必须直接读取内核ESTABLISHED连接总数来反映真实并发压力；用ss -tn state established | wc -l精准获取，不可省略state established过滤；按端口统计需加'dport == :80'或用awk兼容老内核；ss -s命令可零开销查看estab数值。
要快速掌握服务器当前真实承载的并发压力，必须跳过进程数、端口数等间接指标，直接读取内核维护的 ESTABLISHED 状态连接总数——这才是此刻正在传输数据的活跃 TCP 通道数。
用 ss 命令查实时 ESTABLISHED 连接总数
执行：ss -tn state established | wc -l
这一步操作起来很简单，直接回车即可出结果。ss 是内核级接口直取，比 netstat 快且不卡顿，尤其在连接数超万时差异明显。
注意：不要漏掉 state established 这个关键过滤条件。若只写 ss -tn | wc -l，会把 LISTEN、TIME_WAIT、SYN_RECV 全部计入，数值虚高 3～10 倍，完全失去参考价值。
按 Web 服务端口精准统计（如 80/443）
方法一：过滤目标端口 + ESTABLISHED 状态
执行：ss -tn 'dport == :80' state established | wc -l
单引号必须保留，否则 shell 会把冒号或 == 当作语法符号解析报错。
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
方法二：兼容老内核（如 RHEL 6）
执行：ss -tn | awk '$5 ~ /:80$/ && $NF ~ /^ESTAB/' | wc -l
这个写法绕过 dport 语法限制，靠匹配第五列末尾是 :80 且最后一列以 ESTAB 开头来识别，适用于 ss 版本低于 3.2 的系统。
一次性查看所有 TCP 状态分布
第一步：运行完整状态统计命令ss -s
第二步：重点看输出中 tcp: 行后的 estab 数值，例如 tcp: estab 1242, closed 8947, orphaned 0, synrecv 3 —— 这里的 1242 就是当前 ESTABLISHED 连接数，无需 grep 或 wc，零解析开销。
第三步：若需更细粒度，用 ss -tn state all | awk '{print $1}' | sort | uniq -c | sort -nr 查各状态原始计数，但日常监控用 ss -s 足够。
