ss -tunap 是排查网络连接的首选命令，因其直接读取内核 socket 数据、快且轻量，-tunap 参数组合覆盖 tcp/udp、禁 dns 解析、包含所有状态及进程信息，缺一不可。
直接看所有连接，用 ss -tunap 或 netstat -tunap，别只敲 ss 或 netstat——不加参数默认只显示已建立的 TCP 连接，漏掉监听端口，排查时容易误判。
为什么 ss -tunap 是首选命令
它从内核 socket 子系统直接读取数据，比 netstat 快、轻量、无延迟，且现代发行版（CentOS 7+/Ubuntu 18.04+）默认自带。-t 和 -u 覆盖 TCP/UDP，-n 避免 DNS 解析卡顿，-a 包含 LISTEN 和 ESTABLISHED 两类状态，-p 显示进程名和 PID——这五项合起来才是“所有连接”的完整视图。不加 -a 就看不到监听中的服务；不加 -p 且没 sudo，PID 列全是 -，根本不知道谁在用端口。
- 执行前先确认命令可用：
ss --version或which ss；若提示command not found，说明系统极简（如某些容器镜像），需先装iproute2 -
ss不依赖外部解析库，netstat在高并发下可能卡住或截断输出，尤其当连接数超万时 - 输出列中
State字段值为LISTEN表示服务待连接，ESTAB才是真正在传数据——两者都要看，不能只盯着 ESTAB
netstat -tunap 什么时候必须用
老系统（如 CentOS 6、RHEL 5 或某些嵌入式 Linux）可能压根没 ss，或者内核太旧导致 ss 报错 Invalid argument。这时只能靠 netstat，但它属于 net-tools 套件，得手动装：
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- Ubuntu/Debian：
sudo apt install -y net-tools - CentOS/RHEL：
sudo yum install -y net-tools（RHEL 8+ 用dnf） -
netstat默认不带-p的权限校验较松，但不加sudo仍会丢进程信息；加了sudo后若还显示Permission denied，说明 SELinux 或 capability 限制了netstat访问 procfs，此时换lsof -i -P -n更可靠
连接太多时怎么快速定位关键信息
全量输出动辄几百行，直接扫屏效率低。用 grep 过滤要精准，注意语法细节：
- 查某端口（如 3306）：
sudo ss -tunap | grep ':3306'—— 冒号不能省，否则匹配到 IP 段（如 192.168.33.06）也命中 - 查某状态（如 CLOSE_WAIT）：
sudo ss -tunap | awk '$1 ~ /tcp/ && $6 ~ /CLOSE-WAIT/'——grep CLOSE-WAIT可能误匹配进程名里的单词，用awk按列过滤更稳 - 查某 IP（如 10.0.0.1）：
sudo ss -tunap | grep '10\.0\.0\.1:'—— 点号要转义，否则当通配符处理 - 统计 ESTABLISHED 连接数：
sudo ss -tunap | grep ESTAB | wc -l，但注意ss输出里状态缩写是ESTAB，不是ESTABLISHED
别忽略 lsof -i -P -n 这个备选方案
当 ss 和 netstat 都失效（比如容器里删了 procfs 权限，或内核模块异常），lsof 是最后防线。它把 socket 当文件处理，绕过部分内核接口限制：
-
sudo lsof -i -P -n列出所有网络连接，含用户、PID、命令全路径，比ss多一列USER -
sudo lsof -iTCP -sTCP:LISTEN专查 TCP 监听端口，-sTCP:LISTEN比grep LISTEN更准，避免匹配到字符串 “listen” 出现在进程名里 - 缺点：启动慢（遍历所有进程 fd）、资源占用高，别在负载高的生产机上频繁跑；且未安装时需
apt install lsof或yum install lsof
真正麻烦的不是命令记不住，而是看到 LISTEN 状态就以为服务“活得好好的”，结果发现它绑在 127.0.0.1 上，外网根本连不上——这种细节不会出现在命令帮助页里，得看 Local Address 那一列的具体值。
