Linux 端口監聽實戰指南：netstat 與 nmap 核心用法詳解

在 Linux 系統管理中，掌握端口監聽狀態是網絡故障排查與安全審計的基礎技能。本文將深入解析兩大核心工具——netstat 與 nmap 的實戰用法，幫助你快速定位服務狀態、排查連接異常，甚至進行遠程端口掃描。

核心工具對比：本地視角 vs 網絡視角

• netstat：基於本機進程視角，查看自身監聽的端口及已建立的連接，屬於「內省」工具。
• nmap：基於網絡封包探測，可掃描遠程主機開放端口，屬於「外掃」工具，適合無法登入目標設備（如打印機、路由器）的場景。

netstat 實戰三部曲

1. 列出所有監聽端口（-tunl）

[root@www ~]# netstat -tunl
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address    Foreign Address  State
tcp        0      0 0.0.0.0:111      0.0.0.0:*      LISTEN
tcp        0      0 0.0.0.0:22       0.0.0.0:*      LISTEN
tcp        0      0 127.0.0.1:25     0.0.0.0:*      LISTEN

解讀：0.0.0.0 表示監聽所有網卡介面；127.0.0.1 僅限本地回環。以上示例中，SSH(22)、RPC(111) 對外開放，而 SMTP(25) 僅供本機使用，外網無法訪問。

2. 查看已建立的連接（-tun）

[root@www ~]# netstat -tun
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address       Foreign Address      State
tcp        0     52 192.168.1.100:22    192.168.1.101:56746  ESTABLISHED

關鍵信息：本機 192.168.1.100 的 SSH 服務正被 192.168.1.101 連接，狀態為 ESTABLISHED。

3. 精準終止可疑連接（-tunp）

[root@www ~]# netstat -tunp
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address    Foreign Address    State       PID/Program name
tcp        0     52 192.168.1.100:22 192.168.1.101:56746 ESTABLISHED 1342/sshd

最佳實踐：獲取 PID（此處為 1342）後，使用 kill 1342 而非 killall sshd，避免誤殺同服務的其他合法進程。

nmap 遠程掃描全攻略

語法：nmap [掃描類型] [掃描參數] [目標地址]

常用掃描類型

關鍵掃描參數

• -p <端口範圍>：如 -p 80,443、-p 1-1024、-p 30000-60000
• -PT：TCP Ping 探活，穿透禁 ICMP 的防火牆
• -PI：標準 ICMP Ping 探活

目標地址寫法

• 單 IP：192.168.1.100
• CIDR：192.168.1.0/24
• 通配：192.168.*.*（B 類網）
• 範圍列表：192.168.1.0-50,60-100,103,200

實戰範例：快速檢查本機開放端口

[root@www ~]# yum install -y nmap
[root@www ~]# nmap localhost
PORT    STATE SERVICE
22/tcp  open  ssh
25/tcp  open  smtp
111/tcp open  rpcbind

提示：默認僅掃描 TCP 端口，加上 -sU 可同時檢測 UDP。

總結

• 日常運維首選 netstat -tunlp 核對本機服務與進程綁定關係。
• 跨網段資產梳理、設備合規檢查，請使用 nmap -sS -p- 目標網段。
• 兩者結合，構建「內外兼修」的端口可視化體系。