CentOS7，Ubnutu16.04，Debian9，openSUSE15等以后版本系統已經默認不再集成這個命令，需要安裝相應的軟件net-tools
首先需要了解下sockte(套接字)的概念
一、命令詳解(以CentOS6系統為例)
1、netstat命令格式如下：
默認情況下，netstat顯示打開的套接字列表。如果不指定任何地址族，則將打印所有已配置地址家族的活動套接字。
netstat [參數]
參數：
-a (all) 顯示所有連接中的socket信息。
-t (tcp) 僅顯示tcp相關選項。
-u (udp) 僅顯示udp相關選項。
-n 直接使用ip地址，而不通過域名顯示。
-l 僅列出有在 Listen (監聽) 的的socket信息。
-p 顯示建立相關鏈接的PID/程序名
-r 顯示路由信息，路由表，功能如route命令類似
-e 顯示擴展信息，例如uid等
-s 按各個協議進行統計
-c 每隔一個固定時間，執行該netstat命令。
-i 顯示所有網絡接口的表，或指定的ifaces。
-o 顯示網絡計時器
2、執行netstat-a后輸出如下：
-------------------------------------------------------------------------
[root@CentOS ~]# netstat -a
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 k8sdev.suiyi.com.c:2379 10.1.62.21:47910 ESTABLISHED
tcp 0 0 k8sdev.suiyi.com.c:2379 k8sdev.suiyi.com.:37790 ESTABLISHED
tcp 0 0 10.10.10.6:ssh 10.10.10.1:52954 ESTABLISHED
tcp 0 0 localhost:ipp *:* LISTEN
tcp 0 0 localhost:smtp *:* LISTEN
tcp 0 0 *:60644 *:* LISTEN
tcp 0 0 *:sunrpc *:* LISTEN
tcp 0 0 *:ssh *:* LISTEN
udp 0 0 localhost:703 *:*
udp 0 0 *:sunrpc *:*
Active UNIX domain sockets (w/o servers)
Proto RefCnt Flags Type State I-Node Path
unix 2 [ ] DGRAM 12688 @/org/freedesktop/hal/udev_event
unix 2 [ ] DGRAM 9461 @/org/kernel/udev/udevd
unix 11 [ ] DGRAM 12008 /dev/log
unix 2 [ ] DGRAM 14694
unix 3 [ ] STREAM CONNECTED 13925 /var/run/dbus/system_bus_socket
unix 3 [ ] STREAM CONNECTED 13924
省略
-------------------------------------------------------------------------
netstat的輸出結果可以分為上下兩個部分
1、Active Internet connections TCP/IP網絡接口部分，其中"Recv-Q"和"Send-Q"指接收隊列和發送隊列。這些數字一般都應該是0。如果不是則表示軟件包正在隊列中堆積。這種情況只能在非常少的情況見到。
Proto: 協議名（tcp協議還是udp協議)；
Recv-Q: 網絡接收隊列，表示收到的數據已經在本地接收緩沖，但是還有多少沒有被進程取走，recv()如果接收隊列Recv-Q一直處於阻塞狀態，可能是遭受了拒絕服務 denial-of-service 攻擊；
Send-Q: 網路發送隊列，對方沒有收到的數據或者說沒有Ack的,還是本地緩沖區.如果發送隊列Send-Q不能很快的清零，可能是有應用向外發送數據包過快，或者是對方接收數據包不夠快。
Local Address 解釋：
套接字的本地端的地址和端口號。除非指定了“-n“選項，否則套接字地址將解析為其規范主機名(FQDN)，端口號將被轉換為相應的服務名稱。IP部分如果是*號或者是0.0.0.0(-n參數存在在時)表示本地所有ip,
localhost:smtp這個表示監聽本機的loopback地址的smtp端口(如果某個服務只監聽了回環地址，那么只能在本機進行訪問，無法通過tcp/ip 協議進行遠程訪問)
Foreign Address解釋：
套接字的遠程端的地址和端口號。格式類似於“本地地址”。IP部分如果是*號或者是0.0.0.0(-n參數存在在時)表示本地所有ip,如果尚未鏈接則端口以*號表示
State解釋：
socket的狀態。由於在原始模式中沒有狀態，通常在UDP中也沒有使用狀態，因此這一列可以保留為空白。TCP的狀態有如下幾項：
ESTABLISHED #已建立連接的套接字。
LISTEN #套接字正在監聽傳入的連接。除非您指定“-l”或“-a”選項，否則輸出中不包含此類套接字。
SYN_SENT #套接字正在積極嘗試建立連接。
SYN_RECV #已從網絡接收到連接請求。
FIN_WAIT1 #套接字關閉，連接正在關閉。
FIN_WAIT2 #連接被關閉，套接字正在等待來自遠程端的關閉。
TIME_WAIT #套接字在關閉后等待處理仍在網絡中的數據包。
CLOSED #沒有使用套接字。
CLOSE_WAIT #遠程終端已關閉，等待套接字關閉。
LAST_ACK #遠程終端已關閉，套接字已關閉。等待確認
CLOSING #兩個套接字都已關閉，但我們仍然沒有發送所有數據。
UNKNOWN #套接字的狀態未知。
PID/Program name：顯示占用這個IP：端口程序的PID及名稱，只有加“-p”選項才會顯示
2、Active UNIX domain sockets 有源Unix域套接口(和網絡套接字一樣，但是只能用於本機通信，性能可以提高一倍)。
Proto： 套接字使用的協議(通常是Unix)。
RefCnt： 參考計數(即通過這個套接字附加的進程)。
Flags： 所顯示的標志是SO_ACCEPTON (顯示為ACC)、SO_WAITDATA(W)或SO_NOSPACE(N)。如果未連接套接字的相應進程正在等待連接請求，則在未連接套接字上使用SO_ACCECPTON。其他的標志不正常。
Type可能的幾種值：
SOCK_DGRAM #套接字以數據報(無連接)模式使用。
SOCK_STREAM #這是一個流(連接)套接字。
SOCK_RAW #套接字用作原始套接字。
SOCK_RDM #這個服務提供可靠傳遞的消息。
SOCK_SEQPACKET #這是一個順序的數據包套接字。
SOCK_PACKET #原始接口訪問套接字。
UNKNOWN #不知道的狀態
State
FREE #套接字還沒有分配
LISTENING #套接字正在監聽請求。
CONNECTING #套接字正在嘗試連接。
CONNECTED #套接字已經連接。
DISCONNECTING #套接字斷開連接。
(empty) #套接字沒有連接到其他地方。
UNKNOWN #未知的狀態
PID/Program name
打開套接字的進程ID(PID)和進程名。更多信息可在上面寫的活動互聯網連接部分獲得。
Path：這是連接到套接字上的相應進程的路徑名。
二、常用舉例：
1. 列出所有連接
第一個要介紹的，是最簡單的命令：列出所有當前的連接。使用 -a 選項即可。
---------------------------------------------------------------------------
$ netstat -a
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 enlightened:domain *:* LISTEN
tcp 0 0 localhost:ipp *:* LISTEN
tcp 0 0 enlightened.local:54750 li240-5.members.li:http ESTABLISHED
tcp 0 0 enlightened.local:49980 del01s07-in-f14.1:https ESTABLISHED
tcp6 0 0 ip6-localhost:ipp [::]:* LISTEN
udp 0 0 enlightened:domain *:*
udp 0 0 *:bootpc *:*
udp 0 0 enlightened.local:ntp *:*
udp 0 0 localhost:ntp *:*
udp 0 0 *:ntp *:*
udp 0 0 *:58570 *:*
udp 0 0 *:mdns *:*
udp 0 0 *:49459 *:*
udp6 0 0 fe80::216:36ff:fef8:ntp [::]:*
udp6 0 0 ip6-localhost:ntp [::]:*
udp6 0 0 [::]:ntp [::]:*
udp6 0 0 [::]:mdns [::]:*
udp6 0 0 [::]:63811 [::]:*
udp6 0 0 [::]:54952 [::]:*
Active UNIX domain sockets (servers and established)
Proto RefCnt Flags Type State I-Node Path
unix 2 [ ACC ] STREAM LISTENING 12403 @/tmp/dbus-IDgfj3UGXX
unix 2 [ ACC ] STREAM LISTENING 40202 @/dbus-vfs-daemon/socket-6nUC6CCx
---------------------------------------------------------------------------
上述命令列出 tcp, udp 和 unix 協議下所有套接字的所有連接。然而這些信息還不夠詳細，管理員往往需要查看某個協議或端口的具體連接情況。
2. 只列出 TCP 或 UDP 協議的連接
使用 -t 選項列出 TCP 協議的連接：
---------------------------------------------------------------------------
$ netstat -at
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 enlightened:domain *:* LISTEN
tcp 0 0 localhost:ipp *:* LISTEN
tcp 0 0 enlightened.local:36310 del01s07-in-f24.1:https ESTABLISHED
tcp 0 0 enlightened.local:45038 a96-17-181-10.depl:http ESTABLISHED
tcp 0 0 enlightened.local:37892 ABTS-North-Static-:http ESTABLISHED
....
---------------------------------------------------------------------------
使用 -u 選項列出 UDP 協議的連接：
$ netstat -au
---------------------------------------------------------------------------
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
udp 0 0 *:34660 *:*
udp 0 0 enlightened:domain *:*
udp 0 0 *:bootpc *:*
udp 0 0 enlightened.local:ntp *:*
udp 0 0 localhost:ntp *:*
udp 0 0 *:ntp *:*
udp6 0 0 fe80::216:36ff:fef8:ntp [::]:*
udp6 0 0 ip6-localhost:ntp [::]:*
udp6 0 0 [::]:ntp [::]:*
---------------------------------------------------------------------------
上面同時顯示了 IPv4 和 IPv6 的連接。
3. 禁用反向域名解析，加快查詢速度
默認情況下 netstat 會通過反向域名解析技術查找每個 IP 地址對應的主機名。這會降低查找速度。如果你覺得 IP 地址已經足夠，而沒有必要知道主機名，就使用 -n 選項禁用域名解析功能。
---------------------------------------------------------------------------
$ netstat -ant
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 127.0.1.1:53 0.0.0.0:* LISTEN
tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN
tcp 0 0 192.168.1.2:49058 173.255.230.5:80 ESTABLISHED
tcp 0 0 192.168.1.2:33324 173.194.36.117:443 ESTABLISHED
tcp6 0 0 ::1:631 :::* LISTEN
---------------------------------------------------------------------------
上述命令列出所有 TCP 協議的連接，沒有使用域名解析技術。So easy ? 非常好。
3. 禁用反向域名解析，加快查詢速度
默認情況下 netstat 會通過反向域名解析技術查找每個 IP 地址對應的主機名。這會降低查找速度。如果你覺得 IP 地址已經足夠，而沒有必要知道主機名，就使用 -n 選項禁用域名解析功能。
---------------------------------------------------------------------------
$ netstat -ant
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 127.0.1.1:53 0.0.0.0:* LISTEN
tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN
tcp 0 0 192.168.1.2:49058 173.255.230.5:80 ESTABLISHED
tcp 0 0 192.168.1.2:33324 173.194.36.117:443 ESTABLISHED
tcp6 0 0 ::1:631 :::* LISTEN
---------------------------------------------------------------------------
上述命令列出所有 TCP 協議的連接，沒有使用域名解析技術。So easy ? 非常好。
4. 只列出監聽中的連接
任何網絡服務的后台進程都會打開一個端口，用於監聽接入的請求。這些正在監聽的套接字也和連接的套接字一樣，也能被 netstat 列出來。使用 -l 選項列出正在監聽的套接字。
---------------------------------------------------------------------------
$ netstat -tnl
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 127.0.1.1:53 0.0.0.0:* LISTEN
tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN
tcp6 0 0 ::1:631 :::* LISTEN
---------------------------------------------------------------------------
現在我們可以看到處於監聽狀態的 TCP 端口和連接。如果你查看所有監聽端口，去掉 -t 選項。如果你只想查看 UDP 端口，使用 -u 選項，代替 -t 選項。
注意：不要使用 -a 選項，否則 netstat 會列出所有連接，而不僅僅是監聽端口。
5. 獲取進程名、進程號以及用戶 ID
查看端口和連接的信息時，能查看到它們對應的進程名和進程號對系統管理員來說是非常有幫助的。舉個栗子，Apache 的 httpd 服務開啟80端口，如果你要查看 http 服務是否已經啟動，或者 http 服務是由 apache 還是 nginx 啟動的，這時候你可以看看進程名。
使用 -p 選項查看進程信息。
---------------------------------------------------------------------------
~$ sudo netstat -nlpt
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 127.0.1.1:53 0.0.0.0:* LISTEN 1144/dnsmasq
tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN 661/cupsd
tcp6 0 0 ::1:631 :::* LISTEN 661/cupsd
---------------------------------------------------------------------------
使用 -p 選項時，netstat 必須運行在 root 權限之下，不然它就不能得到運行在 root 權限下的進程名，而很多服務包括 http 和 ftp 都運行在 root 權限之下。
相比進程名和進程號而言，查看進程的擁有者會更有用。使用 -ep 選項可以同時查看進程名和用戶名。
---------------------------------------------------------------------------
$ sudo netstat -ltpe
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State User Inode PID/Program name
tcp 0 0 enlightened:domain *:* LISTEN root 11090 1144/dnsmasq
tcp 0 0 localhost:ipp *:* LISTEN root 9755 661/cupsd
tcp6 0 0 ip6-localhost:ipp [::]:* LISTEN root 9754 661/cupsd
---------------------------------------------------------------------------
上面列出 TCP 協議下的監聽套接字，同時顯示進程信息和一些額外信息。
這些額外的信息包括用戶名和進程的索引節點號。這個命令對網管來說很有用。
注意 - 假如你將 -n 和 -e 選項一起使用，User 列的屬性就是用戶的 ID 號，而不是用戶名。
6. 打印統計數據
netstat 可以打印出網絡統計數據，包括某個協議下的收發包數量。
下面列出所有網絡包的統計情況：
---------------------------------------------------------------------------
$ netstat -s
Ip:
32797 total packets received
0 forwarded
0 incoming packets discarded
32795 incoming packets delivered
29115 requests sent out
60 outgoing packets dropped
Icmp:
125 ICMP messages received
0 input ICMP message failed.
ICMP input histogram:
destination unreachable: 125
125 ICMP messages sent
0 ICMP messages failed
ICMP output histogram:
destination unreachable: 125
... OUTPUT TRUNCATED ...
---------------------------------------------------------------------------
如果想只打印出 TCP 或 UDP 協議的統計數據，只要加上對應的選項（-t 和 -u）即可，so easy。
7. 顯示內核路由信息
使用 -r 選項打印內核路由信息。打印出來的信息與 route 命令輸出的信息一樣。我們也可以使用 -n 選項禁止域名解析。
---------------------------------------------------------------------------
$ netstat -rn
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
0.0.0.0 192.168.1.1 0.0.0.0 UG 0 0 0 eth0
192.168.1.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
---------------------------------------------------------------------------
如果想只打印出 TCP 或 UDP 協議的統計數據，只要加上對應的選項（-t 和 -u）即可，so easy。
8. 打印網絡接口
---------------------------------------------------------------------------
netstat 也能打印網絡接口信息，-i 選項就是為這個功能而生。
$ netstat -i
Kernel Interface table
Iface MTU Met RX-OK RX-ERR RX-DRP RX-OVR TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0 1500 0 31611 0 0 0 27503 0 0 0 BMRU
lo 65536 0 2913 0 0 0 2913 0 0 0 LRU
---------------------------------------------------------------------------
上面輸出的信息比較原始。我們將 -e 選項和 -i 選項搭配使用，可以輸出用戶友好的信息。
---------------------------------------------------------------------------
$ netstat -ie
Kernel Interface table
eth0 Link encap:Ethernet HWaddr 00:16:36:f8:b2:64
inet addr:192.168.1.2 Bcast:192.168.1.255 Mask:255.255.255.0
inet6 addr: fe80::216:36ff:fef8:b264/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:31682 errors:0 dropped:0 overruns:0 frame:0
TX packets:27573 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:29637117 (29.6 MB) TX bytes:4590583 (4.5 MB)
Interrupt:18 Memory:da000000-da020000
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:65536 Metric:1
RX packets:2921 errors:0 dropped:0 overruns:0 frame:0
TX packets:2921 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:305297 (305.2 KB) TX bytes:305297 (305.2 KB)
---------------------------------------------------------------------------
上面的輸出信息與 ifconfig 輸出的信息一樣。
9. netstat 持續輸出
我們可以使用 netstat 的 -c 選項持續輸出信息。
---------------------------------------------------------------------------
$ netstat -ct
---------------------------------------------------------------------------
這個命令可持續輸出 TCP 協議信息。
10. 顯示多播組信息
選項 -g 會輸出 IPv4 和 IPv6 的多播組信息。
---------------------------------------------------------------------------
$ netstat -g
IPv6/IPv4 Group Memberships
Interface RefCnt Group
--------------- ------ ---------------------
lo 1 all-systems.mcast.net
eth0 1 224.0.0.251
eth0 1 all-systems.mcast.net
lo 1 ip6-allnodes
lo 1 ff01::1
eth0 1 ff02::fb
eth0 1 ff02::1:fff8:b264
eth0 1 ip6-allnodes
eth0 1 ff01::1
wlan0 1 ip6-allnodes
wlan0 1 ff01::1
---------------------------------------------------------------------------
查看服務是否在運行
如果你想看看 http,smtp 或 ntp 服務是否在運行，使用 grep。
---------------------------------------------------------------------------
$ sudo netstat -aple | grep ntp
udp 0 0 enlightened.local:ntp *:* root 17430 1789/ntpd
udp 0 0 localhost:ntp *:* root 17429 1789/ntpd
udp 0 0 *:ntp *:* root 17422 1789/ntpd
udp6 0 0 fe80::216:36ff:fef8:ntp [::]:* root 17432 1789/ntpd
udp6 0 0 ip6-localhost:ntp [::]:* root 17431 1789/ntpd
udp6 0 0 [::]:ntp [::]:* root 17423 1789/ntpd
unix 2 [ ] DGRAM 17418 1789/ntpd
---------------------------------------------------------------------------
從這里可以看到 ntp 服務正在運行。使用 grep 命令你可以查看 http 或 smtp 或其它任何你想查看的服務。
好了，netstat 的大部分功能都介紹過了，如果你想知道 netstat 更高級的功能，閱讀它的手冊吧（man netstat）。
參考：