Linux作为服务器和开发环境的核心操作系统，网络进程管理是运维和开发人员的必备技能，通过查看网络进程，可以快速定位端口占用、排查异常连接、监控进程网络行为，甚至发现潜在的安全威胁，本文将系统介绍Linux查看网络进程的常用命令、工具及实际应用场景,帮助读者掌握从基础到进阶的监控方法。
基础命令：netstat与ss——网络连接的“第一视角”
查看网络进程最常用的工具是netstat和ss，两者均可显示系统中的网络连接状态、端口占用及关联进程。netstat作为传统工具，参数丰富且兼容性好；而ss是Linux内核3.5+引入的替代工具，性能更优，尤其在处理大量连接时优势明显。
netstat的常用参数包括：
-t：显示TCP连接-u：显示UDP连接-n：以数字形式显示地址和端口（避免域名解析延迟）-p：显示关联的进程ID（PID）和程序名-l：仅显示监听端口-a：显示所有连接（包括监听和非监听）
netstat -tanp | grep :80可查看所有TCP连接中80端口的占用情况，输出结果包含本地地址、外部地址、状态及PID/程序名，便于快速定位占用端口的进程。
ss的参数与netstat高度兼容，但默认显示更简洁，且支持更多协议（如UNIX域套接字）。ss -tlnp可直接显示所有监听的TCP端口及关联进程，相比netstat无需加-a参数即可显示完整连接信息。ss支持-4（仅IPv4）、-6（仅IPv6）、-s（显示协议统计）等参数，适合更精细的网络分析。
对比：netstat适合兼容旧系统，而ss在性能和功能上更优，推荐优先使用ss。
进阶工具：lsof与nmap——从“文件”与“端口”切入
当需要从“文件描述符”或“端口服务”角度分析网络进程时，lsof（list open files）和nmap（网络探测工具）是更灵活的选择。
lsof的核心功能是列出系统打开的文件，而网络连接本质上是套接字文件，因此可通过lsof查看进程的网络连接。
lsof -i :80：查看80端口的所有连接及关联进程lsof -i TCP -i UDP：显示所有TCP和UDP连接lsof -c nginx：查看nginx进程的所有网络连接
lsof的优势在于支持按进程名、PID、用户、IP等多维度过滤，例如lsof -i @192.168.1.100可查看与特定IP的连接。
nmap主要用于端口扫描和服务识别，但结合ss或lsof可快速定位进程，通过nmap -sV -p 1-1000 localhost扫描本地前1000个端口，并识别服务类型（如HTTP、SSH），再通过ss -tlnp | grep 80确认80端口对应的进程，判断是否为正常服务（如Apache或Nginx），对于异常端口（如非标准端口），nmap的服务识别功能可帮助判断是否为恶意程序。
实时监控：htop与iftop——动态掌握网络流量
静态查看网络进程无法实时反映系统状态，此时需借助实时监控工具htop和iftop。
htop是增强版进程管理工具，默认显示进程的CPU、内存占用，但可通过配置添加“网络”列，在htop界面按F2进入设置，选择“Display options”添加“NETWORK”列，即可实时查看各进程的网络发送（TX）和接收（RX）字节数，通过排序功能（按TX或RX降序），可快速定位高流量进程，例如发现某进程突然占用大量带宽，可能是恶意程序或配置异常。
iftop专注于网络带宽监控，可实时显示各IP、端口的流量情况，常用参数包括：
-i：指定监控网卡（如iftop -i eth0）-P：显示端口信息-n：不解析域名，直接显示IP-t：非交互模式，适合输出到日志文件
运行iftop后，界面会实时显示源IP、目标IP、总流量及实时速率，按T可切换显示模式（如按端口排序），发现某外部IP与服务器高频通信，且流量异常，可结合ss -t | grep IP确认连接状态，再通过lsof -i IP定位关联进程。
内核视角：/proc与netstat -s——深入网络协议细节
Linux内核通过/proc文件系统暴露系统运行时信息，网络协议的详细数据可通过/proc/net/目录下的文件查看，而netstat -s则提供协议级别的统计信息。
/proc/net/目录包含多个网络相关文件：
/proc/net/tcp：TCP连接状态（如ESTABLISHED、TIME_WAIT），每行对应一个连接，包含本地地址、端口、远程地址、状态及进程PID（通过inode关联/proc/PID/fd/）/proc/net/udp：UDP连接信息/proc/net/sockstat：协议统计（如TCP连接数、UDP套接字数）
通过cat /proc/net/tcp | awk '{print $6}' | sort | uniq -c可统计各TCP状态的连接数量，若发现TIME_WAIT状态连接过多，可能是服务器短连接频繁导致，需优化配置（如调整tcp_max_tw_buckets参数）。
netstat -s显示更详细的协议统计，例如netstat -s -tcp可查看TCP连接建立次数（主动连接、被动连接）、重传次数、超时次数等，若重传次数过高，可能表明网络质量差或服务器负载过高,需进一步排查。
实际应用场景：从排查到优化
掌握上述工具后，可应对多种实际场景：
-
端口占用排查
部署服务时提示“端口被占用”，执行ss -tlnp | grep :端口号，查看占用进程的PID和程序名，若为无用进程（如僵尸进程），可通过kill PID终止；若为关键进程，需修改服务配置更换端口。 -
异常连接检测
服务器响应缓慢时，通过iftop发现某IP占用大量带宽，执行ss -t | grep IP查看连接状态，若为大量ESTABLISHED连接且无正常业务，可能是DDoS攻击，需通过防火墙（如iptables）封禁IP。 -
进程网络行为监控
怀疑某进程存在异常联网（如挖矿程序），通过htop监控其网络流量，结合lsof -i -p PID查看其连接的目标IP，若为未知域名或恶意IP，可终止进程并查杀病毒。 -
性能优化
通过netstat -s发现TCP连接超时次数过高，检查服务器内核参数（如tcp_keepalive_time），优化保活机制；或通过iftop定位到P2P软件占用带宽，通过tc命令限制其带宽优先级。
Linux查看网络进程需结合多种工具：ss和netstat适合快速查看连接状态，lsof和nmap支持多维度过滤，htop和iftop实现实时监控，/proc和netstat -s提供内核级细节，实际操作中，应根据场景选择工具：排查端口占用优先用ss，实时流量监控依赖iftop，深入分析需结合/proc文件系统，需注意操作权限（如netstat -p需root权限才能显示进程名），避免误杀关键进程，熟练掌握这些工具，能显著提升网络管理效率,保障系统稳定运行。
