并发连接数需按端口、来源及状态阶段区分统计，重点监控ESTABLISHED、SYN_RECV、TIME_WAIT三类状态；netstat需结合时间窗口与状态分布分析，不可单凭ESTABLISHED总数评估负载。
明确统计目标与关键指标
并发连接数不是简单看当前 ESTABLISHED 状态总数，而是要区分服务端口、连接来源、连接生命周期阶段。Netstat 本身不提供实时并发峰值或负载评估能力，需结合时间窗口、连接状态分布、本地端口复用情况综合判断。重点观察 ESTABLISHED（已建立）、TIME_WAIT（主动关闭后等待重用）、SYN_RECV（半连接，反映潜在 SYN Flood 或连接堆积）三类状态。
基础统计：按端口聚合活跃连接
用以下命令快速获取指定服务端口（如 8080）的连接数分布：
netstat -ant | awk '$4 ~ /:8080$/ && $6 ~ /^(ESTABLISHED|SYN_RECV|TIME_WAIT)$/ {print $6}' | sort | uniq -c | sort -nr
说明：
- -a 显示所有连接，-n 禁用域名解析提速，-t 仅 TCP
- $4 ~ /:8080$/ 匹配本地监听端口为 8080（注意冒号位置）
- $6 是状态字段，只统计关键状态避免干扰
- 可替换 8080 为变量，适配不同服务
轻量级并发趋势采集（无需额外工具）
每秒采样一次，持续 10 秒，输出最小/最大/平均 ESTABLISHED 数：
for i in $(seq 1 10); do netstat -ant | awk '$4 ~ /:8080$/ && $6 == "ESTABLISHED" {count++} END{print count+0}'; sleep 1; done | awk '{sum += $1; if (!min || $1 max) max = $1} END{printf "min:%d max:%d avg:%.1f\n", min, max, sum/NR}'
该脚本可嵌入监控循环，用于发现短时脉冲型高并发。
自动负载评估逻辑建议
单纯连接数不能直接等价于负载，需结合服务特性设定阈值并分层判断：
- 低风险：ESTABLISHED
- 中风险：ESTABLISHED 持续 > 200 或 SYN_RECV > 5 → 检查应用响应延迟与线程池使用率
- 高风险：ESTABLISHED 波动剧烈 + TIME_WAIT 占比 > 60% → 可能存在客户端异常断连或服务端未正确复用连接
可在脚本中用 if/elif/fi 实现上述判断，并触发日志记录或邮件通知（配合 mail 或 curl 调用告警接口）。
