一、 netstat与ss：系统连接状态的“听诊器”
早期，netstat是我查看网络连接、路由表和接口统计信息的首选。它的输出直观，能快速给出概览。比如，查看所有TCP连接及其进程信息：
netstat -tulnp
这个命令能列出所有监听端口（-l）、TCP连接（-t）、UDP连接（-u），并显示进程名和PID（-p），对于定位“谁在监听哪个端口”非常有效。
然而，随着服务器连接数激增，netstat在性能上的不足逐渐显现。它通过读取/proc/net/tcp等文件来获取信息，在连接数超过数万时，执行速度会明显变慢。这时，ss（Socket Statistics）工具就成了更优的选择。ss直接从内核空间获取信息，效率极高，语法也更简洁。
我常用的ss命令组合包括：
- 查看所有TCP连接：
ss -t state all - 筛选特定状态的连接：比如，找出所有处于
ESTAB状态的连接：ss -t state established
一个典型排坑场景：某次，应用团队报告服务响应变慢。我首先用ss -s查看连接统计，发现TIME-WAIT状态连接异常增多。结合ss -t state time-wait查看具体连接，初步判断是短连接创建过于频繁。进一步与开发团队沟通，确认了连接池设置需要优化。ss快速定位了问题方向，避免了无谓的猜测。
二、 tcpdump：网络流量的“显微镜”
当问题超出连接状态层面，需要深入分析网络包的具体内容时，tcpdump就是我的“显微镜”。它允许我在服务器上直接捕获和分析流经网卡的数据包，是诊断协议交互问题、验证数据内容的利器。
掌握tcpdump的关键在于熟练使用过滤表达式，以精准捕获目标流量，避免被海量数据淹没。以下是我总结的几种常用场景命令：
捕获特定主机和端口的流量：
tcpdump -i eth0 host 10.0.1.100 and port 80 -w web_traffic.pcap
这个命令捕获网卡eth0上所有与主机10.0.1.100在80端口相关的流量，并保存到文件，便于后续分析。
查看HTTP请求的URL和Host头：
tcpdump -i eth0 -A -s 0 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'
这个复杂的过滤器旨在只捕获HTTP请求的数据部分（排除TCP/IP头部），配合-A以ASCII打印，可以清晰看到GET请求路径和Host字段。
排查数据库连接问题：
tcpdump -i any port 3306 -nn -tttt
使用-i any监听所有网卡，-nn禁止名称解析（加快速度），-tttt输出带日期的完整时间戳，便于分析MySQL客户端与服务器的握手、查询时序。
分享一个真实案例：一个微服务调用间歇性失败。在调用方服务器上，我使用tcpdump捕获了目标服务的IP和端口流量。分析pcap文件发现，失败时TCP三次握手能完成，但应用层请求发出后，对端在短时间内回复了RST包终止了连接。这个现象将问题范围从网络层缩小到了对端应用服务本身。最终，配合日志发现是对端服务某个实例健康检查异常，导致负载均衡器将其踢出，但旧连接未被正常关闭。tcpdump提供的底层证据，让复杂的分布式问题变得清晰可循。
三、 nmap：网络探测与服务的“雷达”
如果说ss和tcpdump主要用于对内排查，那么nmap则是我探测网络环境、验证服务可达性和端口开放情况的“雷达”。它在系统搭建、架构变更和跨团队协作中扮演着重要角色。
注意：使用nmap应严格限定在自身管理或授权范围内的资产，这是每一位工程师都应遵守的职业准则。
我常用的nmap场景包括：
快速扫描单个主机开放端口：
nmap -sT -p 1-10000 target_host
使用TCP连接扫描（-sT，最基础稳定）检查目标主机1-10000端口的开放情况。
探测服务版本：
nmap -sV -p 22,80,443 target_host
-sV参数尝试识别指定端口上运行的服务及其版本信息，对于资产管理和规范性盘点非常有帮助。
检查本地网络边界防护规则是否生效：
nmap -sS -p 8080 localhost
在服务器本地使用TCP SYN扫描（-sS）检查某个端口（如8080）是否对本机可见，常用于验证应用监听设置或本地网络边界防护策略。
一个搭建阶段的排坑经历：在新集群搭建应用后，从A机器始终无法访问B机器的新服务端口。在确认B机器本地ss -tuln显示服务正常监听后，我在A机器使用nmap -p <port> B_host发现该端口显示为filtered状态。这明确指向了网络层面的阻断。问题最终定位到是集群节点间网络策略未正确设置，导致端口被中间设备过滤。nmap的filtered状态关键字直接指明了排查方向。
总结与最佳实践
这四款工具构成了我网络调试的基础工具箱，它们各有侧重，相辅相成：
netstat 作为备选，在某些旧系统或需要更易读输出时使用。tcpdump 用于深度、精准地分析网络包内容，解决复杂协议问题。nmap 用于主动、规范地探测网络环境和服务可达性。
我的经验是，处理网络问题应遵循从宏观到微观、从状态到内容的流程：先用ss或netstat查看连接概况，再用nmap验证网络路径和端口可达性，最后在必要时使用tcpdump进行包级深度分析。同时，所有操作都应记录完整的命令和输出，这不仅是良好的工作习惯，也为团队协作和事后复盘留下了宝贵资料。
工欲善其事，必先利其器。熟练掌握这套“全家桶”，不仅能提升我们排查网络问题的效率，更能培养系统化的排错思维，让我们在复杂的运维环境中保持从容与自信。希望我的这些经验分享，能为大家的日常运维工作带来一些启发和帮助。
👨💻 运维老兵经验：根据实际生产环境，以上步骤建议先在测试环境验证，并做好备份。参数值需根据服务器设置调整，不要盲目照搬。
