Проект OpenNet: MAN netstat (8) Команды системного администрирования (FreeBSD и Linux)


Команда netstat показывает содержимое различных структур данных,
связанных с сетью, в различных форматах в зависимости от указанных


By default,


displays a list of open sockets. If you don’t specify any
address families, then the active sockets of all configured address
families will be printed.

Active ax.25 sockets

(this needs to be done by somebody who knows it)

Active ipx sockets

(this needs to be done by somebody who knows it)

Active sockets (first form)

The display for each active socket shows the local and remote address, the send and receive queue sizes (in bytes), the send and receive windows (in bytes), and the internal state of the protocol.

The symbolic format normally used to display socket addresses is either:


when the name of the host is specified, or


if a socket address specifies a network but no specific host.

The numeric host address or network number associated with the socket is used to look up the corresponding symbolic hostname or network name in the hosts or networks database.

If the network or hostname for an address is not known, or if the -n option is specified, the numerical network address is shown. Unspecified, or “wildcard”, addresses and ports appear as an asterisk (*). For more information regarding the Internet
naming conventions, refer to inet(7P) and inet6(7P).

For SCTP sockets, because an endpoint can be represented by multiple addresses, the verbose option (-v) displays the list of all the local and remote addresses.


See attributes(5) for descriptions of the following attributes:



-c, –continuous

This will cause


to print the selected information every second continuously.


Netstat will cycle printing through statistics every





The netstat command displays the contents of certain network-related data structures in various formats, depending on the options you select.

The netstat command has the several forms shown in the SYNOPSIS section, above, listed as follows:

The first form of the command (with no required arguments) displays a list of active sockets for each protocol.
The second, third, and fourth forms (-g, -p, and -s options) display information from various network data structures.
The fifth form (-m option) displays STREAMS memory statistics.
The sixth form (-i option) shows the state of the interfaces.
The seventh form (-r option) displays the routing table.
The eighth form (-M option) displays the multicast routing table.
The ninth form (-D option) displays the state of DHCP on one or all interfaces.

These forms are described in greater detail below.

With no arguments (the first form), netstat displays connected sockets for PF_INET, PF_INET6, and PF_UNIX, unless modified otherwise by the -f option.

Dhcp interface information (ninth form)

The DHCP interface information consists of the interface name, its current state, lease information, packet counts, and a list of flags.

The states correlate with the specifications set forth in RFC 2131.

Lease information includes:

when the lease began;
when lease renewal will begin; and
when the lease will expire.

The flags currently defined include:


The interface has a lease obtained through BOOTP (IPv4 only).


The interface is busy with a DHCP transaction.


The interface is the primary interface. See dhcpinfo(1) and ifconfig(1M).


The interface is in failure state and must be manually restarted.

Packet counts are maintained for the number of packets sent, the number of packets received, and the number of lease offers declined by the DHCP client. All three counters are initialized to zero and then incremented while obtaining a lease.

The counters are reset when
the period of lease renewal begins for the interface. Thus, the counters represent either the number of packets sent, received, and declined while obtaining the current lease, or the number of packets sent, received, and declined while attempting to obtain a future lease.



— The services translation file


— Mount point for the proc filesystem, which gives access to kernel
status information via the following files.


— device information


— raw socket information


— TCP socket information


— UDP socket information


— IGMP multicast information


— Unix domain socket information


— IPX socket information


— AX25 socket information


— DDP (appletalk) socket information


— NET/ROM socket information


— IP routing information


— AX25 routing information


— IPX routing information


— NET/ROM nodelist


— NET/ROM neighbours


— masqueraded connections


— statistics

Foreign address

Address and port number of the remote end of the socket.
Analogous to “Local Address.”

–groups , -g

Display multicast group membership information for IPv4 and IPv6.

Interface status (sixth form)

The interface status display lists information for all current interfaces, one interface per line. If an interface is specified using the -I option, it displays information for only the specified interface.

The list consists of the interface name, mtu (maximum transmission unit, or maximum packet size)(see ifconfig(1M)), the network to
which the interface is attached, addresses for each interface, and counter associated with the interface.

If the -a option is specified with either the -i option or the -I option, then the output includes names of the physical interface(s), counts for input packets and output packets for each logical interface, plus additional information.

If the -n option is specified, the list displays the IP address instead of the interface name.

-l, –listening

Show only listening sockets. (These are omitted by default.)

Local address

Address and port number of the local end of the socket. Unless the


option is specified, the socket address is resolved to its canonical
host name (FQDN), and the port number is translated into the
corresponding service name.

–masquerade , -m

Display a list of masqueraded connections.

Multicast routing tables (eighth form)

The multicast routing table consists of the virtual interface table and the actual routing table.

Network data structures (second through fifth forms)

The form of the display depends upon which of the -g, -m, -p, or -s options you select.

Displays the list of multicast group membership.

Displays the memory usage, for example, STREAMS mblks.

Displays the net to media mapping table. For IPv4, the address resolution table is displayed. See arp(1M). For IPv6, the neighbor cache is displayed.

Displays the statistics for the various protocol layers.

The statistics use the MIB specified variables. The defined values for ipForwarding are:


Acting as a gateway.


Not acting as a gateway.

The IPv6 and ICMPv6 protocol layers maintain per-interface statistics. If the -a option is specified with the -s option, then the per-interface statistics as well as the total sums are displayed. Otherwise, just the sum of the statistics are shown.

For the second, third, and fourth forms of the command, you must specify at least -g, -p, or -s. You can specify any combination of these options. You can also specify -m (the fifth form) with any set of the -g, -p, and -s options. If you specify more than one of these options, netstat displays the information for each one of them.


When displaying interface information, netstat honors the DEFAULT_IP setting in /etc/default/inet_type. If it is set to IP_VERSION4, then netstat will omit information relating to IPv6 interfaces,
statistics, connections, routes and the like.

However, you can override the DEFAULT_IP setting in /etc/default/inet_type on the command-line. For example, if you have used the command-line to explicitly request IPv6 information by using the inet6 address family or one of the
IPv6 protocols, it will override the DEFAULT_IP setting.

If you need to examine network status information following a kernel crash, use the mdb(1) utility on the savecore(1M) output.

The netstat utility obtains TCP statistics from the system by opening /dev/tcp and issuing queries. Because of this, netstat might display an extra, unused connection in IDLE state when reporting connection status.

Previous versions of netstat had undocumented methods for reporting kernel statistics published using the kstat(7D) facility. This functionality
has been removed. Use kstat(1M) instead.

-o, –timers

Include information related to networking timers.



Display statistics accumulated since last display every interval seconds, repeating forever, unless count is specified. When invoked with interval, the first row of netstat output shows statistics
accumulated since last reboot.

The following options support interval: -i, -m, -s and -Ms. Some values are configuration parameters and are just redisplayed at each interval.


Display interface statistics the number of times specified by count, at the interval specified by interval.

-p, –program

Show the PID and name of the program to which each socket belongs.

Pid/program name

Slash-separated pair of the process id (PID) and process name of the
process that owns the socket.


causes this column to be included. You will also need


The protocol (tcp, udp, raw) used by the socket.

–protocol=family , -a

Specifies the address families (perhaps better described as low level
protocols) for which connections are to be shown.


is a comma (‘,’) separated list of address family keywords like




This has the same effect as using the





The address family


includes raw, udp and tcp protocol sockets.


The reference count (i.e. attached processes via this socket).

Routing table (seventh form)

The routing table display lists the available routes and the status of each. Each route consists of a destination host or network, and a gateway to use in forwarding packets. The flags column shows the status of the route. These flags are as follows:

Indicates route is up.

Route is to a gateway.

Route is to a host and not a network.

Redundant route established with the -multirt option.

Route was established using the -setsrc option.

Route was created dynamically by a redirect.

If the -a option is specified, there will be routing entries with the following flags:

Combined routing and address resolution entries.

Broadcast addresses.

Local addresses for the host.

Interface routes are created for each interface attached to the local host; the gateway field for such entries shows the address of the outgoing interface.

The use column displays the number of packets sent using a combined routing and address resolution (A) or a broadcast (B) route. For a local (L) route, this count is the number of packets received, and for all other
routes it is the number of times the routing entry has been used to create a new combined route and address resolution entry.

The interface entry indicates the network interface utilized for the route.

Sctp sockets

The possible state values for SCTP sockets are as follows:


Closed. The socket is not being used.


Listening for incoming associations.


Association has been established.


INIT has been sent to the peer, awaiting acknowledgment.

See also

arp(1M), dhcpinfo(1), dhcpagent(1M), ifconfig(1M), iostat(1M), kstat(1M), mibiisa(1M), savecore(1M), vmstat(1M), hosts(4), inet_type(4), networks(4), protocols(4), services(4), attributes(5), dhcp(5), kstat(7D), inet(7P), inet6(7P)

Droms, R., RFC 2131, Dynamic Host Configuration Protocol, Network Working Group, March 1997.

Droms, R. RFC 3315, Dynamic Host Configuration Protocol for IPv6 (DHCPv6). Cisco Systems. July 2003.

–statistics , -s

Display summary statistics for each protocol.



[address_family_options] [–tcp|-t] [–udp|-u] [–raw|-w] [–listening|-l] [–all|-a] [–numeric|-n] [–numeric-hosts][–numeric-ports][–numeric-ports] [–symbolic|-N] [–extend|-e[–extend|-e]] [–timers|-o] [–program|-p] [–verbose|-v] [–continuous|-c] [delay]



[address_family_options] [–extend|-e[–extend|-e]] [–verbose|-v] [–numeric|-n] [–numeric-hosts][–numeric-ports][–numeric-ports] [–continuous|-c] [delay]



[iface] [–all|-a] [–extend|-e[–extend|-e]] [–verbose|-v] [–program|-p] [–numeric|-n] [–numeric-hosts][–numeric-ports][–numeric-ports] [–continuous|-c] [delay]



[–numeric|-n] [–numeric-hosts][–numeric-ports][–numeric-ports] [–continuous|-c] [delay]



[–extend|-e] [–numeric|-n] [–numeric-hosts][–numeric-ports][–numeric-ports] [–continuous|-c] [delay]



[–tcp|-t] [–udp|-u] [–raw|-w] [delay]






[–protocol={inet,unix,ipx,ax25,netrom,ddp}[,…]] [–unix|-x] [–inet|–ip] [–ax25] [–ipx] [–netrom] [–ddp]

-t –notrim

Stop trimming long addresses.

Tcp sockets

The possible state values for TCP sockets are as follows:


Bound, ready to connect or listen.


Closed. The socket is not being used.


Closed, then remote shutdown; awaiting acknowledgment.


Remote shutdown; waiting for the socket to close.


Connection has been established.


Socket closed; shutting down connection.


Socket closed; waiting for shutdown from remote.


Idle, opened but not bound.


Remote shutdown, then closed; awaiting acknowledgment.


Listening for incoming connections.


Initial synchronization of the connection under way.


Actively trying to establish connection.


Wait after close for remote shutdown retransmission.


(this needs to be written)

-z –context

If SELinux enabled print SELinux context.


Первая форма команды показывает список активных сокетов (sockets)
для каждого протокола. Вторая форма выбирает одну из нескольких
других сетевых структур данных. Третья форма показывает
динамическую статистику пересылки пакетов по сконфигурированным
сетевым интерфейсам; аргумент интервал задает, сколько секунд
собирается информация между последовательными показами.

Значение по умолчанию для аргумента система – /unix; для аргумента
core в качестве значения по умолчанию используется /dev/kmem.

Команды netstat

Netstat – Отображение активных подключений TCP, портов, прослушиваемых компьютером, статистики Ethernet, таблицы маршрутизации IP, статистики IPv4 (для протоколов IP, ICMP, TCP и UDP) и IPv6 (для протоколов IPv6, ICMPv6, TCP через IPv6 и UDP через IPv6)

Представим ситуацию вы установили например MSM LSI утилиту для просмотра параметров RAID контроллера, запускаете утилиту, но ничего она не находит, потому что закрыт порт а какой вы не в курсе, и не всегда в инете можно быстро найти информацию об этом, для этого вы и может запустить netstat и посмотреть какой порт слушает ваш сервер с MSM процессом.

Открываем командную строку Windows и вводим netstat ?. У вас выскочит справка утилиты.


netstat – показ статуса сети


netstat воспринимает следующие опции:

Показывать состояние всех сокетов; обычно
сокеты, используемые серверными процессами,
не показываются.
Показывать адреса любых управляющих блоков
протокола, связанных с сокетами; используется
для отладки.
Показывать состояние автоматически
интерфейсов. Интерфейсы, статически
сконфигурированные в системе, но не
найденные во время загрузки, не
Показывать сетевые адреса как числа. netstat
обычно показывает адреса как символы. Эту
опцию можно использовать с любым форматом
Показать таблицы маршрутизации. При
использовании с опцией -s, показывает
статистику маршрутизации.
Показать статистическую информацию по
протоколам. При использовании с опцией -r,
показывает статистику маршрутизации.
-f семейство_адресов
Ограничить показ статистики или адресов
управляющих блоков только указанным
семейством_адресов, в качестве которого
можно указывать:

inetДля семейства адресов AF_INET, или
unixДля семейства адресов AF_UNIX.
-I интерфейс
Выделить информацию об указанном
интерфейсе в отдельный столбец; по
умолчанию (для третьей формы команды)
используется интерфейс с наибольшим
объемом переданной информации с момента
последней перезагрузки системы. В качестве
интерфейса можно указывать любой из
интерфейсов, перечисленных в файле
конфигурации системы, например, emd1 или
-p имя_протокола
Ограничить показ статистики или адресов
управляющих блоков только протоколом с
указанным именем_протокола, например,

Показ таблицы маршрутизации

Таблица маршрутизации показывает все имеющиеся маршруты (routes)
и статус каждого из них. Каждый маршрут состоит из целевого хоста
или сети и шлюза (gateway), который используется для пересылки
пакетов. Столбец flags (флаги) показывает статус маршрута (U, если он
включен), ведет ли маршрут на шлюз (G), был ли маршрут создан
динамически при помощи перенаправления (D) и используется ли адрес
индивидуального хоста (H) вместо адреса сети.

Прямые маршруты создаются для каждого интерфейса, подключенного к
локальному хосту; поле gateway (шлюз) для таких записей показывает
адрес выходного интерфейса.

Столбец refcnt показывает текущее количество активных использований
для маршрута. Протоколы, ориентированные на соединение, обычно
используют в ходе соединения один маршрут, тогда как протоколы без
соединения получают маршрут для каждой посылки одному и тому же

Столбец use показывает количество пакетов, посланных по маршруту.

Столбец interface показывает сетевой интерфейс, используемый


Таблицы ядра могут изменяться по ходу их обработки программой
netstat, что приводит к некорректным или неполным результатам.

Примеры команды netstat

Пример работы команды Netstat на Windows 10 показан на рисунке выше, утилита работает на всех версиях операционных систем Windows.


netstat [-Aan] [-f семейство_адресов] [-I интерфейс] [-p имя_протокола] [система] [core]
netstat [-n] [-s] [-i | -r] [-f семейство_адресов] [-I интерфейс] [-p имя_протокола] [система] [core]
netstat [-n] [-I интерфейс] интервал [система] [core]

Сокеты tcp

Для сокетов TCP допустимы следующие значения состояния:

Закрыт. Сокет не используется.
Ожидает входящих соединений.
Активно пытается установить соединение.
Идет начальная синхронизация соединения.
Соединение установлено.
Удаленная сторона отключилась; ожидание
закрытия сокета.
Сокет закрыт; отключение соединения.
Сокет закрыт, затем удаленная сторона
отключилась; ожидание подтверждения.
Удаленная сторона отключилась, затем сокет
закрыт; ожидание подтверждения.
Сокет закрыт; ожидание отключения
удаленной стороны.
Ожидание после закрытия повторной
передачи отключения удаленной стороны.



Copyright 1994 Novell, Inc.
Copyright 1999 В. Кравчук,
OpenXS Initiative, перевод на русский язык


The count of bytes not acknowledged by the remote host.

-e, –extend

Display additional information. Use this option twice for maximum detail.

:/>  Как в Windows 10 сделать классический «Пуск» - описание, пошаговые инструкции

Оставьте комментарий