服务器IP管理是网络运维与安全监控的基础环节,其核心在于精准识别服务器自身的网络身份以及实时追踪外部客户端的连接来源，要实现这一目标，运维人员需要掌握操作系统底层命令、网络配置工具以及应用层日志分析的综合技能。查看服务器IP主要分为两个维度：一是查看服务器本机的公网及内网IP地址，二是查看当前正在连接该服务器的客户端IP地址。 这不仅涉及基础的网卡配置查询，还涵盖了端口监听状态分析和反向代理环境下的真实IP提取。
查看服务器本机的IP地址
服务器本机IP分为内网IP（私有地址）和公网IP（面向互联网的地址），准确获取这两类地址是配置防火墙、DNS解析以及实现远程连接的前提。
Linux系统下的IP查看
在Linux服务器中,传统的ifconfig命令已被更现代的ip命令取代，但两者依然广泛使用。
- 查看所有网卡信息： 使用
ip addr或ip a命令，该命令会列出服务器上所有网络接口的详细信息，运维人员需要重点关注eth0、ens33或ens160等主网卡，输出信息中的inet字段即为服务器的内网IP地址。 - 仅查看IP地址： 为了提高效率，可以使用
ip addr show | grep inet进行过滤，快速定位IP行，排除冗余信息。 - 查看公网IP： 服务器自身通常并不直接知晓公网IP，因为它位于NAT网关后，最权威的方法是向外部发起请求，使用
curl ifconfig.me或curl cip.cc，这些命令会返回当前互联网出口的公网IP，是验证NAT配置是否正确的关键步骤。
Windows系统下的IP查看
Windows Server环境主要通过图形界面和命令行工具进行管理。
- 命令行查询： 使用
cmd执行ipconfig /all，该命令能提供详尽的网卡配置，包括IPv4地址、子网掩码、默认网关以及DNS服务器，对于配置了静态IP的服务器，这里显示的信息即为最终确认的配置结果。 - PowerShell查询： 更现代的方式是使用PowerShell命令
Get-NetIPAddress -AddressFamily IPv4，它能以结构化的列表形式返回所有网卡的IPv4配置，便于脚本化处理。
查看连接到服务器的客户端IP
除了知道“我是谁”，服务器运维更重要的是知道“谁在连我”，这需要分析当前的TCP连接状态和端口监听情况。
使用netstat和ss命令
netstat是经典的网络统计工具，而ss（Socket Statistics）是Linux下更高效、更快的替代品，能够处理海量并发连接。
- 查看所有连接： 执行
ss -ant或netstat -ant，可以列出所有TCP连接，输出列表中的Foreign Address列显示了客户端的IP和端口。 - 查看特定端口连接： 如果想看谁在访问Web服务（如80端口），可以使用
ss -antp | grep :80，这里的p参数至关重要，它能显示连接对应的进程名称（如nginx或httpd），帮助运维人员确认服务归属。 - 筛选ESTABLISHED状态： 仅关注已建立的连接，使用
ss -ant state established，这能过滤掉握手中的半连接，直接看到正在与服务器交换数据的真实客户端IP。
实时监控连接
对于需要实时排查攻击或流量的场景,可以使用watch命令配合ss，例如watch -n 1 'ss -ant'，每秒刷新一次连接列表，动态观察客户端IP的变化。
Web服务器日志与真实IP获取
在Web服务场景下,直接读取TCP连接往往不够，因为现代架构通常包含负载均衡（如Nginx、HAProxy）或CDN，服务器看到的“客户端IP”往往是上一层代理的IP，而非真实用户IP。
分析Nginx/Apache访问日志
Web服务器的访问日志（Access Log）是获取客户端IP的核心数据源。
- Nginx日志： 默认配置下，Nginx日志中的
$remote_addr变量记录了直接连接的客户端IP，日志格式通常为$remote_addr $remote_user [$time_local] "$request" ...，运维人员可以使用tail -f /var/log/nginx/access.log实时追踪访问记录。 - Apache日志： 同样在
access.log中，第一列即为客户端IP。
获取经过代理的真实IP
当服务器前端有Cloudflare、阿里云CDN或Nginx反向代理时，必须依赖HTTP头字段来获取真实IP。
- X-Forwarded-For (XFF)： 这是一个标准的HTTP头，用于记录原始客户端IP以及经过的每一级代理IP。
X-Forwarded-For: 203.0.113.1, 70.41.3.18，其中最左边的0.113.1是真实用户IP。 - 配置调整： 在Nginx中，需要安装
http_realip_module模块，并设置set_real_ip_from指令信任上一级代理的网段，然后使用real_ip_header X-Forwarded-For;指令，这样，Nginx日志中的$remote_addr就会自动被替换为真实用户IP，极大提升安全审计的准确性。
系统登录与安全审计
除了网络连接,运维人员还需要关注系统层面的登录IP，以防止暴力破解。
- 查看当前登录用户： 使用
w或who命令，这两个命令会列出当前登录到系统的用户及其来源IP（FROM字段），如果发现来自陌生IP的root用户登录，应立即触发安全预警。 - 查看登录历史： 使用
last命令，该命令读取/var/log/wtmp文件，显示系统重启以来的所有登录记录，包括成功登录的时间、IP和持续时间，配合lastb命令，可以查看所有登录失败的记录，这是分析SSH暴力破解攻击源IP的主要手段。
常见问题与专业解决方案
在实际操作中,可能会遇到IP显示异常或无法解析的情况。
- IP显示为::1： 这代表IPv6的本地回环地址，即本机访问本机，如果Web日志中全是这个IP，说明服务未正确监听外部网卡，或防火墙拦截了外部流量。
- DNS反向解析慢： 某些工具（如
netstat）默认会尝试解析IP为主机名，导致命令执行缓慢，解决方法是始终加上-n参数（如netstat -antn），禁止DNS解析，直接显示数字IP。 - 自动化脚本： 为了提升效率，建议编写Shell脚本，组合使用
ip、ss‘和awk命令，一键提取出“本机IP”、“连接数最高的客户端IP”以及“最近登录失败的IP”，实现服务器健康状态的快速体检。
相关问答
Q1：为什么在Nginx日志中看到的客户端IP全是负载均衡器的IP，如何获取真实用户IP？
A： 这是因为Nginx直接接收的是来自负载均衡器的连接，要获取真实IP，需要确保负载均衡器在转发请求时添加了X-Forwarded-For头，然后在Nginx配置文件中，使用$http_x_forwarded_for变量替换默认的$remote_addr进行日志记录，或者配置real_ip_header模块来自动覆盖变量。
Q2：如何在Linux服务器上快速找出连接数最多的IP地址，用于排查DDoS攻击？
A： 可以使用netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr这条命令组合，它会提取所有TCP和UDP连接的IP，去重并统计出现次数，最后按降序排列，排在第一的IP通常就是攻击源或流量源。
能帮助您全面掌握服务器IP的查看与分析技巧，如果您在日常运维中遇到过特殊的IP获取难题，欢迎在评论区分享您的案例和解决方案。
