在Linux系统中，监控和管理并发连接是系统管理员和开发人员的常见任务，无论是排查网络问题、优化服务器性能，还是检测异常访问，掌握查看并发连接的方法都至关重要，本文将详细介绍多种Linux查看并发连接的实用命令和工具，涵盖从基础到进阶的不同场景,帮助读者全面掌握相关技能。
使用ss命令查看并发连接
ss是Linux系统中替代netstat的强大工具，它能够快速获取套接字统计信息，尤其在处理大量并发连接时性能更优，ss命令的基本语法为ss [选项] [过滤条件]，常用选项包括-t（TCP连接）、-u（UDP连接）、-n（不解析服务名）、-p（显示进程ID和名称）、-a（显示所有连接）等。
查看所有TCP连接的并发数可以使用ss -t -a，若要仅显示已建立的连接则执行ss -t -state established，结合-n选项可以避免DNS解析，加快命令执行速度，对于更精确的统计，可以通过管道配合wc -l计算连接总数，如ss -t -a | wc -l，ss命令还支持按端口号过滤，例如ss -t 'sport = :80'可查看所有80端口的入站连接。
使用netstat命令查看并发连接
尽管netstat逐渐被ss取代，但在一些旧版Linux系统中仍需使用，netstat的语法为netstat [选项]，常用选项包括-t（TCP）、-u（UDP）、-n（数字形式）、-p（显示进程）、-a（所有连接）等，查看TCP连接并发数可执行netstat -tn，显示已建立连接则使用netstat -tn | grep ESTABLISHED。
netstat的优势在于输出格式直观，适合快速查看特定状态的连接。netstat -an | grep ':80' | wc -l可统计80端口的并发连接数，需要注意的是，netstat在处理大量连接时速度较慢,建议在高并发场景下优先使用ss命令。
使用lsof命令查看进程级并发连接
lsof（list open files）命令用于列出系统打开的文件、目录和网络连接，通过lsof可以精确查看某个进程的网络连接情况，语法为lsof -i [协议][@主机名]:端口]，查看所有监听80端口的进程可执行lsof -i :80，查看特定PID（如1234）的连接则使用lsof -p 1234 -i。
lsof的-i选项支持多种过滤条件，如-i6仅显示IPv6连接，-iTCP仅显示TCP连接，对于需要分析进程网络行为的场景，lsof提供了比ss和netstat更细粒度的视图，通过lsof -i -P -n | grep nginx可以查看nginx进程的所有网络连接详情。
使用/proc文件系统查看实时连接信息
Linux的/proc文件系统提供了内核运行时的实时数据，proc/net目录包含网络连接的原始信息，通过查看/proc/net/tcp、/proc/net/udp等文件,可以获取未经处理的连接数据。
查看TCP连接状态可执行cat /proc/net/tcp，输出包含本地地址、远程地址、状态码等信息，虽然输出格式较为复杂，但配合awk等工具可实现灵活统计,统计ESTABLISHED状态的TCP连接数：
cat /proc/net/tcp | awk 'NR>1 {print $6}' | grep -c "01"
/proc文件系统的优势在于数据实时性高，无需额外安装工具,适合脚本自动化处理。
使用sar和iftop监控网络流量并发
sar是系统性能监控工具sysstat的一部分，可用于长期收集网络流量数据，通过sar -n DEV 1 5命令，可以每隔1秒输出5次网络接口统计信息，包括接收（rxerr/s）和发送（txerr/s）错误包数,间接反映并发压力。
iftop是一款实时流量监控工具，以可视化方式显示网络接口的实时流量和连接数，安装后执行iftop -i eth0即可监控指定网卡的并发连接情况，按端口排序可使用iftop -P -i eth0,iftop的交互式界面适合快速定位高并发连接的源IP或目标端口。
综合对比与使用建议
下表总结了不同工具的特点和适用场景：
| 工具 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|
| ss | 速度快，功能全面，支持过滤 | 部分旧系统不支持 | 高并发环境下的实时连接统计 |
| netstat | 兼容性好，输出直观 | 大量连接时性能较差 | 旧系统或简单连接查询 |
| lsof | 进程级精确控制，支持文件描述符 | 输出信息较多，需过滤 | 分析特定进程的网络行为 |
| /proc | 实时性高，无需安装工具 | 格式复杂，需手动解析 | 脚本自动化或深度内核数据挖掘 |
| sar | 历史数据统计，支持长期监控 | 需安装sysstat，非实时 | 网络流量趋势分析和容量规划 |
| iftop | 可视化界面，实时流量展示 | 仅显示流量，不提供详细连接信息 | 快速定位高流量连接 |
在实际应用中，建议根据需求选择合适工具：日常监控优先使用ss，进程分析依赖lsof，长期趋势参考sar，快速排查则用iftop，对于复杂场景，可结合多个工具交叉验证，例如用ss统计总并发数,再用lsof定位异常进程。
并发连接异常排查思路
当发现并发连接数异常升高时，可按以下步骤排查：首先使用ss -t -state established -p查看已建立连接的进程，定位异常PID；通过lsof -p [PID]分析进程的网络行为；结合netstat -an | grep [IP]检查特定IP的连接模式；最后使用iftop观察流量变化,判断是否为DDoS攻击或业务高峰导致。
对于高并发服务器，建议定期记录并发连接基线，例如通过cron任务定时执行ss -t -a | wc -l >> /var/log/concurrent.log，建立预警机制，当并发数超过阈值时，结合防火墙（如iptables）或负载均衡器（如Nginx）进行流量控制,确保系统稳定运行。
通过以上方法和工具，Linux用户可以全面掌握并发连接的监控与管理技巧，有效提升系统运维效率和问题排查能力，无论是日常维护还是紧急故障处理,这些实用技能都将发挥重要作用。
