netstat本身不直接显示“缓冲区溢出”，但可通过RcvQDrop（TCP）和receive buffer errors（UDP）精准定位协议栈级缓冲区满导致的丢包；前者需从/proc/net/snmp提取第19列，后者由netstat -s -u直接输出，二者均反映内核因接收队列满而静默丢包。
netstat 本身不直接显示“缓冲区溢出”这个状态，但它输出的统计字段能帮你定位是否发生了 TCP 或 UDP 接收缓冲区满导致的丢包——这才是实际业务中常说的“系统网络栈缓冲区溢出”问题。
TCP 缓冲区溢出的关键指标：RcvQDrop
真正反映 TCP socket 级接收队列满而丢包的计数是 RcvQDrop，它记录内核因 sk_receive_queue 已满而丢弃的 TCP 段总数。这个值不在 netstat -s 的默认可读字段里，但可通过以下方式获取：
- 执行
grep Tcp /proc/net/snmp | awk '{print $19}'，输出即为 RcvQDrop 累计值（第19列） - 该值只增不减，重启清零；若在业务高峰期明显跳升，说明应用读取太慢或接收缓冲设置不合理
- 注意：它不区分是单个连接满，还是全局内存压力导致内核主动收缩缓冲区
UDP 缓冲区溢出的两个信号
UDP 无连接、无重传，溢出表现为静默丢包，需同时看两个字段：
-
receive buffer errors：socket 接收缓冲区满导致丢包。用
netstat -s -u查看，持续增长说明应用读取滞后或net.core.rmem_default过小 -
packet receive errors：不是缓冲区满，而是校验失败、端口无监听等底层错误。若该值高，先用
ss -uln | grep :端口确认 UDP 端口是否真有进程监听
结合 ss 查看实时缓冲区堆积
netstat -s 是累计统计，要确认当前是否存在堆积，得看每个连接的实时状态：
-
ss -i或ss -tnl显示 Recv-Q 和 Send-Q 列 - Recv-Q 长期 > 0 且缓慢上涨 → 应用读取慢；突然归零又暴涨 → 可能卡顿后恢复，期间若缓冲满就会触发 RcvQDrop
- Send-Q 高通常代表对端 ACK 延迟或网络拥塞，不直接指向本机缓冲区问题
别混淆硬件层和协议栈层丢包
看到丢包不能只盯 netstat -s，要分清来源层级：
- 网卡 Ring Buffer 溢出 →
ethtool -S eth0 | grep rx_fifo或netstat -i中 RX-DRP 字段上升 - 协议栈软件层丢包 → RcvQDrop（TCP）、receive buffer errors（UDP）
- 两者可能共存，但调优方向完全不同：前者调网卡缓冲大小（
ethtool -G），后者调 socket 参数（rmem_max、tcp_rmem）或优化应用读取逻辑
