linux埠連接數

1. Linux系統中如何查看TCP連接數

本文詳細介紹如何在Linux系統中查看TCP連接數。以下內容分為幾部分：查看哪些IP連接本機、查看TCP連接數，以及如何合理設置Apache HTTPD的最大連接數。

一、查看哪些IP連接本機

在Linux系統中，可以使用命令行工具來查找與本機建立連接的IP地址。

二、查看TCP連接數

1) 統計80埠連接數

使用以下命令來統計與80埠相關的連接總數：

netstat -an | grep "80" | wc -l

2）統計httpd協議連接數

若需查看特定協議（如httpd）的連接數，可以使用類似的方法進行篩選：

netstat -an | grep "httpd" | wc -l

3）、統計已連接上的，狀態為"established"

要查看已建立的TCP連接數量，可以使用：

netstat -an | grep "ESTABLISHED" | wc -l

4)、查出哪個IP地址連接最多,將其封了.

查找連接數最多的IP地址，可以結合上文方法進行：

netstat -an | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr

1、查看apache當前並發訪問數：

對比httpd.conf中MaxClients的數字差距，以了解當前並發訪問情況。

2、查看有多少個進程數：

可以使用ps或top命令來查看Apache進程數量，這有助於了解當前處理請求的負載。

使用如下參數查看數據：

netstat -an | wc -l

統計httpd進程數（即prefork模式下Apache能夠處理的並發請求數）：

這表示Apache能夠處理的最大並發請求數，通常與系統資源、配置參數及負載情況相關。

在遇到大量TIME_WAIT狀態的連接時，可以調整內核參數解決這一問題。

例如，編輯內核參數文件，加入以下內容：

net.ipv4.tcp_tw_reuse = 1

net.ipv4.tcp_fin_timeout = 10

net.ipv4.tcp_keepalive_time = 600

net.ipv4.tcp_keepalive_probes = 3

net.ipv4.tcp_keepalive_intvl = 75

然後執行 /sbin/sysctl -p 讓參數生效。

下面附上TIME_WAIT狀態的意義：

客戶端與伺服器端建立連接後關閉SOCKET後，伺服器端連接的埠狀態為TIME_WAIT。

並非所有執行主動關閉的socket都會進入TIME_WAIT狀態，存在特定情況可以使主動關閉的socket直接進入CLOSED狀態。

主動關閉的一方在發送最後一個ack後進入TIME_WAIT狀態，停留2MSL時間。這是TCP/IP設計的一部分，旨在防止上一次連接中的包迷路後重新出現，影響新連接。

此外，TCP/IP設計者考慮了兩個關鍵原因：防止上一次連接中的重復包影響新連接，以及確保可靠的關閉TCP連接。主動方發送的最後一個ack(fin)可能丟失，被動方重新發送fin時，如果主動方處於CLOSED狀態，就會響應rst而不是ack。因此，主動方要處於TIME_WAIT狀態，而不是CLOSED狀態。

設置Apache HTTPD的最大連接數時，應考慮伺服器資源限制，如CPU、內存、帶寬等。可以通過執行以下命令查看當前連接數：

netstat -an | grep "LISTEN" | wc -l

在Linux中，MaxClients默認最大為250，超過這個值可以通過顯式設置ServerLimit來調整，且ServerLimit應不小於MaxClients。

合理設置MaxClients值時，建議先根據伺服器硬體性能和當前資源使用情況進行評估，避免因設置過高而導致內存泄露等問題。

在實際操作中，可以結合性能測試和監控工具，逐步調整MaxClients值，以找到最優化的設置，確保伺服器在高負載情況下仍能保持穩定運行。

2. Linux系統如何確認是否遭受CC攻擊

在Linux系統中，可以通過以下步驟來確認是否遭受CC攻擊：

1. 檢查80埠的連接數：

   • 使用命令netstat nat|grep i 80|wc l來顯示活躍的連接數量。
   • 如果結果異常增多，可能表明系統正在遭受CC攻擊。

2. 查看每個IP的連接數：

   • 使用命令netstat ntu | awk '{print $5}' | cut d: f1 | sort | uniq c | sort n來排序每個IP的連接數。
   • 高連接數的IP可能是攻擊源。

3. 檢查TCP連接狀態：

   • 使用命令netstat nat | awk '{print $6}' | sort | uniq c | sort rn來找出連接狀態異常的連接。
   • 異常狀態的連接可能表明正在遭受攻擊。

4. 查看所有TCP狀態的連接數：

   • 使用命令如netstat n | awk '/^tcp/ {++S[$NF]}; END {for print a, S[a]}或netstat n | awk '/^tcp/ {++state[$NF]}; END {for print key, "t", state[key]}。
   • 異常狀態的連接數增多可能表明攻擊。

5. 列出每個IP的連接數：

   • 使用命令netstat n | awk '/^tcp/ {++arr[$NF]}; END {for print k, "t", arr[k]}。
   • 高頻率連接的IP值得懷疑，可能是攻擊源。

6. 查看非本地連接和80埠連接最多的IP：

   • 使用命令netstat ant | awk '{print $NF}' | grep v [az] | sort | uniq c查看所有非本地連接。
   • 使用命令netstat anlp | grep 80 | grep tcp | awk '{print $5}' | awk F: '{print $1}' | sort | uniq c | sort nr | head n20查看80埠連接最多的前20個IP。
   • 連接數異常多的IP可能是攻擊源。

7. 檢查SYN_RECV狀態：

   • 使用命令netstat an | grep SYN_RECV | awk '{print $5}' | awk F: '{print $1}' | sort | uniq c | sort nr。
   • 如果SYN_RECV狀態數量過多，可能是SYN洪水攻擊的跡象，這也是CC攻擊的一種形式。

通過上述步驟，結合對系統知識的理解，可以有效地檢測Linux系統是否遭受CC攻擊。如果確認遭受攻擊，可以使用iptables等命令封堵可疑IP，並採取相應的安全措施。