Понимание и устранение неполадок с помощью команды netstat

Команда netstat – это очень практичный инструмент для диагностики сети, конфигурирования и других действий по сканированию портов. В частности, системные администраторы используют ее для устранения неполадок в сети и диагностики производительности.

Команда netstat работает в Microsoft Windows, Linux, Unix, FreeBSD и других системах. Следовательно, все команды в этой статье будут давать одинаковые результаты независимо от вашей операционной системы, если для Linux не указано иное.

Операционная система Linux поставляется с предустановленным значительным количеством встроенных функций. В зависимости от уровня знаний пользователи могут быть не полностью осведомлены о возможностях конкретной команды. В этой статье представлены основы netstat, другие возможности команды вы можете прочитать в статье: 10 примеров команды Netstat в Unix/Linux, и способы устранения неполадок в сети с ее помощью.

Функции

Мы узнаем, как работает команда netstat, ознакомившись с ее часто используемыми приложениями. Мы увидим, как генерировать информацию о маршруте, статистику сетевого интерфейса или запускать операции сканирования портов с помощью команды. Возможно, было бы неплохо сделать заметки о наиболее часто повторяющихся параметрах и о том, что они делают, потому что они пригодятся при работе с другими командами.

Отображение таблицы маршрутизации ядра

Использование команды netstat с параметром -r выводит информацию о маршруте ядра таким же образом, как и с помощью команды route.

$ netstat -rn 
Kernel IP routing table 
Destination     Gateway         Genmask         Flags   MSS
Window  irtt Iface
0.0.0.0         192.168.1.1     0.0.0.0         UG        0 0
0 eth0
192.168.1.0     0.0.0.0         255.255.255.0   U         0 0
0 eth0

Обратите внимание, что дополнительная опция -n используется для отключения поиска имени хоста. Она настраивает команду netstat для отображения адресов в виде четырехзначных IP-номеров, разделенных точками, вместо имен хоста и сети в виде символов.

Отображение статистики настроенного сетевого интерфейса

Этот -i параметр настраивает команду netstat для отображения статистики сетевого интерфейса. Включив опцию -a, мы включим в выходные данные все интерфейсы, присутствующие в ядре, а не только те, которые настроены в данный момент.

$ netstat -i
Kernel Interface table
Iface       MTU Met   RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0       1500 0     31611      0      0 0         27503      0      0      0 BMRU
lo        65536 0      2913      0      0 0          2913      0      0      0 LRU

Проще говоря, в поле MTU отображается текущий MTU, в то время как в поле Met отображаются значения показателей интерфейса. В других полях отображается дополнительная информация:

• В-OK полях с суффиксами указаны успешно принятые (RX) или переданные (TX) пакеты.
• В-ERR полях с суффиксами указаны связи с ошибками.
• В-DRP полях с суффиксами указывается количество отброшенных пакетов.
• В-OVR полях с суффиксами указывается количество пакетов, потерянных из-за переполнения.

Команда netstat поддерживает использование некоторых параметров при составлении списка активных и пассивных сокетов. Эти параметры включают:

• -t для активных подключений к TCP-сокетам
• -u для активных подключений к UDP-сокетам
• -w для активных необработанных подключений к сокетам
• -x для активных подключений к сокетам Unix

При добавлении опции -a отобразятся сокеты, которые прослушивают подключение. Этот результат будет представлять собой список всех серверов, запущенных в данный момент на компьютере с Linux.

Операции TCP/IP и сканирования портов с netstat

Сканирование портов – это процесс определения местоположения прослушиваемых портов в системе.

Прослушивающий порт – это свободный порт, который прослушивает входящий трафик от приложений и процессов. Вы можете использовать брандмауэр для управления прослушивающими портами, открывая или закрывая их. Открытые порты принимают входящие пакеты из удаленных местоположений, в то время как закрытые порты заняты приложением или процессом.

Некоторые распространенные порты, открытые по умолчанию:

Операции прослушивания должны выполняться на регулярной основе, поскольку любой порт, открытый для внешних подключений, является возможной точкой входа в вашу систему. Если есть что-либо нежелательное для прослушивания подключений, обязательно удалите пакет, выполнив следующие действия:

• Перейдите в раздел Безопасность системы | Брандмауэры на панели управления вашей системой.
• Выберите новое правило.
• Для входящего порта выберите Правила для входящих сообщений; для исходящего порта выберите Правила для исходящих сообщений, затем нажмите Далее.
• Укажите протокол, используемый портом (TCP или UDP).
• Выберите конкретные локальные порты и введите номер порта.
• Нажмите Далее, затем заблокируйте соединение, и снова Далее.
• Выберите подходящее сетевое расположение, нажмите Далее, затем Готово.

Службу всегда можно отключить, но лучше всего удалить базовый пакет, чтобы ее нельзя было запустить случайно. Пакеты всегда можно переустановить позже.

Быстрая проверка

Давайте рассмотрим, например, как использовать команду netstat -untlp для обращения ко всем подключенным в данный момент и прослушивающим портам.

Эта команда отображает все, что прослушивает входящий трафик, и порт, через который он прослушивается. Разбиение этой команды на части, первый параметр, -t, идентифицирует ваш запрос информации, относящейся к TCP. Далее, -u представляет UDP; -l запрашивает прослушивающие сокеты; -p пытается отобразить название программы; и -n показывает числовые значения. Собрав все это вместе, вы получаете netstat -tulpn:

$ sudo netstat -untlp

В первом столбце отображаются активные и установленные подключения в следующих заголовках:

Как составить список всех портов

Команда -a используется для составления списка всех портов. Результат будет похож на этот:

$ netstat -a
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 enlightened:domain      *:*                     LISTEN
tcp        0      0 localhost:ipp           *:*                     LISTEN
tcp        0      0 enlightened.local:54750 li240-5.members.li:http ESTABLISHED
tcp        0      0 enlightened.local:49980 del01s07-in-f14.1:https ESTABLISHED
tcp6       0      0 ip6-localhost:ipp       [::]:*                  LISTEN
udp        0      0 enlightened:domain      *:*
udp        0      0 *:bootpc                *:*
udp        0      0 enlightened.local:ntp   *:*
udp        0      0 localhost:ntp           *:*
udp        0      0 *:ntp                   *:*
udp        0      0 *:58570                 *:*
udp        0      0 *:mdns                  *:*
udp        0      0 *:49459                 *:*
udp6       0      0 fe80::216:36ff:fef8:ntp [::]:*
udp6       0      0 ip6-localhost:ntp       [::]:*
udp6       0      0 [::]:ntp                [::]:*
udp6       0      0 [::]:mdns               [::]:*
udp6       0      0 [::]:63811              [::]:*
udp6       0      0 [::]:54952              [::]:*
Active UNIX domain sockets (servers and established)
Proto RefCnt Flags       Type       State         I-Node   Path
unix  2      [ ACC ]     STREAM     LISTENING     12403    @/tmp/dbus-IDgfj3UGXX
unix  2      [ ACC ]     STREAM     LISTENING     40202    @/dbus-vfs-daemon/socket-6nUC6CCx

Здесь LISTEN состояние означает, что sshd прослушивает входящие IP-пакеты на всех сетевых интерфейсах и IP-адреса на TCP-порту 22. Состояние ESTABLISHED показывает активное SSH-соединение, перечисляя локальный адрес и порт системы, а также столбцы Recv-Q и Send-Q.

Список всех активных прослушивающих портов

Используйте команду netstat и опцию -l для прослушивания только активных портов со следующим выводом:

$ netstat -l
Active Internet connections (only servers)
Proto  Recv-Q Send-Q   Local Address         Foreign Address
State
tcp         0      0

Вы также можете составить список прослушиваемых портов. Это работает для пользователей root на компьютере с Linux:

$sudo netstat -plnt

Список конкретных портов

Порты TCP и UDP выполняют разные функции. TCP обеспечивает упорядоченный поток пакетов с проверкой на ошибки, в то время как UDP обеспечивает более быстрый поток пакетов за счет проверки на ошибки. Команда netstat поддерживает параметры для отображения списка обоих портов отдельно друг от друга.

TCP-порты

Добавление -at опции к команде netstat отобразит все TCP-порты. Обратите внимание, что при исключении -a опции будут отображаться только активные порты:

$ netstat -at
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address State
tcp        0      0 enlightened:domain      *:* LISTEN
tcp        0      0 localhost:ipp           *:*                     LISTEN
tcp        0      0 enlightened.local:36310 del01s07-in-f24.1:https ESTABLISHED
tcp        0      0 enlightened.local:45038 a96-17-181-10.depl:http ESTABLISHED
tcp        0      0 enlightened.local:37892 ABTS-North-Static-:http ESTABLISHED
.....

UDP-порты

Аналогично, в параметрах -au, добавленных в команду netstat, будут перечислены все UDP-порты. При отказе от опции -a будут отображены только активные порты:

$ netstat -au
AActive Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
udp        0      0 *:34660                 *:*
udp        0      0 enlightened:domain      *:*
udp        0      0 *:bootpc                *:*
udp        0      0 enlightened.local:ntp   *:*
udp        0      0 localhost:ntp           *:*
udp        0      0 *:ntp                   *:*
udp6       0      0 fe80::216:36ff:fef8:ntp [::]:*
udp6       0      0 ip6-localhost:ntp       [::]:*
udp6       0      0 [::]:ntp                [::]:*

Устранение неполадок с помощью netstat

Устранение неполадок с помощью netstat включает в себя выявление, диагностику и решение сетевых проблем путем добавления параметров в команду. В дополнение к -untlp параметру выше, вы можете использовать grep параметр для устранения неполадок.

Использование netstat + grep

Чтобы узнать, какой процесс занимает определенный порт, вы можете использовать опцию grep.

# netstat -an | grep ':80'

Это полезно, например, когда вы пытаетесь запустить веб-сервер на определенном порту и обнаруживаете, что он уже используется.

Если вы обнаружите, что к порту подключена неизвестная служба, немедленно примите меры, скопировав и вставив сведения в поисковую систему для идентификации службы.

Список только необработанной сетевой статистики

Статистика сети отображается с помощью параметра -s в команде netstat:

$ netstat -s
Ip:
 30525 total packets received
 0 forwarded
 0 incoming packets discarded
  20375 incoming packets delivered
 16250 requests sent out
 40 outgoing packets dropped
Icmp:
 325 ICMP messages received
 0 input ICMP message failed.
 ICMP input histogram:
 destination unreachable: 125
 325 ICMP messages sent
 0 ICMP messages failed
 ICMP output histogram:
 destination unreachable: 125
 ... OUTPUT TRUNCATED …

Расширенные возможности использования команды netstat

Мы рассмотрели, как netstat можно использовать для устранения неполадок и отображения статистики. Команда netstat также может применяться в двух расширенных вариантах использования.

Мониторинг входов в систему на SSH-сервере

Допустим, вы используете общедоступный сервер, такой как SSH web-сервер. SSH-сервер откроет порт в серверной системе для доступа пользователей и входа в систему.

Портом по умолчанию для sshd является TCP-порт 22. С помощью команды netstat вы можете отслеживать все открытые порты, используя параметры вместе с командой, как показано ниже:

$ sudo netstat -untap | sed '2p;/ssh/!d'
Proto Recv-Q Send-Q Local Address  Foreign Address  State   PID/Program name
tcp        0      0 0.0.0.0:22     0.0.0.0:*        LISTEN  1296/sshd: /usr/sbi
tcp6       0      0 :::22          :::*             LISTEN  1296/sshd: /usr/sbi

IP-адрес и номер порта объединяются, чтобы указать вашему компьютеру с Linux, куда отправлять SSH-пакеты.

Мониторинг сеанса просмотра веб-страниц

Команда netstat также может использоваться для мониторинга сеанса просмотра веб-страниц:

$ netstat -punta
Proto  Local Address         Foreign Address    State        PID/Program name
[...]
tcp    192.168.43.234:50586  72.21.91.66:443    ESTABLISHED  2798/firefox
tcp    192.168.43.234:38262  52.36.174.147:443  ESTABLISHED  6481/chrome
tcp    192.168.43.234:53232  99.86.33.45:443    ESTABLISHED  2798/firefox
[...]

Ваш компьютер может тайно прослушивать неизвестный веб-сайт или подключаться к нему. Отличный способ обнаружить это – отслеживать соединения с помощью команды netstat:

$ netstat -abf 5 > activity.txt

В опции -a перечислены все подключения и порты прослушивания; -b отображаются все приложения, осуществляющие подключения; в то же время -f отображается полное DNS-имя каждого указанного подключения для упрощения идентификации источника подключения. Символ > переносит результаты в файл activity.txt.

Заключение

Хотя команда netstat является мощным инструментом системного администратора, вам не обязательно быть системным администратором, чтобы использовать ее. Как мы видели, netstat полезно во многих сценариях, даже если нашей целью является просто обеспечение безопасности повседневной работы в Интернете.

Но netstat не следует ограничиваться только командами, обсуждаемыми здесь — опции и флаги могут значительно расширить возможности, предоставляемые командой netstat.

(Пока оценок нет)

Загрузка...