ss是唯一能在高并发下稳定输出真实连接状态的工具，5万连接时仅需0.3秒，远快于netstat的15秒，且直接读取内核socket数据、不依赖/proc/net解析；ss -tuln必须同时含-t（tcp）、-u（udp）、-l（监听）、-n（数字格式），缺一不可——漏-t或-u则丢失对应协议监听端口，漏-l只显示已建立连接，漏-n易因dns解析卡顿；查已建立连接时，ss -tun包含所有非监听状态（如close_wait、time_wait），而ss -tn state established仅筛选真正通信中的established连接；加-p需sudo权限才能显示其他用户进程信息，输出形如users:(("nginx",pid=1234,fd=6))；ss -s提供全局连接健康度统计，estab为活跃连接数，time-wait后斜杠值非零表明哈希桶溢出、内核压力大，close-wait多说明本地方应用未调close()；状态过滤与语法严格耦合，如state listen仅对-l有效，dport/sport过滤须加引号和冒号，ipv6地址含方括号需特殊处理。
ss 命令不是“能看就行”的替代品，它是唯一能在高并发下稳定输出真实连接状态的工具——netstat 在 5 万连接时要卡 15 秒，ss 同样负载下只要 0.3 秒，且直接从内核 socket 子系统读数据，不依赖 /proc/net 解析，结果更准。
查监听端口：为什么 ss -tuln 必须带这四个字母
漏掉任意一个都会导致关键信息丢失或命令变慢：
- -t 和 -u 要一起用，否则看不到 UDP 监听（比如 DNS、NTP）；
- -l 是“listening”的缩写，不加它就只显示已建立的连接，根本看不到谁在等连接；
- -n 强制数字格式，避免 DNS 解析卡顿——尤其当 /etc/hosts 有异常或网络不通时，ss -tul 可能挂住 10 秒以上；
- 如果只关心 IPv4，末尾补 -4（如 sudo ss -tulnp -4），否则双栈环境下 IPv6 地址（如 [::]:22）会混在结果里干扰判断。
查已建立连接：ss -tun 和 ss -tn state established 不是一回事
ss -tun 默认包含所有非监听 TCP/UDP 连接，包括 CLOSE_WAIT、TIME_WAIT、FIN_WAIT1 等，适合排查连接泄漏；
而 ss -tn state established 是显式过滤，只留真正通信中的连接，字段第 5 列 Peer Address:Port 就是客户端 IP 和端口。
常见误操作：
- 用 ss -tln 查客户端——那是监听列表，没连接时为空；
- 用 grep :80 替代内置过滤——会匹配到 192.168.80.1 这类 IP，也漏掉源端口为 80 的连接；
正确写法：ss -tn 'dport = :80'（别人连你 80），ss -tn 'sport = :80'（你主动用 80 当源端口）。
看进程归属：加 -p 为什么总提示 Permission denied
-p 本身不报错，但没权限时内核拒绝提供进程信息，ss 就静默跳过——看起来像没输出，实际是权限不足。
必须用 sudo ss -tulnp 才能看到其他用户的进程名和 PID；
输出中最后一列形如 users:(("nginx",pid=1234,fd=6))，其中 pid 是进程 ID，fd 是该 socket 对应的文件描述符编号；
注意：某些发行版（如 Alpine）默认禁用 netlink 权限，即使加 sudo 也可能看不到进程，此时需检查内核配置或换用 lsof -i :端口 临时替代。
统计连接健康度：ss -s 里那些数字到底在说什么
ss -s 不列具体连接，只给全局快照，关键看这几项：
- tcp 行里的 estab 是当前活跃连接数，time-wait 超过 2 万要警惕端口耗尽；
- timewait 23182/0 中斜杠后那个数字是哈希桶溢出次数，非零说明内核连接表压力过大，可能丢包或新建连接失败；
- CLOSE-WAIT 多，基本等于本地方应用没调 close()；
- FIN-WAIT-2 高，大概率是对端没发 FIN，或者本端 close 后没等完就退出进程；
别用 wc -l 数行数代替 ss -s——它统计的是 socket 实例，不是文本行数，ss -tan | wc -l 在 TIME_WAIT 多时严重低估真实连接负载。
真正容易被忽略的，是状态语义和过滤语法的耦合性：比如 state connected 和 state established 等价，但 state listen 只对 -l 有效；dport 和 src 不能混用在同一条命令里而不加括号；还有，IPv6 地址带方括号，用 cut -d: -f1 提取 IP 会截断 [::1] 成空字符串——这些细节不踩一遍坑，很难真正用稳 ss。
