Polecenie ss: sprawdzanie portów i procesów w Linuksie, porównanie z netstat

To, które porty na serwerze Linux są otwarte i kto jest połączony, sprawdzisz poleceniem ss. ss to narzędzie iproute2 do przeglądania gniazd, które zastępuje netstat. Sprawdzenie poleceniem ss nasłuchujących (LISTEN) portów i połączeń na serwerze Debian 12 pokazało, że na zwykłym koncie nazwy programów uruchomionych przez inne konta nie pojawiają się w kolumnie Process nawet z -p.

Poniższe wyniki uzyskano przy angielskim locale. Adresy serwera i drugiej strony podano jako adresy przykładowe.

1️⃣ Podstawowe użycie polecenia ss i kolumny wyniku

Jeśli uruchomisz ss bez opcji, nasłuchujące porty zostaną pominięte i pojawią się tylko gniazda z nawiązanym połączeniem. Na serwerze testowym pierwsze wiersze były w całości gniazdami Unix (u_str, u_dgr), przez które programy wewnątrz serwera komunikują się ze sobą.

ss | head -n 5

Netid State Recv-Q Send-Q                              Local Address:Port       Peer Address:Port    Process
u_str ESTAB 0      0                                               * 1013903               * 1013904
u_dgr ESTAB 0      0                                               * 1013960               * 13394
u_str ESTAB 0      0                                               * 1013907               * 1013908
u_str ESTAB 0      0                                               * 46066198              * 46066199

Dlatego, aby zobaczyć tylko połączenia TCP, dodaj -t. Gniazda Unix znikają, a w miejscu portu zamiast numerów pojawiają się nazwy usług, takie jak ssh i https.

ss -t

State Recv-Q Send-Q Local Address:Port  Peer Address:Port Process
ESTAB 0      0       203.0.113.10:ssh   198.51.100.7:51114
ESTAB 0      0       203.0.113.10:26676   192.0.2.15:https
ESTAB 0      0       203.0.113.10:29714   192.0.2.16:https

Jeśli dodasz też -n, numery portów zostaną bez zmian i nie zamienią się w nazwy usług.

ss -tn

State Recv-Q Send-Q Local Address:Port  Peer Address:Port Process
ESTAB 0      0       203.0.113.10:22    198.51.100.7:51114
ESTAB 0      0       203.0.113.10:26676   192.0.2.15:443
ESTAB 0      0       203.0.113.10:29714   192.0.2.16:443

Kolumny Recv-Q i Send-Q znaczą co innego zależnie od stanu gniazda. W połączonym gnieździe Recv-Q to liczba odebranych bajtów, których program jeszcze nie odczytał, a Send-Q to liczba wysłanych bajtów, których odbioru druga strona jeszcze nie potwierdziła.

W nasłuchującym gnieździe Recv-Q oznacza liczbę połączeń czekających w kolejce, a Send-Q maksymalny rozmiar kolejki. Te znaczenia pochodzą ze strony man netstat(8) z pakietu net-tools.

2️⃣ Sprawdzanie portów w Linuksie (-tln, -uln, -tulpn)

Wynik bez opcji nie pokazuje portów czekających na połączenia, więc do sprawdzania otwartych portów dodaj -l, które wybiera tylko nasłuchujące gniazda. [ss -tln] wypisuje nasłuchujące porty TCP jako numery.

ss -tln

State  Recv-Q Send-Q Local Address:Port Peer Address:PortProcess
LISTEN 0      128          0.0.0.0:22        0.0.0.0:*
LISTEN 0      511          0.0.0.0:80        0.0.0.0:*
LISTEN 0      511          0.0.0.0:443       0.0.0.0:*
LISTEN 0      511        127.0.0.1:8080      0.0.0.0:*
LISTEN 0      128             [::]:22           [::]:*
LISTEN 0      511             [::]:80           [::]:*
LISTEN 0      511             [::]:443          [::]:*

Gdy Local Address to 0.0.0.0, gniazdo przyjmuje połączenia przychodzące na wszystkie adresy IPv4 serwera, a przy 127.0.0.1 połączyć się można tylko z wnętrza serwera. [::] oznacza wszystkie adresy IPv6, więc porty 22, 80 i 443 są otwarte zarówno w IPv4, jak i w IPv6.

Bez -n numery portów zamieniają się w nazwy usług. Port 8080 pojawia się jako http-alt.

ss -tl

State  Recv-Q Send-Q Local Address:Port     Peer Address:PortProcess
LISTEN 0      128          0.0.0.0:ssh           0.0.0.0:*
LISTEN 0      511          0.0.0.0:http          0.0.0.0:*
LISTEN 0      511          0.0.0.0:https         0.0.0.0:*
LISTEN 0      511        127.0.0.1:http-alt      0.0.0.0:*
LISTEN 0      128             [::]:ssh              [::]:*
LISTEN 0      511             [::]:http             [::]:*
LISTEN 0      511             [::]:https            [::]:*

UDP nie nawiązuje połączeń, więc nawet jego nasłuchujące gniazda nie mają stanu LISTEN. W kolumnie stanu wyniku [ss -uln] wszędzie było UNCONN. Port 68 (bootpc) to klient DHCP, a port 123 (ntp) służy do synchronizacji czasu.

ss -uln

State  Recv-Q Send-Q Local Address:Port Peer Address:PortProcess
UNCONN 0      0            0.0.0.0:68        0.0.0.0:*
UNCONN 0      0       203.0.113.10:123       0.0.0.0:*
UNCONN 0      0          127.0.0.1:123       0.0.0.0:*
UNCONN 0      0            0.0.0.0:123       0.0.0.0:*
UNCONN 0      0              [::1]:123          [::]:*
UNCONN 0      0               [::]:123          [::]:*

Aby zobaczyć TCP i UDP naraz, połącz opcje, jak w [ss -tulpn]. Gdy rodzajów jest więcej niż jeden, na początku pojawia się kolumna Netid.

ss -tulpn

Netid State  Recv-Q Send-Q Local Address:Port Peer Address:PortProcess
udp   UNCONN 0      0            0.0.0.0:68        0.0.0.0:*
udp   UNCONN 0      0       203.0.113.10:123       0.0.0.0:*
udp   UNCONN 0      0          127.0.0.1:123       0.0.0.0:*
udp   UNCONN 0      0            0.0.0.0:123       0.0.0.0:*
udp   UNCONN 0      0              [::1]:123          [::]:*
udp   UNCONN 0      0               [::]:123          [::]:*
tcp   LISTEN 0      128          0.0.0.0:22        0.0.0.0:*
tcp   LISTEN 0      511          0.0.0.0:80        0.0.0.0:*
tcp   LISTEN 0      511          0.0.0.0:443       0.0.0.0:*
tcp   LISTEN 0      511        127.0.0.1:8080      0.0.0.0:*
tcp   LISTEN 0      128             [::]:22           [::]:*
tcp   LISTEN 0      511             [::]:80           [::]:*
tcp   LISTEN 0      511             [::]:443          [::]:*

3️⃣ Sprawdzanie procesów poleceniem ss (-p)

-p to opcja, która wypisuje w kolumnie Process program używający gniazda. Jednak po uruchomieniu [ss -tlnp] na zwykłym koncie serwera testowego kolumna Process pozostała pusta, jak poniżej, jakby opcja nie zadziałała.

ss -tlnp

State  Recv-Q Send-Q Local Address:Port Peer Address:PortProcess
LISTEN 0      128          0.0.0.0:22        0.0.0.0:*
LISTEN 0      511          0.0.0.0:80        0.0.0.0:*
LISTEN 0      511          0.0.0.0:443       0.0.0.0:*
LISTEN 0      511        127.0.0.1:8080      0.0.0.0:*
LISTEN 0      128             [::]:22           [::]:*
LISTEN 0      511             [::]:80           [::]:*
LISTEN 0      511             [::]:443          [::]:*

ss znajduje proces używający gniazda, czytając folder fd każdego procesu w /proc. Zwykłe konto nie może otworzyć folderu fd procesu uruchomionego przez inne konto, więc nazwa tego programu nie trafia do kolumny. Próba otwarcia ze zwykłego konta folderu procesu 1, uruchomionego przez root, kończy się błędem uprawnień.

ls /proc/1/fd

ls: cannot open directory '/proc/1/fd': Permission denied

Programy uruchomione z własnego konta pojawiają się w kolumnie Process także na zwykłym koncie. Sprawdzono to, uruchamiając prosty serwer WWW z python3 na porcie 8000 adresu 127.0.0.1.

python3 -m http.server 8000 --bind 127.0.0.1 &

Po uruchomieniu dodaj [sport = :8000], aby wyświetlić tylko wiersz portu 8000.

ss -tlnp sport = :8000

State  Recv-Q Send-Q Local Address:Port Peer Address:PortProcess
LISTEN 0      5          127.0.0.1:8000      0.0.0.0:*    users:(("python3",pid=343015,fd=3))

W nawiasie po users znajdują się kolejno nazwa programu, pid i numer deskryptora pliku (fd).

Po zakończeniu sprawdzania zatrzymaj prosty serwer WWW poleceniem [kill %1]. Jeśli potem ponownie uruchomisz [ss -tln sport = :8000], zostanie tylko wiersz nagłówka, a wiersz portu 8000 już się nie pojawi.

Na koncie root ss może odczytać informacje o wszystkich procesach, więc kolumna Process jest wypełniona. Gdy na jednym porcie nasłuchuje razem kilka procesów, w nawiasie users pojawia się wpis dla każdego z nich. Nazwy programów i pid w poniższym wyniku root to wartości przykładowe.

ss -tlnp sport = :443

State  Recv-Q Send-Q Local Address:Port Peer Address:PortProcess
LISTEN 0      511          0.0.0.0:443       0.0.0.0:*    users:(("app",pid=2101,fd=6),("app",pid=2100,fd=6))
LISTEN 0      511             [::]:443          [::]:*    users:(("app",pid=2101,fd=7),("app",pid=2100,fd=7))

Aby znaleźć program po numerze portu, możesz też użyć polecenia lsof w postaci [lsof -i :443].

Jak kolumna Process zmienia się zależnie od konta, porównasz na poniższym diagramie, przełączając konta.

4️⃣ Opcje filtrowania ss według stanu i portu

Nawet po sprawdzeniu otwartych portów trzeba osobno wybrać, kto jest teraz połączony z tymi portami. ss zostawia tylko potrzebne wiersze, gdy po opcjach dodasz warunki filtra.

Gdy po state wpiszesz nazwę stanu, zostaną tylko gniazda w tym stanie. Wynik [ss -tn state established] nie ma kolumny State i zaczyna się od kolumny Recv-Q.

ss -tn state established

Recv-Q Send-Q Local Address:Port  Peer Address:Port Process
0      0       203.0.113.10:22    198.51.100.7:51114
0      0       203.0.113.10:26676   192.0.2.15:443
0      0       203.0.113.10:29714   192.0.2.16:443

Porty filtrujesz przez dport (port drugiej strony) i sport (port po twojej stronie). Połączenia wychodzące z serwera do zewnętrznych serwerów https wybierasz przez [dport = :443].

ss -tn dport = :443

State Recv-Q Send-Q Local Address:Port  Peer Address:PortProcess
ESTAB 0      0       203.0.113.10:26676   192.0.2.15:443
ESTAB 0      0       203.0.113.10:29714   192.0.2.16:443

Używając sport razem z -l, sprawdzisz tylko, czy dany port nasłuchuje.

ss -tln sport = :22

State  Recv-Q Send-Q Local Address:Port Peer Address:PortProcess
LISTEN 0      128          0.0.0.0:22        0.0.0.0:*
LISTEN 0      128             [::]:22           [::]:*

Kilka warunków łączysz nawiasami i or, a całość ujmujesz w pojedyncze cudzysłowy, żeby powłoka nie zinterpretowała nawiasów wcześniej. Poniżej wynik wybrania tylko połączeń ssh według przykładu ze strony man.

ss -tn state established '( dport = :ssh or sport = :ssh )'

Recv-Q Send-Q Local Address:Port Peer Address:Port Process
0      0       203.0.113.10:22   198.51.100.7:51114

TIME-WAIT to stan, w którym połączenie pozostaje przez chwilę po rozłączeniu. Nie pojawia się w domyślnym wyniku, więc zobaczysz go dopiero po osobnym wybraniu przez [state time-wait].

ss -tn state time-wait

Recv-Q Send-Q Local Address:Port  Peer Address:PortProcess
0      0          127.0.0.1:28750    127.0.0.1:80
0      0          127.0.0.1:57698    127.0.0.1:8080
0      0              [::1]:31936        [::1]:80

Jeśli pomylisz nazwę stanu, polecenie od razu się kończy, zostawiając tylko jeden wiersz błędu [wrong state name]. Poniżej wynik celowego wpisania foo. Dostępne nazwy znajdziesz w wierszu TCP-STATES wyniku [ss -h].

ss -tn state foo

ss: wrong state name: foo

📌 Główne opcje: wyniki z tego artykułu

📎 Pozostałe opcje: według oficjalnego podręcznika

🔲 Symulator polecenia ss

W poniższym symulatorze możesz sam wpisać omówione dotąd opcje i filtry oraz porównać wynik z [netstat -tln].

5️⃣ Podsumowanie gniazd w ss (-s)

-s zamiast listy gniazd wypisuje podsumowanie liczby według rodzaju. Według strony man nie liczy listy po kolei, tylko zbiera liczby z różnych statystyk.

ss -s

Total: 340
TCP:   48 (estab 9, closed 15, orphaned 0, timewait 13)

Transport Total     IP        IPv6
RAW       0         0         0
UDP       8         4         4
TCP       33        25        8
INET      41        29        12
FRAG      0         0         0

estab w wierszu TCP to liczba połączeń nawiązanych w tej chwili. Dlatego możesz ją porównać z liczbą wierszy wypisanych przez [state established] w tym samym momencie.

ss -tn state established | wc -l

10

Po odjęciu jednego wiersza nagłówka z 10 wierszy wyniku zostaje 9, tyle samo co estab 9 z -s. timewait 13 to liczba gniazd TIME-WAIT, które były widoczne tylko po wybraniu przez [state time-wait].

6️⃣ Polecenie ss w porównaniu z netstat

netstat należy do pakietu net-tools, którego strona man opisuje netstat jako program już prawie nieużywany (mostly obsolete) i zaleca zamiast niego ss. Skrypty napisane pod format wyniku netstat nie odczytają jednak wyniku ss bez zmian, bo kolejność kolumn i zapis adresów są inne.

Po wypisaniu nasłuchujących portów TCP tego samego serwera oboma poleceniami okazało się, że netstat umieszcza stan na samym końcu i zapisuje adresy IPv6 jako :::22.

netstat -tln

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN
tcp        0      0 0.0.0.0:443             0.0.0.0:*               LISTEN
tcp        0      0 127.0.0.1:8080          0.0.0.0:*               LISTEN
tcp6       0      0 :::22                   :::*                    LISTEN
tcp6       0      0 :::80                   :::*                    LISTEN
tcp6       0      0 :::443                  :::*                    LISTEN

W ss stan jest na samym początku, a adresy IPv6 są ujęte w nawiasy kwadratowe, jak [::]:22.

ss -tln

State  Recv-Q Send-Q Local Address:Port Peer Address:PortProcess
LISTEN 0      128          0.0.0.0:22        0.0.0.0:*
LISTEN 0      511          0.0.0.0:80        0.0.0.0:*
LISTEN 0      511          0.0.0.0:443       0.0.0.0:*
LISTEN 0      511        127.0.0.1:8080      0.0.0.0:*
LISTEN 0      128             [::]:22           [::]:*
LISTEN 0      511             [::]:80           [::]:*
LISTEN 0      511             [::]:443          [::]:*

Często używane opcje netstat odpowiadają następującym poleceniom ss i ip.

🔢 FAQ & polecane treści

🧭 Polecane treści o poleceniach sieciowych 13 artykułów · 3 źródła

🗂️ Polecenia sieciowe

▸📂 Ustawienia · sprawdzanie sieci4

📄 Polecenie ip 📄 Polecenia netstat · ifconfig 📄 Polecenie nmtui 📄 Polecenie ss

▸📂 Połączenie · przesyłanie4

📄 Polecenie SSH 📄 Polecenie rsync 📄 Polecenie wget 📄 Polecenia rz · sz

▸📂 Zapytania DNS2

📄 Polecenie host 📄 Polecenie nslookup

▸📂 Zapora · certyfikaty3

📄 Polecenie iptables 📄 Polecenie firewall-cmd 📄 Polecenie certbot

▸🪐 Źródła3

📡 ss(8) man page(man7.org) 📡 netstat(8) man page(man7.org) 📡 Repozytorium kodu źródłowego iproute2 (kernel.org)

Linux · Sieć

[Linux] Polecenie ip: zarządzanie interfejsami sieciowymi i ustawieniami

Polecenie ip to jedno z głównych narzędzi do zarządzania siecią w Linuksie i pozwala wykonywać wiele zadań sieciowych.

Czytaj wpis →Bieżąca treść

Linux · Sieć

Polecenie netstat i polecenie ifconfig w Linuksie

Aby uruchomić w Linuksie polecenia netstat i ifconfig, na serwerze Linux musi być zainstalowany pakiet net-tools.

Czytaj wpis →Bieżąca treść

Linux · Sieć

[Linux] NetworkManager | nmtui

W CentOS 5 domyślną metodą konfiguracji sieci w Linuksie była usługa network, a NetworkManager można było zainstalować i używać.

Czytaj wpis →Bieżąca treść

Linux · Sieć

Polecenie ss: sprawdzanie portów i procesów w Linuksie, porównanie z netstat

To, które porty na serwerze Linux są otwarte i kto jest połączony, sprawdzisz poleceniem ss; ss to narzędzie iproute2 do przeglądania gniazd, które zastępuje netstat.

Czytaj wpis →Bieżąca treść

Linux · Połączenie

Polecenie SSH: opcje i sposób użycia

W Linuksie SSH (Secure Shell) to protokół, który pozwala bezpiecznie połączyć się z innym systemem przez sieć.

Czytaj wpis →Bieżąca treść

Linux · Przesyłanie

Polecenie rsync w Linuksie: opcje i przykłady użycia

Jeśli za każdym razem kopiujesz cały folder, by zsynchronizować dwa serwery, transfer ma pełny rozmiar, nawet gdy zmienił się tylko jeden plik.

Czytaj wpis →Bieżąca treść

Linux · Przesyłanie

Polecenie wget w Linuksie

Polecenie wget uruchamia z wiersza poleceń Linuksa link do pobrania z sieci i pobiera plik.

Czytaj wpis →Bieżąca treść

Linux · Przesyłanie

Linux: instalacja narzędzia lrzsz oraz wysyłanie (rz) i pobieranie (sz) plików

Aby uruchomić w systemie Linux polecenia rz i sz do wysyłania i pobierania plików, na serwerze musi być zainstalowany lrzsz.

Czytaj wpis →Bieżąca treść

Linux · DNS

Polecenie host w Linuksie | polecenie do zapytań DNS

Polecenie host służy do zapytań DNS (Domain Name System).

Czytaj wpis →Bieżąca treść

Linux · DNS

polecenie nslookup

Polecenie nslookup oznacza Name Server Lookup, czyli zapytanie do serwera nazw, i służy do pobierania informacji z serwerów nazw.

Czytaj wpis →Bieżąca treść

Linux · Zapora

Pojęcie i instalacja iptables | Polecenie iptables

iptables to filtrowanie pakietów napisane w języku C przez netfilter.org i bezpłatna usługa zapory.

Czytaj wpis →Bieżąca treść

Linux · Zapora

Instalacja FirewallD w Linuksie i konfiguracja demona

FirewallD w Linuksie używa Zone i Service zamiast reguł opartych na łańcuchach i politykach iptables.

Czytaj wpis →Bieżąca treść

Linux · Certyfikaty

Polecenie certbot (zarządzanie certyfikatami i ich usuwanie)

Jak instalować i odnawiać certyfikaty poleceniem certbot oraz usuwać te, które nie są już potrzebne.

Czytaj wpis →Bieżąca treść

📡ss(8) man page(man7.org) 📡netstat(8) man page(man7.org) 📡Repozytorium kodu źródłowego iproute2 (kernel.org)

ℹ️ Informacja o linkach partnerskich
Treści tej witryny zawierają linki partnerskie. Jeśli odwiedzający kupi produkt lub usługę przez taki link, witryna otrzymuje od sprzedawcy prowizję. Kwota płacona przy tym przez kupującego ^{(podczas promocji spada↓)} nie wzrasta. Podane ceny, rabaty i dostępność odnoszą się do chwili pisania i mogą różnić się od stanu faktycznego, dlatego przed zakupem sprawdź je u sprzedawcy. Produkty wybieramy i oceniamy według własnych kryteriów, a prowizja nie wpływa ani na kolejność prezentacji, ani na treść ocen.