:30037 *:* LISTEN
udp 0 0 *:bootpc *:*
Active UNIX domain sockets (servers and established)
Proto RefCnt Flags Type State I-Node Path
unix 2 [ ACC ] STREAM LISTENING 6135 /tmp/.X11-unix/X0
unix 2 [ ACC ] STREAM LISTENING 5140 /var/run/acpid.socketすべてのtcpポートnetstat-atをリスト
# netstat -at
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 localhost:30037 *:* LISTEN
tcp 0 0 localhost:ipp *:* LISTEN
tcp 0 0 *:smtp *:* LISTEN
tcp6 0 0 localhost:ipp [::]:* LISTENすべてのudpポートnetstat-auをリスト
# netstat -au
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
udp 0 0 *:bootpc *:*
udp 0 0 *:49119 *:*
udp 0 0 *:mdns *:*2.リスニングされているすべてのSocketsを一覧表示
リスニングポートnetstat-lのみ表示
# netstat -l
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 localhost:ipp *:* LISTEN
tcp6 0 0 localhost:ipp [::]:* LISTEN
udp 0 0 *:49119 *:*すべてのリスニングtcpポートnetstat-ltのみがリストされます
# netstat -lt
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 localhost:30037 *:* LISTEN
tcp 0 0 *:smtp *:* LISTEN
tcp6 0 0 localhost:ipp [::]:* LISTENすべてのリスニングudpポートnetstat-luのみがリストされます
# netstat -lu
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State
udp 0 0 *:49119 *:*
udp 0 0 *:mdns *:*すべてのリスニングUNIXポートnetstat-lxのみがリストされます
# netstat -lx
Active UNIX domain sockets (only servers)
Proto RefCnt Flags Type State I-Node Path
unix 2 [ ACC ] STREAM LISTENING 6294 private/maildrop
unix 2 [ ACC ] STREAM LISTENING 6203 public/cleanup
unix 2 [ ACC ] STREAM LISTENING 6302 private/ifmail
unix 2 [ ACC ] STREAM LISTENING 6306 private/bsmtp
3.各プロトコルの統計を表示する
すべてのポートの統計を表示netstat-s
# netstat -s
Ip:
11150 total packets received
1 with invalid addresses
0 forwarded
0 incoming packets discarded
11149 incoming packets delivered
11635 requests sent out
Icmp:
0 ICMP messages received
0 input ICMP message failed.
Tcp:
582 active connections openings
2 failed connection attempts
25 connection resets received
Udp:
1183 packets received
4 packets to unknown port received.
.....TPまたはUDPポートの統計を表示するnetstat-stまたは-su
# netstat -st
# netstat -su4.netstat出力にPIDとプロセス名netstat-pを表示する
Netstat-pは他のスイッチと一緒に使用でき、「PID/プロセス名」をnetstat出力に追加することができ、debugging時に特定のポートで実行されているプログラムを簡単に見つけることができます.
# netstat -pt
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 1 0 ramesh-laptop.loc:47212 192.168.185.75:www CLOSE_WAIT 2109/firefox
tcp 0 0 ramesh-laptop.loc:52750 lax:www ESTABLISHED 2109/firefox5.netstat出力にホスト、ポート、ユーザー名を表示しない(host,port or user)
ホスト、ポート、ユーザー名を表示したくない場合はnetstat-nを使用します.それらの名前の代わりに数字が使用されます.
比較クエリを行わないため、出力を高速化できます.
# netstat -anこの3つの名前のうちの1つだけを表示したくない場合は、次のコマンドを使用します.
# netsat -a --numeric-ports
# netsat -a --numeric-hosts
# netsat -a --numeric-users6.netstat情報の継続出力
Netstatは、ネットワーク情報を1秒おきに出力します.
# netstat -c
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 ramesh-laptop.loc:36130 101-101-181-225.ama:www ESTABLISHED
tcp 1 1 ramesh-laptop.loc:52564 101.11.169.230:www CLOSING
tcp 0 0 ramesh-laptop.loc:43758 server-101-101-43-2:www ESTABLISHED
tcp 1 1 ramesh-laptop.loc:42367 101.101.34.101:www CLOSING
^C7.システムがサポートしていないアドレスファミリーを表示する(Address Families)
netstat --verbose出力の末尾には、次のようなメッセージが表示されます.
netstat: no support for `AF IPX' on this system.
netstat: no support for `AF AX25' on this system.
netstat: no support for `AF X25' on this system.
netstat: no support for `AF NETROM' on this system.8.コアルーティング情報netstat-rを表示する
# netstat -r
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
192.168.1.0 * 255.255.255.0 U 0 0 0 eth2
link-local * 255.255.0.0 U 0 0 0 eth2
default 192.168.1.1 0.0.0.0 UG 0 0 0 eth2注:netstat-rnを使用して数値フォーマットを表示し、ホスト名はクエリーされません.
9.プログラムが実行するポートを探し出す
すべてのプロセスが見つかるわけではありません.権限がない場合は表示されず、root権限を使用してすべての情報を表示します.
# netstat -ap | grep ssh
tcp 1 0 dev-db:ssh 101.174.100.22:39213 CLOSE_WAIT -
tcp 1 0 dev-db:ssh 101.174.100.22:57643 CLOSE_WAIT -指定したポートで実行されているプロセスを特定します.
# netstat -an | grep ':80'10.ネットワークインタフェースのリストを表示する
# netstat -i
Kernel Interface table
Iface MTU Met RX-OK RX-ERR RX-DRP RX-OVR TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0 1500 0 0 0 0 0 0 0 0 0 BMU
eth2 1500 0 26196 0 0 0 26883 6 0 0 BMRU
lo 16436 0 4 0 0 0 4 0 0 0 LRUifconfigがnetstat-ieを使用するように詳細を表示します.
# netstat -ie
Kernel Interface table
eth0 Link encap:Ethernet HWaddr 00:10:40:11:11:11
UP BROADCAST MULTICAST MTU:1500 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)
Memory:f6ae0000-f6b0000011.IPとTCP分析
あるサービスポートに最も接続されているIPアドレスを表示する
wss8848@ubuntu:~$ netstat -nat | grep "192.168.1.15:22" |awk '{print $5}'|awk -F:'{print $1}'|sort|uniq -c|sort -nr|head -20
18 221.136.168.36
3 154.74.45.242
2 78.173.31.236
2 62.183.207.98
2 192.168.1.14
2 182.48.111.215
2 124.193.219.34
2 119.145.41.2
2 114.255.41.30
1 75.102.11.99TCP各種状態リスト
wss8848@ubuntu:~$ netstat -nat |awk '{print $6}'
established)
Foreign
LISTEN
TIME_WAIT
ESTABLISHED
TIME_WAIT
SYN_SENT , uniq -c ， 。wss8848@ubuntu:~$ netstat -nat |awk '{print $6}'|sort|uniq -c
143 ESTABLISHED
1 FIN_WAIT1
1 Foreign
1 LAST_ACK
36 LISTEN
6 SYN_SENT
113 TIME_WAIT
1 established)