关键不是只看应用日志，而是从内核和系统层面找“无声的证据”，如RST重置、超时丢弃、资源耗尽或防火墙干预，需结合dmesg、ss/netstat、sysctl参数及conntrack等多源线索综合排查。
排查 TCP 连接异常断开，关键不是只看应用日志，而是要从内核和系统层面找“无声的证据”——比如连接被重置、超时丢弃、资源耗尽或防火墙干预。Linux 本身不主动记录每次断连，但会在特定条件下留下可追溯的线索，集中在几个核心日志源和内核机制中。
检查 kernel 日志中的 TCP 重置与丢包痕迹
内核在强制关闭连接（如收到 RST）、触发超时重传失败、或因内存压力丢弃报文时，可能输出 warning 级别信息。使用 dmesg -T | grep -i "tcp\|reset\|drop\|oom" 快速筛选：
- "TCP: too many orphaned sockets"：表示 TIME_WAIT 或未释放连接过多，内核开始主动回收甚至发送 RST
- "Out of memory: Kill process ..." 或 "TCP: out of memory — consider tuning tcp_mem"：内存不足导致连接被静默终止
- "nf_conntrack: table full"：连接跟踪表溢出（常见于 NAT/iptables 环境），新连接或已有连接状态无法维护，引发断连
分析 netstat/ss 输出中的连接状态异常
运行 ss -tinp | grep :端口 或 netstat -tunlp，重点关注非正常状态：
- FIN_WAIT2 / CLOSE_WAIT 持续数分钟以上：对端未发 FIN 或本端未调用 close()，可能造成连接僵死并最终被内核清理
- TIME_WAIT 数量突增（>65535）：说明短连接高频发起，若 net.ipv4.tcp_tw_reuse=0 且端口耗尽，新连接会直接失败
- State = "UNKNOWN" 或无监听进程绑定：可能被防火墙拦截后连接未建立成功，或进程已崩溃但 socket 未释放
确认 sysctl 中影响连接稳定性的关键参数
某些内核参数会静默中断连接，尤其在网络抖动或高延迟场景下：
- net.ipv4.tcp_fin_timeout：默认 60 秒，若设得过小（如 5），TIME_WAIT 状态过早释放，可能干扰四次挥手完整性
- net.ipv4.tcp_keepalive_* 系列：keepalive_time 默认 7200 秒（2 小时），若业务心跳间隔 > 该值且中间设备（如云负载均衡）启用了更短空闲超时，连接会被单向切断
- net.ipv4.ip_local_port_range：若范围太窄（如 32768–60999），高并发短连接易端口耗尽，connect() 返回 EADDRNOTAVAIL
结合 auditd 或 conntrack 日志定位策略干预
若系统启用 iptables/nftables 或 firewalld，异常断连常源于规则主动拒绝或连接跟踪失效：
- 启用连接跟踪日志：echo 1 > /proc/sys/net/netfilter/nf_conntrack_log_invalid，再查 dmesg 是否出现 “nf_ct_tcp: invalid packet”
- 审计连接拒绝事件：auditctl -a always,exit -F arch=b64 -S connect -F exit=-113（EHOSTUNREACH）或 -F exit=-111（ECONNREFUSED）
- 检查 conntrack 表实时状态：conntrack -L | grep "timeout.*[0-9]$" | head -20，观察 ESTABLISHED 状态是否提前超时（如显示 timeout=30 而非默认 432000）
