Linux TCP连接状态迁移无内置时间戳，但可通过ss -ti查实时指标、eBPF tracepoint捕获精确切换事件、tcpdump结合报文推导时间线、/proc/net/tcp的jiffies估算存活时长四种方式间接观测。
Linux 中 TCP 连接的状态迁移本身没有内置时间戳记录机制，内核不默认保存每个连接从 A 状态到 B 状态的精确切换时刻。但可通过组合工具和内核能力，间接还原或近似观测状态迁移的时间线，适用于排查连接异常、定位卡顿点或分析握手/挥手延迟。
一、用 ss -i 查看单连接的实时生命周期指标
ss -ti 可显示活跃 TCP 连接的内核级统计信息，包括：
-
rtt：当前往返时延（毫秒） -
rto：重传超时时间 -
qloss：已丢包数 -
retrans：重传次数 -
lastsnd/lastrcv：最后发送/接收时间（相对启动以来的毫秒数） -
cwnd：拥塞窗口大小
✅ 适用场景：确认某 ESTABLISHED 连接是否长期无收发、是否存在 RTT 飙升或频繁重传 → 推断其可能正卡在 FIN_WAIT_2 或 CLOSE_WAIT 等状态。
示例：
ss -tien | grep ":8080" | head -1
输出中lastsnd:1245678表示该连接启动后约 1.25 秒发过数据；若lastrcv停滞不动，结合state字段为ESTABLISHED，说明应用层可能阻塞未读。
二、用 eBPF tracepoint 捕获真实状态切换事件
内核自 4.16+ 提供 inet_sock_set_state tracepoint，可在每次 TCP 状态变更时触发，记录：
- socket 地址、四元组（源/目的 IP+端口）
- 旧状态 → 新状态
- 切换发生时间（纳秒级高精度）
✅ 适用场景：精准还原某次连接的完整迁移路径（如 SYN_SENT → ESTABLISHED → FIN_WAIT1 → FIN_WAIT2 → TIME_WAIT），并计算各阶段耗时。
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
简化脚本示意（需 root + bpftrace）：
bpftrace -e 'tracepoint:net:inet_sock_set_state { printf("%s -> %s [%s:%d → %s:%d] %dms\n", args->oldstate, args->newstate, args->saddr, args->sport, args->daddr, args->dport, nsecs / 1000000); }'
⚠️ 注意：需启用 CONFIG_TRACING，且生产环境需评估性能开销。
三、用 tcpdump + 状态标记反向推导时间线
TCP 协议本身通过报文显式携带状态信号：
-
SYN→ 触发SYN_SENT（客户端）或SYN_RECV（服务端） -
SYN+ACK→ 客户端进ESTABLISHED，服务端进ESTABLISHED -
FIN→ 触发FIN_WAIT1（发送方）或CLOSE_WAIT（接收方） -
ACK of FIN→ 发送方进FIN_WAIT2，接收方仍CLOSE_WAIT - 第二个
FIN→ 接收方进LAST_ACK，发送方进TIME_WAIT
✅ 适用场景：抓取特定连接（如 host 192.168.1.100 and port 3000），用 Wireshark 时间列对齐报文，即可人工标出各状态起始时刻。
小技巧：
tcpdump -i any -nn -ttt "tcp and (host A and port B)" -w conn.pcap
导入 Wireshark 后，右键报文 → “Follow → TCP Stream”，自动高亮三次握手与四次挥手。
四、用 /proc/net/{tcp,tcp6} 的 jiffies 字段估算存活时长
/proc/net/tcp 每行末尾有 jiffies 字段（如 12345678），表示该 socket 被创建后经过的内核滴答数（通常 1 jiffy ≈ 10ms）。虽不能直接反映状态迁移，但可判断：
-
LISTENsocket 的 jiffies 值极大 → 长期监听，正常 -
TIME_WAITsocket 的 jiffies 值接近2*MSL*jiffies_per_sec（默认 120000ms → ~12000 jiffies）→ 即将回收 -
CLOSE_WAITsocket jiffies 持续增长且无变化 → 应用未调用close()，泄漏确认
查看方式：
awk '{print $1,$10}' /proc/net/tcp | head -10
第 10 列即 jiffies（十六进制，需printf "%d\n" 0x1a2b3c转十进制）
状态迁移时间线不是“开箱即用”的监控项，而是需要按需组合观测手段。
对大多数运维场景，ss -ti + bpftrace 抓关键连接 + tcpdump 验证异常路径，已足够定位问题根因。
