ss和tcpdump
一、ss与netstat
ss全称是 Socket Statistics ，直译过来就是”端口数据“或”套接字统计“，ss与netstat显示的内容相似，但ss的优势在于可以显示更多更详细的有关tcp和连接状态的信息，当服务器的socket连接数量变得很大时，使用netstat命令或者cat /proc/net/tcp 命令，执行速度都会很慢。
ss命令利用到了tcp协议栈中tcp_diag。tcp_diag是一个用于分析统计的模块，可以获得Linux内核中相关资料，因此ss性能要比强一些。netstat使用在centos6多一些，而centos7中默认安装ss命令。
ss与netstat命令常用参数都是差不多的，比如 anpltu ，常用的这几个参数，作用和意义都是一样的，这里不做解释，还有一些参数可以看一下，有个印象。
-x, –unix 显示 unix domain sockets，与 -f 选项相同。
-n, –numeric 不解析服务的名称，如 “22” 端口不会显示成 “ssh”。
-r, –resolve 把 IP 解释为域名，把端口号解释为协议名称。
[root@k8s-master-01 ~]# netstat | head -5
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 localhost:43758 localhost:webcache ESTABLISHED
tcp 0 0 localhost:36670 localhost:webcache ESTABLISHED
tcp 0 0 k8s-master-01:49632 k8s-node-01:2379 ESTABLISHED
tcp 0 0 localhost:webcache localhost:46710 ESTABLISHED
tcp 0 0 k8s-master-01:55978 k8s-node-02:2379 ESTABLISHED
输入命令后，出现6列信息，根据我们的需要的不同，对每一列的关注度也不同。
第一列：使用的协议；
第四列：本地的地址：端口；
第五列：非本地地址；
第六列，状态。就回显效果上来看ss和netstat是一致的，所以这里用netstat举例。
根据差异进行对比参数还有各列含义：
[root@k8s-master-01 ~]# ss -tl | head -3
State Recv-Q Send-Q Local Address:Port Peer Address:Port
LISTEN 0 128 127.0.0.1:10248 *:*
LISTEN 0 128 127.0.0.1:10251 *:*
LISTEN 0 128 173.26.1.75:sun-sr-https *:*
[root@k8s-master-01 ~]# ss -tnl | head -3
State Recv-Q Send-Q Local Address:Port Peer Address:Port
LISTEN 0 128 127.0.0.1:10248 *:*
LISTEN 0 128 127.0.0.1:10251 *:*
LISTEN 0 128 173.26.1.75:6443 *:*
[root@k8s-master-01 ~]# ss -trl | head -3
State Recv-Q Send-Q Local Address:Port Peer Address:Port
LISTEN 0 128 localhost:10248 *:*
LISTEN 0 128 localhost:10251 *:*
LISTEN 0 128 k8s-master-01:sun-sr-https *:*
[root@k8s-master-01 ~]# ss -tlp | head -3
State Recv-Q Send-Q Local Address:Port Peer Address:Port
LISTEN 0 128 127.0.0.1:10248 *:* users:(("kubelet",pid=22387,fd=26))
LISTEN 0 128 127.0.0.1:10251 *:* users:(("kube-scheduler",pid=32302,fd=6))
LISTEN 0 128 173.26.1.75:sun-sr-https *:* users:(("kube-apiserver",pid=10401,fd=7))
对于ss的使用先到这里，列出几种关于ss抓包的命令行，有需要的记得尝试。
# 查看tcp连接列出ip地址并排序
[root@k8s-master-01 ~]# netstat -an|grep "ESTABLISHED"|awk -F "[ :]+" '{print $6}'|sort|uniq -c|sort -rn -k1
138 173.26.1.75
118 127.0.0.1
76 173.26.1.77
76 173.26.1.76
2 10.244.2.3
2 10.0.0.1
1 173.26.0.61
1 10.244.2.2
# 查找请求数前20个IP（常用于查找攻来源）
$ netstat -ant |awk '/:80/{split($5,ip,":");++A[ip[1]]}END{for(i in A) print A[i],i}' |sort -rn|head -n20
$ netstat -anlp|grep 80|grep tcp|awk '{print $5}'|awk -F: '{print $1}'|sort|uniq -c|sort -nr|head -n20
[root@k8s-master-01 ~]# netstat -anlp|grep 80|grep tcp|awk '{print $5}'|awk -F: '{print $1}'|sort|uniq -c|sort -nr|head -n20
222 127.0.0.1
36 173.26.1.75
10 173.26.1.77
9 173.26.1.76
3 0.0.0.0
2 10.244.2.3
1 10.0.0.1
1
# 查找较多time_wait连接
[root@k8s-master-01 ~]# netstat -n|grep TIME_WAIT|awk '{print $5}'|sort|uniq -c|sort -rn|head -n20
54 127.0.0.1:8080
5 10.244.2.4:44135
1 173.26.1.75:33544
1 173.26.1.75:33542
1 173.26.1.75:33520
1 10.244.2.3:8000
# 找查较多的SYN连接
[root@k8s-master-01 ~]# netstat -an | grep SYN | awk '{print $5}' | awk -F: '{print $1}' | sort | uniq -c | sort -nr | more
# 查看所有80端口的连接数
[root@k8s-master-01 ~]# netstat -nat|grep -i "80"|wc -l
284
# 对连接的IP按连接数量进行排序
$ netstat -anp | egrep 'tcp|udp' | awk '{print $1" "$4}' | cut -d: -f1 | sort | uniq -c | sort -nr
$ netstat -ntu | awk '{print $1" "$4}' | cut -d: -f1 | sort | uniq -c | sort -nr
[root@k8s-master-01 ~]# netstat -anp | egrep 'tcp|udp' | awk '{print $1" "$4}' | cut -d: -f1 | sort | uniq -c | sort -nr
297 tcp 173.26.1.75
231 tcp 127.0.0.1
15 tcp6
12 tcp6 173.26.1.75
9 tcp 10.244.2.1
5 tcp 0.0.0.0
3 udp 0.0.0.0
2 udp6
2 tcp 10.0.0.1
[root@k8s-master-01 ~]# netstat -nat |awk '{print $NF}'|sort|uniq -c|sort -rn
426 ESTABLISHED
121 TIME_WAIT
29 LISTEN
1 State
1 established)
二、tcpdump
tcpdump是一个用于截取网络分组，并输出分组内容的工具。凭借强大的功能和灵活的截取策略，使其成为类UNIX系统下用于网络分析和问题排查的首选工具。
tcpdump 支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。
tcpdump只能查看流经本机的流量，这一点需要注意。
tcpdump命令行抓包格式：
# 常用参数：
-c: 指定要抓取的包数量。
-i: interface：指定tcpdump需要监听的接口。默认会抓取第一个网络接口
-n: 对地址以数字方式显式，否则显式为主机名，也就是说-n选项不做主机名解析。
-nn: 除了-n的作用外，还把端口显示为数值，否则显示端口服务名。
-P： 指定要抓取的包是流入还是流出的包。可以给定的值为"in"、"out"和"inout"，默认为"inout"。
-v: 当分析和打印的时候，产生详细的输出。
-vv: 产生比-v更详细的输出。
-vvv: 产生比-vv更详细的输出。
expression表达式：
a、类型，type
host，net，port，portrange
b、目标，dir
src，dst，src or dst，src and dst
c、协议，proto
tcp，udp，icmp，如果没有给定协议类型，则匹配所有可能的类型。
表达式单元之间可以使用操作符and/ &&/ or/ || / not/ ! 进行连接，从而组成复杂的条件表达式。
常用端口和名字的对应关系可在linux系统中的/etc/service文件中找到。
另外，同样的修饰符可省略，如"tcp dst port ftp or ftp-data or domain"与"tcp dst port ftp or tcp dst port ftp-data or tcp dst port domain"意义相同，都表示包的协议为tcp且目的端口为ftp或ftp-data或domain(端口53)。
使用括号"()"可以改变表达式的优先级，但需要注意的是括号会被shell解释，所以应该使用反斜线""转义为"()"，在需要的时候，还需要包围在引号中。
tcpdump 的使用：
# 指定网络接口的数据包
[root@k8s-master-01 ~]# tcpdump -i eth0
# 监视指定主机的数据包
[root@k8s-master-01 ~]# tcpdump -i eth0 host k8s-node-01
# 打印主机与两节点之前通信的数据包
[root@k8s-master-01 ~]# tcpdump -i eth0 host k8s-node-01 or k8s-node-02
# 打印主机与node1的通信数据包，不要node2的数据包
[root@k8s-master-01 ~]# tcpdump -i eth0 host k8s-node-01 and not k8s-node-02
15:38:27.138260 IP k8s-node-01.2379 > k8s-master-01.49876: Flags [.], ack 1, win 299, options [nop,nop,TS val 1069473752 ecr 1069464125], length 0
15:38:27.183478 IP k8s-node-01.36860 > k8s-master-01.sun-sr-https: Flags [P.], seq 460:506, ack 4141, win 18418, options [nop,nop,TS val 1069473798 ecr 1069478984], length 46
15:38:27.186340 IP k8s-master-01.sun-sr-https > k8s-node-01.36860: Flags [P.], seq 4141:4207, ack 506, win 1432, options [nop,nop,TS val 1069479184 ecr 1069473798], length 66
15:38:27.186426 IP k8s-master-01.sun-sr-https > k8s-node-01.36860: Flags [P.], seq 4207:4447, ack 506, win 1432, options [nop,nop,TS val 1069479184 ecr 1069473798], length 240
15:38:27.186584 IP k8s-node-01.36860 > k8s-master-01.sun-sr-https: Flags [.], ack 4447, win 18418, options [nop,nop,TS val 1069473801 ecr 1069479184], length 0
243 packets captured
243 packets received by filter
0 packets dropped by kernel
# 通过对数据包的传输过程，可以看到传输的包有seq（squence numeber 序列号）还有ack（acknowledge number确认号），可以看出传输过程就是在发生着tcp三次握手阶段的，第二次握手和第三次握手。
# 截取来自node-01发送至本机的数据
[root@k8s-master-01 ~]# tcpdump -i eth0 src host k8s-node-01
15:58:18.919204 IP k8s-node-01.59572 > k8s-master-01.sun-sr-https: Flags [.], ack 973, win 1424, options [nop,nop,TS val 1070665533 ecr 1070670905], length 0
15:58:18.919406 IP k8s-node-01.49522 > k8s-master-01.sun-sr-https: Flags [.], ack 973, win 1393, options [nop,nop,TS val 1070665533 ecr 1070670904], length 0
15:58:18.919636 IP k8s-node-01.36860 > k8s-master-01.sun-sr-https: Flags [.], ack 7692, win 18418, options [nop,nop,TS val 1070665534 ecr 1070670904], length 0
159 packets captured
263 packets received by filter
0 packets dropped by kernel
[root@k8s-master-01 ~]# tcpdump -i eth0 dst host k8s-node-01
26:00:40.786796 IP k8s-master-01.sun-sr-https > k8s-node-01.36860: Flags [P.], seq 3311:3551, ack 323, win 1432, options [nop,nop,TS val 1070812784 ecr 1070807398], length 240
26:00:40.801974 IP k8s-master-01.49596 > k8s-node-01.2379: Flags [.], ack 1118073436, win 296, options [nop,nop,TS val 1070812800 ecr 1070792376], length 0
26:00:40.841526 IP k8s-master-01.49800 > k8s-node-01.2379: Flags [.], ack 1004213034, win 657, options [nop,nop,TS val 1070812839 ecr 1070792472], length 0
67 packets captured
84 packets received by filter
0 packets dropped by kernel
# 监视指定网络的数据包，如本机与173.26网段通信的数据包，"-c 3"表示只抓取3个包
[root@k8s-master-01 ~]# tcpdump -i eth0 -c3 host 173.26
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
26:03:28.726019 IP k8s-master-01.2380 > k8s-node-02.34286: Flags [P.], seq 980059585:980059692, ack 2363754347, win 278, options [nop,nop,TS val 1070980714 ecr 1070977959], length 107
26:03:28.726269 IP k8s-node-02.34286 > k8s-master-01.2380: Flags [.], ack 107, win 1424, options [nop,nop,TS val 1070978011 ecr 1070980714], length 0
26:03:28.726409 IP k8s-node-02.2380 > k8s-master-01.55433: Flags [P.], seq 1277875825:1277875927, ack 4035557266, win 278, options [nop,nop,TS val 1070978011 ecr 1070980662], length 102
3 packets captured
33 packets received by filter
0 packets dropped by kernel
# 抓取ping包
[root@k8s-master-01 ~]# tcpdump -c 5 -nn -i eth0 icmp and src 173.26.1.65
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
0 packets captured
0 packets received by filter
0 packets dropped by kernel
# 抓取到本机22端口包
[root@k8s-master-01 ~]# tcpdump -c 10 -nn -i eth0 tcp dst port 22
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
0 packets captured
0 packets received by filter
0 packets dropped by kernel
# 解析包数据
[root@k8s-master-01 ~]# tcpdump -c 2 -q -XX -vvv -nn -i eth0 tcp dst port 21345
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
26:05:54.865520 IP (tos 0x0, ttl 63, id 43902, offset 0, flags [DF], proto TCP (6), length 40)
173.26.0.61.57618 > 173.26.1.75.21345: tcp 0
0x0000: 0050 5681 1018 085b 0ef4 cab4 0800 4500 .PV....[......E.
0x0010: 0028 ab7e 4000 3f06 36a9 ac10 003d ac10 .(.~@.?.6....=..
0x0020: 014b e112 5361 3bac 71fd 8eb0 e738 5010 .K..Sa;.q....8P.
0x0030: 01fc fc28 0000 0000 0000 0000 ...(........
26:05:54.918517 IP (tos 0x0, ttl 63, id 43903, offset 0, flags [DF], proto TCP (6), length 40)
173.26.0.61.57618 > 173.26.1.75.21345: tcp 0
0x0000: 0050 5681 1018 085b 0ef4 cab4 0800 4500 .PV....[......E.
0x0010: 0028 ab7f 4000 3f06 36a8 ac10 003d ac10 .(..@.?.6....=..
0x0020: 014b e112 5361 3bac 71fd 8eb0 e8fc 5010 .K..Sa;.q.....P.
0x0030: 01fa fa66 0000 0000 0000 0000 ...f........
2 packets captured
3 packets received by filter
0 packets dropped by kernel
命令行抓包：
# 用tcpdump嗅探80端口的访问看看谁最高
[root@k8s-master-01 ~]# tcpdump -i eth0 -tnn dst port 80 -c 1000 | awk '{print $2}' |awk -F"." '{print $1"."$2"."$3"."$4}'|sort | uniq -c | sort -nr
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
0 packets captured
0 packets received by filter
0 packets dropped by kernel
# 使用tcpdump监听tcp80端口来自192.268.0.1的所有流量。
[root@k8s-master-01 ~]# tcpdump -n tcp port 80 and src 172.16.1.76
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
0 packets captured
0 packets received by filter
0 packets dropped by kernel
# tcpdump查看网卡ping包
[root@k8s-master-01 ~]# tcpdump -i eth0 icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
0 packets captured
0 packets received by filter
0 packets dropped by kernel
关于三个命令，我写的并不多，但看这篇笔记的朋友可以先问问自己，是基础薄弱还是知识受限，是不够精深还是缺乏敏感，这个过程就像是nv人的内衣，暴露出来的部分并不是重点，掩盖的部分才是关键，希望大家也有所收获。
以上。