| 状态分布 | ESTAB/SYN-SENT/TIME-WAIT 计数 |
|---|---|
| 对端聚合 | 按远端地址计数排序 |
| 端口聚合 | 按远端端口计数排序 |
| 过滤 | 排除 127.0.0.1 与已知内网服务 |
三组聚合命令
三组聚合命令
ss -ant | awk 'NR>1{print $1}' | sort | uniq -c | sort -rn
ss -ant | awk 'NR>1{print $5}' | sed 's/:[0-9]*$//' | sort | uniq -c | sort -rn | head -n 20
ss -ant | awk 'NR>1{print $5}' | sed 's/.*://' | sort | uniq -c | sort -rn | head -n 20TIME-WAIT 数量巨大通常意味着短连接风暴：扫描、回连重试或压测。