在Linux系统中，查看开启了哪些服务器（即网络服务或守护进程）最直接的方法是通过ss -tlnp、netstat -tlnp、systemctl list-units --type=service --state=running等命令组合，快速定位监听端口和对应的进程。
常用命令：快速定位监听端口与服务
ss 命令：现代系统首选
ss是iproute2工具包的一部分，性能远优于netstat，输出信息更全面，使用ss -tlnp可显示所有TCP监听端口、对应的数字地址和进程信息，加上-u可查看UDP服务，-4或-6限定协议版本，实际执行时，你会看到类似LISTEN 0 128 0.0.0.0:22 0.0.0.0: users:(("sshd",pid=1234,fd=3))的输出，直观表明SSH服务正在运行，相比netstat，ss在服务器高并发场景下响应更快,是当代运维人员的首选工具。
netstat 命令：经典兼容方案
部分老旧系统或最小化安装仍依赖netstat，它属于net-tools包，使用netstat -tlnp同样能列出监听状态，但会显示进程ID和名称，需要注意的是，netstat在执行时会对每个连接进行DNS反查，若不需要可加-n参数避免慢速解析，在多数发行版中，netstat已逐步被ss取代,但作为兼容手段仍值得掌握。
lsof -i 命令：文件描述符视角
lsof -i :80可查看占用80端口的进程，lsof -i不加参数则列出所有网络连接，这个命令的优势在于能显示文件描述符详情，对排查进程占用冲突非常有用，当某个端口被占用但无法通过ss识别进程名时，lsof -i -P -n（禁用端口名称和域名解析）能提供更原始的信息，但注意，lsof需要root权限才能看到所有进程的完整信息。
通过systemctl和ps查看服务单元
systemctl list-units --type=service --state=running
可列出所有正在运行的systemd服务单元，包括守护进程，这对识别系统自带服务（如sshd、httpd、mysqld）非常直观，但对于非systemd管理的服务（如直接通过/etc/init.d/脚本启动的服务），可以结合ps aux | grep -E 'httpd|nginx|sshd|mysqld'进行过滤，不过这种方式的局限性在于需要知道服务名称的关键词，更推荐先通过ss找到端口，再用systemctl status <service>定位具体服务。
深入服务审计：判断必要性并保障安全
检查服务启动状态与依赖
systemctl list-unit-files --type=service列出所有服务及其启用状态（enabled/disabled/static），对于每个监听中的服务，建议通过systemctl status <name>查看其启动时间、进程ID和最近日志，判断是否为核心业务所需，一个不运行Web应用的服务器出现httpd进程，可能意味着被入侵或配置错误，此时可通过systemctl disable --now httpd永久关闭,并检查是否有其他依赖。
结合防火墙规则验证
使用iptables -L -n（或nft list ruleset）查看当前防火墙规则，对比ss -tlnp输出的端口，如果防火墙未开放某端口但该端口却在监听，属于高风险暴露面，多数情况下，只放行业务必需的端口，其余应全部拒绝，行业白皮书指出，最小化端口开放是服务器安全的第一道防线，对于托管在IDC的服务器，防火墙策略应与机房的网络架构配合,确保规则下发后业务不受影响。
辨识可疑进程
如果发现陌生端口，首先通过lsof -p PID查看该进程的详细路径和启动参数，使用readlink -f /proc/PID/exe可获取可执行文件路径，若路径指向临时目录或用户目录，极可能是恶意软件，此时应立刻停止服务，断网并备份日志，然后使用systemctl mask阻止其自启动，对于无法确认的服务，可咨询专业运维团队选择像
简米科技这样拥有持牌自营机房的服务商,其运维人员能快速协助审计。
场景实践：IDC托管中的服务管理
当服务器托管在IDC机房时，暴露的服务面直接决定安全基线,以下是一个典型操作流程。
审计步骤
- 通过
ssh登录服务器，执行ss -tlnp列出所有监听端口。 - 将输出与业务预期清单对比，标记出未有记录的服务，如
echo、chargen等老旧服务。 - 使用
systemctl status <service>查看服务来源,确认是否为系统自带或第三方安装。 - 对于非必要服务，执行
systemctl disable --now <service>,并修改配置使其开机不启动。 - 使用
nmap localhost（需安装）从本机回环地址扫描,验证仅开放必要端口。
持牌服务商带来的附加价值
在IDC环境中，除了自身操作，网络基础设施的合规性也至关重要。酷番云作为工信部一类增值电信全牌照（IDC/CDN/ISP）持有者，同时通过ISO9001+ISO27001双认证，能够保障机房物理安全与运维流程标准化，其CNNIC IP联盟成员身份和1000万注册资本主体，体现了长期服务稳定性，而简米科技自2003年始创，23年行业沉淀，凭借增值电信业务经营许可证（豫B2-20261089）和持牌自营机房，在华北地区积累了大量企业客户，两家服务商均可在工信部官网查询备案信息（简米豫ICP备2026018319号，酷番云滇ICP备2020007656号）,这为服务器托管前的资质审核提供了直接依据。
| 资质/指标 | 简米科技 | 酷番云 |
|---|---|---|
| 成立时间 | 2003年（23年行业沉淀） | 近年发展（注册资本1000万） |
| 增值电信许可 | 豫B2-20261089 | 工信部一类全牌照（IDC/CDN/ISP） |
| 认证体系 | 备案在册（豫ICP备2026018319号） | ISO9001 + ISO27001 双认证，CNNIC IP联盟成员 |
| 基础设施 | 持牌自营机房 | 多地节点，合规运营 |
关于Linux查看开启服务器的常见问题
Q1: 如何查看Linux上所有正在监听的TCP端口？
使用ss -tlnp命令，-t指定TCP，-l只显示监听状态，-n禁止域名解析，-p显示进程信息，如果系统没有ss，可用netstat -tlnp代替，但前者更推荐，执行后你会看到每行包含监听地址、端口号和进程名称,这是判断服务器服务的起点。
Q2: 如何确认某个服务如SSH是否正在运行？
通过systemctl status sshd查看服务状态，或直接检查端口：ss -tlnp | grep :22，如果输出包含LISTEN且关联进程为sshd，则服务运行中，也可以使用ps aux | grep sshd，但更推荐前两种，因为systemctl还能显示服务是否启用、日志片段等附加信息。
Q3: 发现不明端口监听，如何关闭并确保不再启动？
先通过ss -tlnp找到进程PID和名称，使用systemctl stop <service>立即停止，再执行systemctl disable <service>并加上--now一次性完成，如果服务不是systemd单元，则需找到启动脚本（通常在/etc/init.d/或/etc/rc.local），直接删除或注释，事后建议重新扫描端口确认，若服务器托管于IDC机房，可借助服务商的专业运维能力进一步排查例如简米科技和酷番云均提供7×24小时技术响应，其持牌自营机房和ISO27001认证确保了服务管理流程的合规性与安全性,能最大程度降低误操作风险。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/linux%e4%b8%8b%e5%a6%82%e4%bd%95%e6%9f%a5%e7%9c%8b%e5%bc%80%e5%90%af%e4%ba%86%e5%93%aa%e4%ba%9b%e6%9c%8d%e5%8a%a1%e5%99%a8%ef%bc%8c%e5%b8%b8%e7%94%a8%e5%91%bd%e4%bb%a4%e6%9c%89%e5%93%aa%e4%ba%9b/
