Linux网络统计的核心在于利用内置工具实时监控系统流量、连接状态及丢包率，通过结合ss、netstat与iftop等命令，能快速定位带宽瓶颈与异常连接，无需额外购买昂贵软件即可实现专业级监控。
在服务器运维的日常场景中,网络状况往往是决定业务稳定性的关键因素，当用户访问变慢或接口响应超时，第一反应往往是检查网络层，Linux系统提供了丰富且强大的原生工具，能够深入内核层面抓取数据，这些工具不仅免费，而且功能覆盖了从宏观流量到微观TCP握手的各个维度，掌握这些命令，意味着你拥有了透视网络黑盒的能力。
基础连接与端口状态监控
监控网络连接是排查问题的第一步,我们需要知道当前有哪些程序在监听端口，以及当前建立了多少连接。
ss命令与netstat命令对比
业内专家指出,虽然netstat曾是经典工具，但现代Linux发行版更推荐优先使用ss（Socket Statistics）。ss直接读取内核数据结构，速度更快，资源占用更少。
- 查看监听端口：使用
ss -tuln可以列出所有处于监听状态的TCP和UDP端口，参数-t代表TCP，-u代表UDP，-l代表Listening，-n代表显示数字地址而非解析域名。 - 查看活跃连接：使用
ss -tan可以查看所有已建立的TCP连接，这对于发现异常的外连行为非常有效。 - 对比差异：
netstat需要遍历/proc/net文件，在连接数极大时性能下降明显；而ss通过Netlink接口直接获取信息，响应几乎是瞬时的。
具体操作场景
假设你发现服务器CPU负载突然升高,怀疑有程序在进行大量网络通信，执行ss -s可以迅速查看统计摘要，包括TCP连接总数、已建立连接数、等待关闭的连接数等关键指标，如果看到大量的
Time-Wait状态连接，说明服务器可能遭受了SYN Flood攻击或存在短连接频繁创建的问题。
实时流量与带宽分析
了解带宽使用情况是优化网络性能的关键,静态的统计数据无法反映瞬时的流量峰值，因此需要实时工具。
iftop与nethogs实战应用
iftop和nethogs是两款轻量级但功能强大的实时流量监控工具，它们能直观地展示谁在占用带宽。
- iftop：基于IP地址或子网显示流量，它适合宏观查看哪些IP段在大量吞吐数据，安装后运行
iftop -i eth0（假设网卡名为eth0），界面会按流量大小排序显示连接对。 - nethogs：基于进程显示流量，这是排查“哪个程序在跑流量”的神器，运行
nethogs后，你可以清晰地看到nginx、mysql或某个异常进程占用了多少MB/s的带宽。
数据解读技巧
在使用iftop时，注意观察底部的TX（发送）、RX（接收）和TOTAL（总计）列，如果TX持续高位，可能是服务器正在对外分发大量数据，如视频流或文件下载；如果RX持续高位，则可能是正在接收大量请求或遭受DDoS攻击。
| 工具名称 | 监控维度 | 适用场景 | 安装难度 |
|---|---|---|---|
| ss | 连接状态 | 快速诊断连接异常 | 无需安装（内置） |
| iftop | IP流量 | 排查IP级带宽占用 | 需yum/apt安装 |
| nethogs | 进程流量 | 定位具体占用带宽的程序 | 需yum/apt安装 |
深层网络诊断与丢包分析
当连接建立但数据传输不稳定时,需要深入分析网络层的质量，丢包、延迟和抖动是三大核心指标。
ping与traceroute的组合使用
ping是最基础的连通性测试工具，但默认只发送少量包，在排查间歇性断连时，建议使用ping -c 100 -i 0.2 <目标IP>进行持续测试。
- 丢包率分析：观察输出结果中的
packet loss，如果丢包率超过1%，通常意味着网络链路存在拥堵或硬件故障。 - 延迟分析：关注
rtt min/avg/max，如果平均延迟突然飙升，可能是路由节点故障或中间链路拥塞。
路径追踪与路由诊断
traceroute或mtr可以显示数据包经过的每一跳路由器。mtr结合了ping和traceroute的功能，能实时显示每一跳的丢包率和延迟变化。
- 定位故障点：如果在前几跳出现高丢包，通常是本地网络或运营商网关问题；如果在最后几跳出现丢包，则可能是目标服务器或防火墙策略限制。
- 常见误区：许多用户认为
ping不通就是网络故障，但实际上ICMP协议可能被防火墙拦截，此时应结合telnet <IP> <端口>或nc -zv <IP> <端口>来测试特定端口的可达性。
自动化监控与日志集成
手动执行命令适合临时排查,但对于生产环境，自动化监控不可或缺，将网络统计数据集成到监控系统中，才能实现主动预警。
脚本化采集与可视化
可以通过编写简单的Shell脚本,定期采集ss或/proc/net/dev的数据，并写入数据库或发送告警。
- 采集接口流量：读取
/proc/net/dev文件，解析
RX bytes
TX bytes列，计算单位时间内的吞吐量。 - 监控连接数：使用
ss -s | grep 'Total'提取总连接数，当连接数超过阈值时，触发邮件或短信告警。
与企业级监控工具集成
行业共识认为,对于大型集群，建议将底层数据上报至Prometheus等监控系统，通过Exporters（如node_exporter）收集Linux系统指标，配合Grafana进行可视化展示，这种方式不仅解决了单机监控的局限性，还能实现跨主机的网络拓扑关联分析。
常见问题解答
Linux网络统计中如何查看特定进程的带宽占用？
使用nethogs命令是最直接的方法，安装后运行sudo nethogs，界面会按进程名列出当前的上行和下行带宽，如果进程名显示为PID而非名称，可尝试安装procps包或使用lsof -p <PID>反查进程名，对于长期监控，建议配置Prometheus的node_exporter，通过查询node_network_receive_bytes_total等指标进行精确统计。
为什么ss命令比netstat命令更快？
netstat通过读取/proc/net/tcp等文本文件并解析内容来获取信息，这种方式在连接数巨大时会产生大量的I/O开销，而ss通过Netlink套接字直接与内核通信，直接获取二进制结构数据，避免了文本解析过程，据工信部相关技术文档显示，在万级连接场景下，ss的执行速度通常比netstat快一个数量级，且CPU占用更低。
如何判断服务器是否遭受DDoS攻击？
观察ss -s的输出，如果发现SYN-Recv或FIN-Wait-1状态连接数异常激增，且来源IP分散，极可能是SYN Flood攻击，使用iftop查看流量是否呈现单向突增，此时应立即在防火墙层面对异常IP段进行封禁，或启用云服务商提供的DDoS防护服务。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/471473.html
