linux端口连接数

1. Linux系统中如何查看TCP连接数

本文详细介绍如何在Linux系统中查看TCP连接数。以下内容分为几部分：查看哪些IP连接本机、查看TCP连接数，以及如何合理设置Apache HTTPD的最大连接数。

一、查看哪些IP连接本机

在Linux系统中，可以使用命令行工具来查找与本机建立连接的IP地址。

二、查看TCP连接数

1) 统计80端口连接数

使用以下命令来统计与80端口相关的连接总数：

netstat -an | grep "80" | wc -l

2）统计httpd协议连接数

若需查看特定协议（如httpd）的连接数，可以使用类似的方法进行筛选：

netstat -an | grep "httpd" | wc -l

3）、统计已连接上的，状态为"established"

要查看已建立的TCP连接数量，可以使用：

netstat -an | grep "ESTABLISHED" | wc -l

4)、查出哪个IP地址连接最多,将其封了.

查找连接数最多的IP地址，可以结合上文方法进行：

netstat -an | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr

1、查看apache当前并发访问数：

对比httpd.conf中MaxClients的数字差距，以了解当前并发访问情况。

2、查看有多少个进程数：

可以使用ps或top命令来查看Apache进程数量，这有助于了解当前处理请求的负载。

使用如下参数查看数据：

netstat -an | wc -l

统计httpd进程数（即prefork模式下Apache能够处理的并发请求数）：

这表示Apache能够处理的最大并发请求数，通常与系统资源、配置参数及负载情况相关。

在遇到大量TIME_WAIT状态的连接时，可以调整内核参数解决这一问题。

例如，编辑内核参数文件，加入以下内容：

net.ipv4.tcp_tw_reuse = 1

net.ipv4.tcp_fin_timeout = 10

net.ipv4.tcp_keepalive_time = 600

net.ipv4.tcp_keepalive_probes = 3

net.ipv4.tcp_keepalive_intvl = 75

然后执行 /sbin/sysctl -p 让参数生效。

下面附上TIME_WAIT状态的意义：

客户端与服务器端建立连接后关闭SOCKET后，服务器端连接的端口状态为TIME_WAIT。

并非所有执行主动关闭的socket都会进入TIME_WAIT状态，存在特定情况可以使主动关闭的socket直接进入CLOSED状态。

主动关闭的一方在发送最后一个ack后进入TIME_WAIT状态，停留2MSL时间。这是TCP/IP设计的一部分，旨在防止上一次连接中的包迷路后重新出现，影响新连接。

此外，TCP/IP设计者考虑了两个关键原因：防止上一次连接中的重复包影响新连接，以及确保可靠的关闭TCP连接。主动方发送的最后一个ack(fin)可能丢失，被动方重新发送fin时，如果主动方处于CLOSED状态，就会响应rst而不是ack。因此，主动方要处于TIME_WAIT状态，而不是CLOSED状态。

设置Apache HTTPD的最大连接数时，应考虑服务器资源限制，如CPU、内存、带宽等。可以通过执行以下命令查看当前连接数：

netstat -an | grep "LISTEN" | wc -l

在Linux中，MaxClients默认最大为250，超过这个值可以通过显式设置ServerLimit来调整，且ServerLimit应不小于MaxClients。

合理设置MaxClients值时，建议先根据服务器硬件性能和当前资源使用情况进行评估，避免因设置过高而导致内存泄露等问题。

在实际操作中，可以结合性能测试和监控工具，逐步调整MaxClients值，以找到最优化的设置，确保服务器在高负载情况下仍能保持稳定运行。

2. Linux系统如何确认是否遭受CC攻击

在Linux系统中，可以通过以下步骤来确认是否遭受CC攻击：

1. 检查80端口的连接数：

   • 使用命令netstat nat|grep i 80|wc l来显示活跃的连接数量。
   • 如果结果异常增多，可能表明系统正在遭受CC攻击。

2. 查看每个IP的连接数：

   • 使用命令netstat ntu | awk '{print $5}' | cut d: f1 | sort | uniq c | sort n来排序每个IP的连接数。
   • 高连接数的IP可能是攻击源。

3. 检查TCP连接状态：

   • 使用命令netstat nat | awk '{print $6}' | sort | uniq c | sort rn来找出连接状态异常的连接。
   • 异常状态的连接可能表明正在遭受攻击。

4. 查看所有TCP状态的连接数：

   • 使用命令如netstat n | awk '/^tcp/ {++S[$NF]}; END {for print a, S[a]}或netstat n | awk '/^tcp/ {++state[$NF]}; END {for print key, "t", state[key]}。
   • 异常状态的连接数增多可能表明攻击。

5. 列出每个IP的连接数：

   • 使用命令netstat n | awk '/^tcp/ {++arr[$NF]}; END {for print k, "t", arr[k]}。
   • 高频率连接的IP值得怀疑，可能是攻击源。

6. 查看非本地连接和80端口连接最多的IP：

   • 使用命令netstat ant | awk '{print $NF}' | grep v [az] | sort | uniq c查看所有非本地连接。
   • 使用命令netstat anlp | grep 80 | grep tcp | awk '{print $5}' | awk F: '{print $1}' | sort | uniq c | sort nr | head n20查看80端口连接最多的前20个IP。
   • 连接数异常多的IP可能是攻击源。

7. 检查SYN_RECV状态：

   • 使用命令netstat an | grep SYN_RECV | awk '{print $5}' | awk F: '{print $1}' | sort | uniq c | sort nr。
   • 如果SYN_RECV状态数量过多，可能是SYN洪水攻击的迹象，这也是CC攻击的一种形式。

通过上述步骤，结合对系统知识的理解，可以有效地检测Linux系统是否遭受CC攻击。如果确认遭受攻击，可以使用iptables等命令封堵可疑IP，并采取相应的安全措施。