服务器客户端查看是运维人员监控服务器负载和排查故障的基础操作，通过命令行或工具可以快速掌握客户端连接详情，为服务稳定性提供关键数据支撑。
服务器客户端连接数查看命令
查看客户端连接数是评估服务器并发压力最直接的途径，不同操作系统内置了差异化的命令，但核心逻辑一致：统计当前建立的TCP连接数,并按状态分类。
Windows系统下的查看方法
Windows Server通过netstat和PowerShell cmdlet提供连接信息。
- netstat -an：显示所有连接和监听端口，包括本地地址、外部地址（客户端IP）和状态，输出内容较多时，可配合
findstr过滤特定端口或状态，例如netstat -an | findstr "ESTABLISHED"。 - Get-NetTCPConnection（PowerShell）：更清晰的输出格式，支持按状态筛选，例如
Get-NetTCPConnection -State Established可直接列出所有已建立连接，并显示本地端口、远程地址和进程ID。 - 资源监视器：图形化工具，在“网络”选项卡中可实时查看客户端IP、连接数及吞吐量,适合快速定位异常流量来源。
Linux系统下的查看方法
Linux环境下，ss命令已逐渐取代netstat,但在多数发行版中两者均可使用。
- ss -tun：列出所有TCP和UDP连接，
-t指定TCP，-u指定UDP，-n以数字格式显示地址和端口。ss -tun | wc -l可快速统计连接总数。 - netstat -tun：传统命令，参数与
ss类似，但性能开销较大，不推荐在高并发服务器上持续使用。netstat -tun | grep ESTABLISHED | wc -l统计已建立连接数。 - ss -t state established：直接筛选已建立状态的连接，输出简洁,适合在脚本中调用。
对比表格
| 命令 | 适用系统 | 主要优势 | 主要局限 |
|---|---|---|---|
| netstat | Windows/Linux | 通用性高，几乎所有系统预装 | 高并发时解析慢，输出信息较杂 |
| ss | Linux |
速度极快，内置状态筛选 | 默认不预装于部分最小化系统 |
| Get-NetTCPConnection | Windows | 结构化输出，可对接脚本 | 仅限PowerShell 4.0以上版本 |
服务器客户端IP查看方法
除了连接数，定位客户端IP是安全审计和故障排查的常见需求，通过查看连接表,可以明确每个连接对应的远端地址。
使用netstat查看客户端IP和端口
netstat -n默认以数字形式显示IP和端口，避免DNS解析带来的延迟，对于已建立的连接，Foreign Address列即为客户端IP。
- 在Linux上执行
netstat -tn | grep :80，可筛选出目标端口为80的TCP连接,客户端IP和端口呈现在第五列。 - 在Windows上执行
netstat -no，可查看连接对应的进程PID，便于关联到具体应用程序（如IIS、Nginx），注意，-o参数会显示PID。
使用ss命令过滤特定状态
ss命令的筛选能力更精细，支持按状态、源地址、目标地址等条件组合查询。
ss -tn state established dst 192.168.1.1：查看所有到特定IP的已建立连接。ss -tn state time-wait：查看处于TIME_WAIT状态的连接，大量此类连接可能表明客户端频繁短连接,需要优化服务器配置。ss -tn sport = :443：筛选本地端口为443的连接，配合src和dst参数可进一步缩小范围。
通过连接信息识别客户端来源
在实战中，结合IP地理位置库或威胁情报，可以快速判断客户端是否异常，连接表中突然出现大量来自海外IP的SYN_RECV状态连接，极可能为DDoS攻击，业内专家指出，定期检查连接表中的非标准端口和异常客户端IP,是主动防御的有效手段。
服务器客户端查看工具对比
除了系统内置命令，第三方工具和脚本能提供更直观的视图,适合需要长期监控或图形化分析的场景。
命令行工具 vs 图形化工具
- 命令行工具：如
netstat、ss、lsof -i，无图形界面依赖，适合SSH远程管理，且易于集成到自动化脚本中，在低配服务器上,命令行工具对系统资源影响极小。 - 图形化工具：如TCPView（Windows）、Wireshark、nethogs，提供实时图表和过滤功能，降低理解门槛，但需要图形化环境,远程服务器需借助X11转发或Web界面。
常用第三方工具推荐
- TCPView（Windows）：微软官方工具，实时显示所有TCP/UDP连接，支持按进程名、状态、地址排序,并可一键关闭异常连接。
- lsof -i（Linux）：列出打开网络端口的进程，适合结合进程名定位客户端连接。
lsof -i :80可查看所有监听或连接至80端口的进程。 - iftop：按连接显示实时带宽占用，能直观看出哪些客户端IP消耗了最多流量,适合排查带宽突发问题。
- Web监控面板：如Netdata、Grafana结合Prometheus，通过采集连接数、状态分布等指标，提供历史趋势和告警，行业共识认为，此类工具适合中大型集群环境,但初期配置成本较高。
工具选型建议：单机临时排查，优先使用系统内置命令；需要持续监控和告警，则部署Web监控面板；Windows环境下,TCPView是定位进程连接的首选。
服务器客户端连接异常排查实战
当服务器出现响应缓慢、连接超时或资源耗尽时，客户端连接查看成为第一响应步骤,以下按照常见场景整理排查路径。
如何判断客户端连接数是否过高
- 第一步：使用
ss -s或netstat -s查看系统统计摘要，如果established连接数远高于服务器基线（例如一个Web服务器长期保持上千连接）,则需进一步分析。 - 第二步：统计各状态连接占比，大量
TIME_WAIT通常表示客户端频繁短连接，可调整内核参数net.ipv4.tcp_tw_reuse和net.ipv4.tcp_fin_timeout，大量SYN_RECV则可能遭受SYN洪水攻击，需要启用syn_cookies。 - 第三步：结合资源使用率（CPU、内存、带宽）判断，如果连接数高但资源占用低，可能是正常业务峰值；若资源已耗尽,则需扩容或优化应用。
如何根据客户端IP定位异常来源
- 筛选出指定端口（如数据库端口3306）的异常连接：
ss -tn state established sport = :3306，如果发现大量来自非信任IP段的连接,应立即通过防火墙阻断。 - 使用
tcpdump捕获实时流量：tcpdump -i eth0 port 3306 -c 100，抓取后续数据包内容,确认客户端行为是否合规。 - 对于并发连接数异常的单个IP，使用
ss -tn state established | grep <IP> | wc -l统计其连接数,超过阈值则可加入黑名单。
客户端连接不上服务器时的排查步骤
- 检查服务器端口监听状态：
ss -tln | grep :端口，如果端口未监听，确认服务进程是否运行,或防火墙是否放行。 - 查看连接表是否有SYN_SENT状态：在客户端机器上执行
ss -tn state syn-sent，如果大量连接卡在SYN_SENT，说明服务器未响应SYN包,可能被防火墙丢弃或服务器负载过高。 - 检查服务端连接队列是否溢出：
ss -tn state syn-recv和netstat -s | grep "listen"输出中的overflowed计数器，如果溢出次数持续增长，说明服务端无法及时处理新连接,需要增大backlog或优化应用性能。
服务器客户端查看常见问题
服务器客户端连接数显示为0，但业务正常，是什么原因？
可能情况包括：查看的是UDP连接（默认不显示）；使用的命令未加-t参数导致只显示活动连接；或者进程以非标准套接字通信（如Unix域套接字），建议使用ss -tun查看所有TCP和UDP连接,并确认命令是否有权限限制。
如何查看客户端连接对应的进程名称？
在Linux下，使用ss -tup（需root权限）可显示进程PID和名称，或配合lsof -i :端口查看，Windows下，netstat -no显示PID，然后在任务管理器中匹配进程名，或使用Get-NetTCPConnection -OwningProcess结合Get-Process获取详细进程信息。
客户端连接在TIME_WAIT状态过多，是否需要处理？
TIME_WAIT是TCP协议正常状态，用于保证数据可靠传输，如果数量过多（例如超过几千），可能导致端口耗尽或新连接延迟，可通过调整内核参数net.ipv4.tcp_tw_reuse和net.ipv4.tcp_tw_recycle（Linux 4.12后移除）缓解，但需谨慎评估兼容性，更稳妥的方式是优化应用连接复用策略,减少短连接场景。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/555717.html
