netstat 檢查 IP 連線數量及封鎖 IP

IT_man

配合 awk, cut, sort, uniq 指令, 可以印出每個 ip 的連線數量, 並用連線數量排序由多而小, 以下會針對 TCP ESTABLISHED 連線檢查:

1. netstat -an|grep ESTABLISHED|awk '/^tcp/ {print $5}'|awk -F: '{print $1}'|sort|uniq -c|sort -nr|more

複製代碼

針對 port 80 的連線, 將每個 ip 的連線數量印出並進行排序:

1. netstat -ntu | grep :80 | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr|more

複製代碼

列出最多連接數的 10 個 IP 及其連接數，其中 “:80” 是連接埠號，可改成想要檢查的埠號

1. netstat -atnp -A inet | grep ":80" | awk -F " " '{print $5}' | awk -F ":" '{print $1}' | sort | uniq -c | sort -nr | head -10

複製代碼

. @& I" l- h) G, p' H) {" u透過以上方法找到來源 ip 後, 例如 ip 是 x.x.x.x, 可以用 iptables 阻擋攻擊
, X1 y' \9 k* Q, T' I, o* o6 L5 I封鎖 IP

1. iptables -A INPUT -p all -s x.x.x.x/32 -j DROP

複製代碼

解除封鎖 IP

1. iptables -D INPUT -p all -s x.x.x.x/32 -j DROP

複製代碼

以上參考:
https://www.phpini.com/linux/linux-netstat-detect-ddos
# l! @8 f7 S4 T  l  l, |https://www.phpini.com/linux/count-ip-connections
8 x: T2 B+ y% f8 l& L( x! b. X; w  xhttps://www.phpini.com/linux/netstat-check-connections
=================================================
% `  ]) x' ?0 e0 s. K' x" t另外：
1 B0 a$ H3 a% f5 L5 M/ t  J) j" u) n查詢哪些port被哪些應用程式佔用：
1.)

1. netstat -tulpn | grep LISTEN

複製代碼

2.)

1. lsof -i -P -n | grep LISTEN

複製代碼

3.)

1. sudo nmap -sT -O localhost

複製代碼

=================================================
( V$ {0 a6 M. w% E& |' @5 h* z1 r+ N查詢某個port佔用的backlog

1. ss -nlt

複製代碼

backlog應該多大？ 參考： https://cloud.tencent.com/developer/article/1644836
7 n: ?2 k; H/ h2 Z