ss比netstat更准更快，因其直接读取内核socket子系统数据，而netstat需解析/proc/net/tcp文本，开销大且易受格式影响；新系统默认不装net-tools，ss是现代首选。
直接看结论：用 ss -tan 统计最准、最快，netstat 在新系统上默认不可用且慢，别硬扛。
为什么 ss 比 netstat 更适合查 TCP 状态数量
ss 直接从内核 socket 子系统读取数据，不走 /proc/net/tcp 的文本解析流程；而 netstat 是对 /proc/net/{tcp,tcp6} 做字符串扫描，开销大、易受格式变更影响。CentOS 8+/Ubuntu 18.04+ 默认不装 net-tools，强行装还可能和 systemd-resolved 冲突。
-
ss -tan state established | wc -l—— 查 ESTABLISHED 连接数（推荐） -
ss -tan state time-wait | wc -l—— 查 TIME-WAIT 数（常被忽略但影响端口复用） -
ss -tan state listen | wc -l—— 查监听中的端口数（注意：一个端口多个 IP 会算多次） - 加
-o可看到 timer 信息，比如onack或keepalive，对排查连接假死有用
netstat 还能用吗？哪些场景下必须用它
仅当你要看进程名（-p）且没权限跑 ss -tulp（需要 root 或 cap_net_admin），或者调试老脚本兼容性时才考虑 netstat。但要注意：
-
netstat -an | grep -i "established" | wc -l会漏掉状态字段带空格的变体（如ESTABLISHED和ESTABLISHED尾部空格） -
netstat -ant | awk '$NF ~ /^[a-zA-Z]+$/ {print $NF}' | sort | uniq -c才能真正按状态分类统计，但效率低 - 在容器里跑
netstat很可能报command not found，因为基础镜像（alpine、distroless）根本不含它
按状态精确分类统计的可靠写法（ss + awk）
要一次性列出所有 TCP 状态及数量，避免手工 grep 多次，用这个：
ss -tan | awk '{print $1}' | sort | uniq -c | sort -nr
说明：
-
$1是ss -tan输出的第一列，即状态（如ESTAB、TIME-WAIT、LISTEN） - 注意
ss缩写状态名：ESTAB≠ESTABLISHED，FIN-WAIT-1中的短横是字面量，不能写成下划线 - 如果想过滤掉本地回环连接，加
| grep -v "127.0.0.1\|::1"在管道中 -
ss -s能快速总览（含 memory usage），但不按状态细分，适合初步判断是否异常膨胀
容易被忽略的陷阱：IPv4/IPv6 混合统计与端口复用
默认 ss -tan 同时包含 IPv4 和 IPv6 连接，但很多服务（如 Nginx）监听 :::80 时，一个连接会同时出现在 tcp 和 tcp6 中——导致重复计数。解决办法：
- 只看 IPv4：
ss -tan4；只看 IPv6：ss -tan6 - 确认是否启用了
net.ipv6.bindv6only=0（默认值），这会让 IPv6 socket 同时接受 IPv4 连接，此时必须用-4避免 double-count - TIME-WAIT 过多时，别急着调
net.ipv4.tcp_tw_reuse，先确认是不是客户端主动断连（如 HTTP keep-alive 关闭不当）
真实环境里，状态分布比总数更重要；比如大量 SYN-RECV 可能是 SYN Flood，大量 LAST-ACK 通常意味着对端没正确响应 FIN。
