最稳命令是ss -tn state all | awk '{print $NF}' | sort | uniq -c | sort -nr，它比netstat更快更准且不依赖额外包，能完整统计所有TCP状态数，避免grep模糊匹配和字段偏移问题。
查 TCP 各状态连接数用什么命令最稳
直接跑 ss -tn state all | awk '{print $NF}' | sort | uniq -c | sort -nr，比 netstat 快、准、不依赖额外包。它把每行最后一列（即状态）抽出来计数，state all 确保不漏掉任何状态，sort -nr 让 ESTABLISHED、TIME_WAIT 这类高频状态排在前面。
常见错误是只写 ss -tn 不加 state all，某些内核版本下默认只显示部分状态；也有人用 netstat -an | awk '/^tcp/ {print $6}' | sort | uniq -c，但高并发时 netstat 解析慢、CPU 占用高，万级连接下延迟明显。
如果系统连 ss 都没有（比如 Alpine 容器），就去读 /proc/net/tcp：awk '$4 ~ /^0[1-9A-F]$/ {++s[$4]} END {for (k in s) print k, s[k]}' /proc/net/tcp。这里 $4 是十六进制状态码，01 = ESTABLISHED，06 = TIME_WAIT，0A = LISTEN —— 别硬记，查 man 7 tcp 或搜 “linux tcp state hex” 就能确认。
统计 ESTABLISHED 连接数为什么不能只看 netstat -na | grep established
大小写敏感，且容易误匹配：比如 established 可能被 established_time 或日志里其他字段带出来。更糟的是，有些输出里状态列是 ESTABLISHED（全大写），有些是 established（小写），取决于内核版本或工具实现。
正确做法是强制统一过滤：
-
ss -tn state established | wc -l——state established是 ss 的原生语法，不区分大小写，也不怕字段偏移 -
netstat -tn | awk '$6 == "ESTABLISHED" {++n} END {print n+0}'—— 用$6锁定第六列，避免 grep 模糊匹配 - 别用
netstat -l查活跃连接，它只列 LISTEN，和 ESTABLISHED 完全是两回事
按端口或 IP 统计连接分布时 sport/dport 别写反
服务端视角看自己监听的连接，用 sport（source port）；客户端视角看自己连出去的目标端口，用 dport（destination port）。很多人查 Web 服务连了多少人，却写了 ss -tn dport :80，结果统计的是“本机主动连了哪些 80 端口”，不是“别人连了本机的 80 端口”。
实操建议：
- 查本机 80 端口被连了多少次：
ss -tn state established sport :80 | wc -l - 查哪个远程 IP 连得最多：
ss -tn state established sport :80 | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | head -10 - 排除 IPv6 干扰：
ss -tn state established sport :80 | grep -v '\[.*\]' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr
注意 $5 是 ss 输出里的第五列，格式为 192.168.1.100:12345，所以用 cut -d: -f1 提取 IP；如果服务绑定了多个 IP，可用 ss -tn dst 192.168.1.100:80 限定目标地址。
高并发下统计不准或卡顿，优先换 ss + 减少管道层级
当连接数上万时，netstat -an | grep ESTABLISHED | wc -l 可能卡住几秒，因为 netstat 要遍历所有 socket 并做字符串解析；而 ss 直接从内核 socket 表读取，结构化输出，快 3–5 倍。
性能优化要点：
- 避免多层
grep套娃，比如ss -tn | grep established | grep :80 | wc -l，改用ss -tn state established sport :80 | wc -l - 不用
awk '{print $5}' | awk -F: '{print $1}'这种重复切分，一次awk足够：awk '{split($5,a,":"); print a[1]}' - 实时监控别用
watch -n1 'netstat -an | grep ESTABLISHED | wc -l'，换成watch -n1 'ss -tn state established | wc -l'
真正难处理的是 TIME_WAIT 大量堆积——它不算活跃连接，但会占文件描述符。单独查它：ss -tn state time-wait | wc -l，再结合 sysctl net.ipv4.tcp_tw_reuse 看是否可复用，而不是光盯着 ESTABLISHED 数字猛刷。
