Comando Netstat en Linux - Cómo usar Netstat para la gestión de redes en Linux

¿Qué es Netstat?

• Conexiones de red activas: Ver a qué se está conectando tu computadora
• Tablas de enrutamiento: Ver las rutas que usa tu computadora para enviar información
• Interfaces de red: Obtener detalles sobre tus dispositivos de red y su actividad

Con netstat, puedes obtener una imagen clara del estado de tu red y encontrar cualquier problema.

Sintaxis básica

netstat [opciones]

Puedes combinar diferentes opciones para obtener la información específica que necesitas. Algunos ejemplos comunes:

• netstat -a: Muestra todas las conexiones activas
• netstat -r: Muestra la tabla de enrutamiento
• netstat -i: Lista las estadísticas de las interfaces de red

Las opciones te permiten ajustar la salida de netstat para enfocarte en los detalles que importan para tu solución de problemas o análisis.

Listando todas las conexiones activas

netstat -a

Este comando muestra tanto las conexiones en escucha como las establecidas, dando una visión general de tu actividad de red. La salida incluye detalles como el protocolo (TCP o UDP), direcciones locales y externas, y el estado actual de cada conexión.

Por ejemplo:

Proto Recv-Q Send-Q Local Address           Foreign Address         State      
tcp        0      0 localhost:mysql         0.0.0.0:*               LISTEN     
tcp        0      0 192.168.1.100:ssh       192.168.1.50:1234       ESTABLISHED
udp        0      0 0.0.0.0:bootpc          0.0.0.0:*                          

Aquí, podemos ver un servidor MySQL en escucha, una conexión SSH establecida y una conexión UDP para DHCP (bootpc).

Listando conexiones TCP y UDP

netstat -at

Y para las conexiones UDP:

netstat -au

Esto es útil cuando estás solucionando problemas relacionados con un protocolo o servicio específico. Por ejemplo, si tienes problemas con un servidor web, podrías usar netstat -at para verificar sus conexiones TCP.

Mostrando puertos en escucha

netstat -l

También puedes combinar esto con las opciones -t o -u para filtrar por puertos TCP o UDP:

netstat -lt netstat -lu

Esta es una forma rápida de ver qué servicios están ejecutándose en tu sistema y qué puertos están usando. Por ejemplo:

Proto Recv-Q Send-Q Local Address           Foreign Address         State      
tcp        0      0 0.0.0.0:http            0.0.0.0:*               LISTEN     
tcp6       0      0 [::]:https              [::]:*                  LISTEN

Aquí, podemos ver que el sistema está ejecutando un servidor HTTP en el puerto 80 (http) y un servidor HTTPS en el puerto 443 (https), ambos escuchando conexiones IPv4 e IPv6.

Al usar estos comandos netstat para mostrar conexiones activas y puertos en escucha, puedes obtener una imagen clara de los servicios de red de tu sistema Linux y encontrar cualquier problema potencial o riesgo de seguridad.

Mostrando estadísticas de interfaz

netstat -i

Este comando muestra una lista de todas las interfaces de red en tu sistema, junto con métricas importantes para cada una. La salida incluye:

• Nombre de la interfaz (por ejemplo, eth0, lo)
• Tamaño MTU (Unidad Máxima de Transmisión)
• Número de paquetes recibidos (RX) y enviados (TX)
• Número de errores de recepción (RX) y transmisión (TX)
• Número de paquetes recibidos (RX) y enviados (TX) descartados

Por ejemplo:

Kernel Interface table
Iface   MTU RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0   1500  1234      0      0 0         5678      0      0      0 BMRU
lo    65536   100      0      0 0          100      0      0      0 LRU

Aquí, podemos ver estadísticas para las interfaces eth0 (Ethernet) y lo (loopback). Las columnas RX muestran el número de paquetes recibidos, recibidos con errores, descartados y desbordamientos. Las columnas TX muestran la misma información para los paquetes enviados.

Monitorear estas estadísticas puede ayudarte a encontrar problemas de rendimiento o errores en interfaces específicas. Por ejemplo, un número alto de RX-ERR o TX-ERR podría indicarun problema físico con un cable de red o puerto.

Mostrando la tabla de enrutamiento del kernel

netstat -r

Este comando muestra cada ruta como una línea con varios campos:

• Destino: La red o host de destino
• Puerta de enlace: La puerta de enlace (router) utilizada para alcanzar el destino
• Genmask: La máscara de red para la red de destino
• Flags: Banderas que muestran características de la ruta (por ejemplo, U para activa, G para puerta de enlace)
• MSS: El tamaño máximo de segmento predeterminado para conexiones TCP sobre esta ruta
• Window: El tamaño de ventana TCP predeterminado
• irtt: El tiempo inicial de ida y vuelta (irtt) para la ruta

Por ejemplo:

Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
default         192.168.1.1     0.0.0.0         UG        0 0          0 eth0
192.168.1.0     0.0.0.0         255.255.255.0   U         0 0          0 eth0

Aquí, podemos ver dos rutas. La primera es la ruta por defecto, que envía todo el tráfico a la puerta de enlace en 192.168.1.1. La segunda es una ruta para la red local 192.168.1.0/24, que está directamente conectada a la interfaz eth0.

Al examinar la tabla de enrutamiento, puedes entender cómo tu sistema dirige el tráfico de red y solucionar problemas de conectividad. Por ejemplo, si los paquetes no están llegando a un destino específico, podrías verificar la tabla de enrutamiento para ver si hay una ruta válida para ese destino.

Las estadísticas de interfaz y la visualización de la tabla de enrutamiento de netstat son herramientas poderosas para monitorear el rendimiento y la conectividad de la red de tu sistema Linux. Al mantener un ojo en estas métricas, puedes encontrar y solucionar problemas de red antes de que afecten a tus usuarios o aplicaciones.

Monitoreando la actividad de red continuamente

Por ejemplo, ejecutar:

netstat -c

Este comando mostrará la información de red y la actualizará cada segundo. Esto es útil para encontrar cambios repentinos en el comportamiento de la red, como un pico en las conexiones o una caída repentina en el rendimiento. Al monitorear la salida a lo largo del tiempo, puedes encontrar tendencias y anomalías que podrían indicar un problema en desarrollo.

Encontrando procesos que usan puertos

Por ejemplo:

netstat -p

Este comando mostrará una lista de conexiones de red activas, junto con el PID y el nombre del programa que posee cada socket. Si ves un puerto en uso que no reconoces, puedes usar el PID para investigar más a fondo con herramientas como ps y lsof.

Esto es especialmente útil para solucionar conflictos de puertos. Si dos programas están intentando usar el mismo puerto, netstat -p te mostrará qué procesos están involucrados. Luego puedes tomar medidas para reconfigurar uno de los programas para que use un puerto diferente.

También es una valiosa herramienta de seguridad. Al verificar regularmente si hay procesos desconocidos usando puertos de red, puedes encontrar actividades sospechosas que podrían indicar un sistema hackeado o comprometido.

Combinando Netstat con Grep

Por ejemplo, para mostrar solo las conexiones a un puerto específico (por ejemplo, 80 para HTTP), puedes usar:

netstat -an | grep ':80'

Esto canaliza la salida de netstat -an (que muestra todos los sockets, salida numérica) a grep, que busca líneas que contienen :80. El resultado es una lista de todas las conexiones que involucran el puerto 80.

Puedes usar un método similar para encontrar conexiones a una dirección IP específica:

netstat -an | grep '192.168.1.100'

Esta es una forma poderosa de encontrar rápidamente información relevante, especialmente cuando estás lidiando con un sistema ocupado o un problema de red complejo. Al combinar netstat con grep, puedes responder preguntas como:

• ¿Está mi servidor web aceptando conexiones en el puerto 80?
• ¿Hay alguna conexión a una dirección IP sospechosa?
• ¿Qué clientes están actualmente conectados a mi servidor de base de datos?

Con estas técnicas avanzadas de netstat - monitoreo continuo, búsqueda de procesos y filtrado de salida - puedes llevar tus habilidades de solución de problemas de red al siguiente nivel. Ya seas un administrador de sistemas gestionando una flota de servidores Linux o un usuario avanzado tratando de optimizar tu propio sistema, netstat es una herramienta importante para tener en tu kit.

Mostrando estadísticas de tráfico de red

Para ver estas estadísticas, ejecuta:

netstat -s

Este comando imprimirá un resumen de las estadísticas de tráfico para TCP, UDP, ICMP y otros protocolos. Las estadísticas incluyen información como:

• Segmentos enviados y recibidos
• Segmentos retransmitidos
• Errores recibidos
• Paquetes enviados y recibidos
• Paquetes descartados

Por ejemplo, en la sección TCP, podrías ver:

Tcp:
    1234 aperturas de conexiones activas
    5678 aperturas de conexiones pasivas
    10 intentos de conexión fallidos
    123 reinicios de conexión recibidos
    1 conexiones establecidas
    1234567 segmentos recibidos
    7654321 segmentos enviados
    123 segmentos retransmitidos
    0 segmentos malos recibidos
    1234 reinicios enviados

Estas estadísticas pueden ayudarte a encontrar problemas de rendimiento de red. Un alto número de segmentos retransmitidos podría indicar congestión de red o un enlace de red poco confiable. Un gran número de intentos de conexión fallidos podría apuntar a un problema con un servicio o un ataque de escáner de puertos.

De manera similar, las secciones UDP e ICMP muestran estadísticas para esos protocolos. Altos niveles de mensajes ICMP "destino inalcanzable" podrían significar problemas de enrutamiento o un ataque de denegación de servicio (DDoS).

Al revisar regularmente estas estadísticas, puedes establecer una línea base para la actividad de red normal de tu sistema. Cualquier cambio grande de esta línea base puede ser una señal de advertencia temprana de un problema en desarrollo.

Verificando el uso de ancho de banda de red

Para ver esta información, ejecuta:

netstat -i

La salida se verá algo así:

Tabla de Interfaz del Kernel
Iface   MTU RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0   1500 1234567   0      0 0      7654321    0      0      0 BMRU
lo    65536   1234   0      0 0         1234    0      0      0 LRU

Las columnas RX-OK y TX-OK muestran el número total de bytes recibidos y transmitidos por cada interfaz. Al verificar estos números a lo largo del tiempo, puedes ver qué interfaces están manejando la mayor cantidad de tráfico y si alguna se está acercando a sus límites de capacidad.

Por ejemplo, si ves que el valor TX-OK de una interfaz es consistentemente alto y está creciendo, podría significar que la interfaz está saturada y podría beneficiarse de una actualización de ancho de banda.

También puedes usar esta información para encontrar consumidores de ancho de banda: aplicaciones o usuarios que están usando una gran porción de tus recursos de red. Al comparar el alto uso de ancho de banda con otra actividad del sistema, puedes encontrar la fuente del tráfico y tomar medidas para gestionarlo.

Las funciones de estadísticas de tráfico y monitoreo de ancho de banda de netstat son importantes para cualquier administrador de sistemas Linux o gestor de red. Al observar estas métricas, puedes asegurarte de que tu red esté funcionando bien y que tengas la capacidad para manejar tu carga de trabajo. Con netstat en tu caja de herramientas, estás bien equipado para analizar y solucionar problemas de tráfico de red en Linux.

Monitoreando servicios de red en servidores Linux

netstat -tulpn

Este comando lista todos los puertos TCP y UDP que están siendo escuchados, junto con los procesos relacionados. La salida se ve así:

Conexiones de Internet activas (solo servidores)
Proto Recv-Q Send-Q Dirección local           Dirección remota         Estado       PID/Nombre del programa
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1234/sshd       
tcp        0      0 127.0.0.1:631           0.0.0.0:*               LISTEN      5678/cupsd      
tcp6       0      0 :::80                   :::*                    LISTEN      9012/apache2

Cada línea muestra un servicio de red que se está ejecutando en el servidor, junto con:

• El protocolo (TCP o UDP)
• La dirección y puerto local
• La dirección y puerto remoto (si hay alguno)
• El estado del socket (por ejemplo, LISTEN, ESTABLISHED)
• El PID y nombre del proceso que posee el socket

Al ejecutar este comando regularmente, puedes rastrear qué servicios de red se están ejecutando en tu servidor. Puedes verificar que todos los servicios necesarios estén activos (como SSH, HTTP y bases de datos) y que no haya servicios inesperados escuchando.

Esta también es una práctica de seguridad importante. Al monitorear los puertos en escucha, puedes encontrar cualquier servicio no autorizado que podría haber sido instalado por un atacante o una aplicación maliciosa. Si ves algún servicio o puerto desconocido, puedes usar el PID para investigar el proceso relacionado.

Además, puedes usar netstat para solucionar problemas de servicios. Si un servicio no está respondiendo, puedes verificar con netstat para asegurarte de que esté ejecutándose y escuchando en el puerto correcto. Si está escuchando pero no respondiendo, es posible que necesites verificar los registros del servicio o reiniciarlo.

En general, ejecutar netstat -tulpn debería ser una parte regular de tu rutina de administración de servidores Linux. Es una forma rápida y fácil de monitorear tus servicios de red, detectar problemas potenciales y mantener tus servidores seguros. Combinado con otras herramientas como ps, lsof y monitoreo de registros, netstat es una parte clave de una estrategia completa de administración de servidores.

Usando Netstat con sistemas de monitoreo

Esto te permite configurar comprobaciones y alertas automáticas para problemas de red. Por ejemplo, podrías crear una alerta que se active cuando el número de conexiones establecidas a un puerto específico supere un límite, o cuando el número de paquetes UDP descartados por una interfaz aumente.

Al integrar netstat con tu sistema de monitoreo, puedes detectar y solucionar problemas de red antes de que afecten a los usuarios. En lugar de ejecutar netstat manualmente cuando se reporta un problema, tu sistema de monitoreo puede verificar constantemente las métricas de netstat y alertarte sobre posibles problemas.

Este tipo de monitoreo automático es especialmente útil para redes grandes o complejas, donde la verificación manual no es práctica. También es útil para detectar problemas intermitentes que podrían pasarse por alto en verificaciones puntuales.

Creando scripts con Netstat para monitoreo automático

Para un procesamiento más complejo, podrías usar un lenguaje de scripting como Python para trabajar y analizar los datos de netstat. Por ejemplo, un script de Python podría:

1. Ejecutar netstat -i para obtener estadísticas de interfaz
2. Analizar la salida para extraer los bytes enviados y recibidos para cada interfaz
3. Calcular el cambio en bytes a lo largo del tiempo para obtener el uso de ancho de banda
4. Verificar el uso de ancho de banda contra límites definidos
5. Enviar una alerta si se excede algún límite

Al crear scripts con netstat, puedes crear soluciones de monitoreo personalizadas adaptadas a las necesidades específicas de tu red. Puedes definir tus propias métricas, límites y condiciones de alerta, y hacer que el script se ejecute en un horario que funcione para tu entorno.

La creación de scripts también permite un análisis de datos más avanzado. Podrías tener un script que combine datos de netstat a lo largo del tiempo y genere informes sobre tendencias de uso de red a largo plazo. O podrías comparar datos de netstat con otras métricas del sistema para encontrar las causas raíz de problemas de rendimiento.

Ya sea que uses scripts de shell simples o programas Python más avanzados, la creación de scripts es una forma poderosa de automatizar el monitoreo con netstat y obtener más valor de los datos de netstat.

En conclusión, netstat no es solo una herramienta de solución de problemas de una sola vez, sino una valiosa fuente de datos para el monitoreo continuo de la red. Al integrar netstat con sistemas de monitoreo y usar scripts para automatizar la recopilación y el análisis de datos, puedes gestionar activamente la salud y el rendimiento de tu red. Con un poco de configuración, netstat puede ser el corazón de una sólida solución de monitoreo de red.

Identificando actividad de red sospechosa

Esta salida puede ayudarte a encontrar conexiones inusuales o no autorizadas que podrían indicar una violación de seguridad o infección de malware. Esto es lo que debes buscar:

• Direcciones locales o remotas desconocidas: Las conexiones hacia o desde direcciones IP que no conoces podrían ser una señal de acceso no autorizado.
• Puertos inesperados: Las conexiones en puertos inusuales, especialmente puertos de números altos, podrían indicar actividad de malware o una puerta trasera.
• Procesos desconocidos: Las conexiones vinculadas con procesos desconocidos podrían significar que un atacante ha instalado software no autorizado.

Por ejemplo, si ves una conexión como esta:

tcp   0   0 192.168.1.100:22 192.168.1.50:12345 ESTABLISHED 1234/sshd  

Esto muestra una conexión SSH desde 192.168.1.50 a tu sistema (192.168.1.100) en el puerto 22. Si no esperas acceso SSH desde esa IP, podría ser un intento de inicio de sesión no autorizado.

De manera similar, una línea como esta:

tcp   0   0 192.168.1.100:31337 1.2.3.4:80 ESTABLISHED 5678/proceso_misterioso

Podría ser muy sospechosa. Muestra una conexión saliente desde tu sistema a una IP desconocida en el puerto 31337, que a menudo es utilizado por troyanos y puertas traseras. El nombre de proceso desconocido aumenta la preocupación.

Al ejecutar regularmente netstat -anp, puedes encontrar estas señales de alerta temprano. Esto te permite investigar más a fondo con herramientas como lsof, ps y análisis de registros para determinar si hay un problema de seguridad real.

Es una buena idea ejecutar esta verificación regularmente y cada vez que veas signos de una posible violación, como alto uso de CPU o entradas de registro sospechosas. Al usar netstat para encontrar y responder a problemas de seguridad rápidamente, puedes reducir el daño y mantener tu sistema Linux seguro.