Comando Netstat su Linux - Come Usare Netstat per la Gestione della Rete Linux

Cos'è Netstat?

• Connessioni di rete attive: Vedi a cosa si sta connettendo il tuo computer
• Tabelle di routing: Visualizza i percorsi che il tuo computer usa per inviare informazioni
• Interfacce di rete: Ottieni dettagli sui tuoi dispositivi di rete e sulla loro attività

Con netstat, puoi avere un'immagine chiara dello stato della tua rete e individuare eventuali problemi.

Sintassi di base

netstat [opzioni]

Puoi combinare diverse opzioni per ottenere le informazioni specifiche di cui hai bisogno. Alcuni esempi comuni:

• netstat -a: Mostra tutte le connessioni attive
• netstat -r: Visualizza la tabella di routing
• netstat -i: Elenca le statistiche delle interfacce di rete

Le opzioni ti permettono di regolare l'output di netstat per concentrarti sui dettagli che contano per la tua risoluzione dei problemi o analisi.

Elencare tutte le connessioni attive

netstat -a

Questo comando mostra sia le connessioni in ascolto che quelle stabilite, dando una panoramica dell'attività di rete. L'output include dettagli come il protocollo (TCP o UDP), gli indirizzi locali e remoti, e lo stato attuale di ogni connessione.

Per esempio:

Proto Recv-Q Send-Q Local Address           Foreign Address         State      
tcp        0      0 localhost:mysql         0.0.0.0:*               LISTEN     
tcp        0      0 192.168.1.100:ssh       192.168.1.50:1234       ESTABLISHED
udp        0      0 0.0.0.0:bootpc          0.0.0.0:*                          

Qui, possiamo vedere un server MySQL in ascolto, una connessione SSH stabilita, e una connessione UDP per DHCP (bootpc).

Elencare le connessioni TCP e UDP

netstat -at

E per le connessioni UDP:

netstat -au

Questo è utile quando stai risolvendo problemi relativi a un protocollo o servizio specifico. Per esempio, se stai avendo problemi con un server web, potresti usare netstat -at per controllare le sue connessioni TCP.

Mostrare le porte in ascolto

netstat -l

Puoi anche combinare questo con le opzioni -t o -u per filtrare le porte TCP o UDP:

netstat -lt netstat -lu

Questo è un modo rapido per vedere quali servizi sono in esecuzione sul tuo sistema e quali porte stanno usando. Per esempio:

Proto Recv-Q Send-Q Local Address           Foreign Address         State      
tcp        0      0 0.0.0.0:http            0.0.0.0:*               LISTEN     
tcp6       0      0 [::]:https              [::]:*                  LISTEN

Qui, possiamo vedere che il sistema sta eseguendo un server HTTP sulla porta 80 (http) e un server HTTPS sulla porta 443 (https), entrambi in ascolto per connessioni IPv4 e IPv6.

Usando questi comandi netstat per mostrare le connessioni attive e le porte in ascolto, puoi ottenere un'immagine chiara dei servizi di rete del tuo sistema Linux e trovare eventuali problemi potenziali o rischi per la sicurezza.

Mostrare le statistiche delle interfacce

netstat -i

Questo comando mostra un elenco di tutte le interfacce di rete sul tuo sistema, insieme a importanti metriche per ciascuna. L'output include:

• Nome dell'interfaccia (es. eth0, lo)
• Dimensione MTU (Maximum Transmission Unit)
• Numero di pacchetti ricevuti (RX) e inviati (TX)
• Numero di errori di ricezione (RX) e trasmissione (TX)
• Numero di pacchetti ricevuti (RX) e inviati (TX) scartati

Per esempio:

Kernel Interface table
Iface   MTU RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0   1500  1234      0      0 0         5678      0      0      0 BMRU
lo    65536   100      0      0 0          100      0      0      0 LRU

Qui, possiamo vedere statistiche per le interfacce eth0 (Ethernet) elo (loopback). Le colonne RX mostrano il numero di pacchetti ricevuti, ricevuti con errori, scartati e overflow. Le colonne TX mostrano le stesse informazioni per i pacchetti inviati.

Monitorare queste statistiche può aiutarti a trovare problemi di prestazioni o errori su interfacce specifiche. Per esempio, un numero elevato di RX-ERR o TX-ERR potrebbe indicare un problema fisico con un cavo di rete o una porta.

Mostrare la tabella di routing del kernel

netstat -r

Questo comando mostra ogni percorso come una riga con diversi campi:

• Destinazione: La rete o l'host di destinazione
• Gateway: Il gateway (router) usato per raggiungere la destinazione
• Genmask: La netmask per la rete di destinazione
• Flags: Flag che mostrano le caratteristiche del percorso (es. U per up, G per gateway)
• MSS: La dimensione massima del segmento predefinita per le connessioni TCP su questo percorso
• Window: La dimensione predefinita della finestra TCP
• irtt: Il tempo di andata e ritorno iniziale (irtt) per il percorso

Per esempio:

Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
default         192.168.1.1     0.0.0.0         UG        0 0          0 eth0
192.168.1.0     0.0.0.0         255.255.255.0   U         0 0          0 eth0

Qui, possiamo vedere due percorsi. Il primo è il percorso predefinito, che invia tutto il traffico al gateway a 192.168.1.1. Il secondo è un percorso per la rete locale 192.168.1.0/24, che è direttamente connessa all'interfaccia eth0.

Guardando la tabella di routing, puoi capire come il tuo sistema dirige il traffico di rete e risolvere problemi di connettività. Per esempio, se i pacchetti non raggiungono una destinazione specifica, potresti controllare la tabella di routing per vedere se c'è un percorso valido per quella destinazione.

Le visualizzazioni delle statistiche delle interfacce e della tabella di routing di netstat sono strumenti potenti per monitorare le prestazioni e la connettività di rete del tuo sistema Linux. Tenendo d'occhio queste metriche, puoi trovare e risolvere problemi di rete prima che influenzino i tuoi utenti o applicazioni.

Monitorare l'attività di rete in modo continuo

Per esempio, eseguendo:

netstat -c

Questo comando mostrerà le informazioni di rete e le aggiornerà ogni secondo. Questo è utile per trovare cambiamenti improvvisi nel comportamento della rete, come un picco di connessioni o un improvviso calo di throughput. Monitorando l'output nel tempo, puoi trovare tendenze e anomalie che potrebbero indicare un problema in sviluppo.

Trovare i processi che usano le porte

Per esempio:

netstat -p

Questo comando mostrerà un elenco di connessioni di rete attive, insieme al PID e al nome del programma che possiede ciascun socket. Se vedi una porta in uso che non riconosci, puoi usare il PID per investigare ulteriormente con strumenti come ps e lsof.

Questo è particolarmente utile per risolvere conflitti di porte. Se due programmi stanno cercando di usare la stessa porta, netstat -p ti mostrerà quali processi sono coinvolti. Puoi quindi prendere misure per riconfigurare uno dei programmi per usare una porta diversa.

È anche uno strumento di sicurezza prezioso. Controllando regolarmente la presenza di processi sconosciuti che usano porte di rete, puoi trovare attività sospette che potrebbero indicare un sistema compromesso o hackerato.

Combinare Netstat con Grep

Per esempio, per mostrare solo le connessioni a una porta specifica (es. 80 per HTTP), puoi usare:

netstat -an | grep ':80'

Questo passa l'output di netstat -an (che mostra tutti i socket, output numerico) a grep, che cerca le righe contenenti :80. Il risultato è un elenco di tutte le connessioni che coinvolgono la porta 80.

Puoi usare un metodo simile per trovare connessioni a un indirizzo IP specifico:

netstat -an | grep '192.168.1.100'

Questo è un modo potente per trovare rapidamente informazioni rilevanti, specialmente quando stai gestendo un sistema occupato o un problema di rete complesso. Combinando netstat con grep, puoi rispondere a domande come:

• Il mio server web sta accettando connessioni sulla porta 80?
• Ci sono connessioni a un indirizzo IP sospetto?
• Quali client sono attualmente connessi al mio server database?

Con queste tecniche avanzate di netstat - monitoraggio continuo, ricerca di processi e filtraggio dell'output - puoi portare le tue abilità di risoluzione dei problemi di rete a un livello superiore. Che tu sia un amministratore di sistema che gestisce una flotta di server Linux o un utente esperto che cerca di ottimizzare il proprio sistema, netstat è uno strumento importante da avere nel tuo kit.

Mostrare le statistiche del traffico di rete

Per visualizzare queste statistiche, esegui:

netstat -s

Questo comando stamperà un riepilogo delle statistiche del traffico per TCP, UDP, ICMP e altri protocolli. Le statistiche includono informazioni come:

• Segmenti inviati e ricevuti
• Segmenti ritrasmessi
• Errori ricevuti
• Pacchetti inviati e ricevuti
• Pacchetti scartati

Per esempio, nella sezione TCP, potresti vedere:

Tcp:
    1234 aperture di connessioni attive
    5678 aperture di connessioni passive
    10 tentativi di connessione falliti
    123 reset di connessione ricevuti
    1 connessioni stabilite
    1234567 segmenti ricevuti
    7654321 segmenti inviati
    123 segmenti ritrasmessi
    0 segmenti errati ricevuti.
    1234 reset inviati

Queste statistiche possono aiutarti a trovare problemi di prestazioni di rete. Un numero elevato di segmenti ritrasmessi potrebbe indicare congestione di rete o un collegamento di rete inaffidabile. Un gran numero di tentativi di connessione falliti potrebbe indicare un problema con un servizio o un attacco di scansione delle porte.

Allo stesso modo, le sezioni UDP e ICMP mostrano statistiche per quei protocolli. Livelli elevati di messaggi ICMP "destinazione irraggiungibile" potrebbero significare problemi di routing o un attacco DDoS.

Controllando regolarmente queste statistiche, puoi stabilire una linea di base per la normale attività di rete del tuo sistema. Qualsiasi grande cambiamento da questa linea di base può essere un segnale di avvertimento precoce di un problema in via di sviluppo.

Controllare l'utilizzo della larghezza di banda di rete

Per vedere queste informazioni, esegui:

netstat -i

L'output assomiglierà a qualcosa del genere:

Kernel Interface table
Iface   MTU RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0   1500 1234567   0      0 0      7654321    0      0      0 BMRU
lo    65536   1234   0      0 0         1234    0      0      0 LRU

Le colonne RX-OK e TX-OK mostrano il numero totale di byte ricevuti e trasmessi da ciascuna interfaccia. Controllando questi numeri nel tempo, puoi vedere quali interfacce stanno gestendo la maggior parte del traffico e se qualcuna sta avvicinandosi ai suoi limiti di capacità.

Per esempio, se vedi che il valore TX-OK di un'interfaccia è costantemente alto e in crescita, potrebbe significare che l'interfaccia è satura e potrebbe beneficiare di un aggiornamento della larghezza di banda.

Puoi anche usare queste informazioni per trovare consumatori eccessivi di larghezza di banda - applicazioni o utenti che stanno usando una grande porzione delle tue risorse di rete. Abbinando l'elevato utilizzo della larghezza di banda ad altra attività del sistema, puoi trovare la fonte del traffico e prendere misure per gestirla.

Le funzionalità di statistiche del traffico e monitoraggio della larghezza di banda di netstat sono importanti per qualsiasi amministratore di sistema Linux o gestore di rete. Osservando queste metriche, puoi assicurarti che la tua rete stia funzionando bene e che tu abbia la capacità di gestire il tuo carico di lavoro. Con netstat nel tuo arsenale, sei ben equipaggiato per analizzare e risolvere problemi di traffico di rete Linux.

Monitorare i servizi di rete sui server Linux

netstat -tulpn

Questo comando elenca tutte le porte TCP e UDP che sono in ascolto, insieme ai processi correlati. L'output assomiglia a questo:

Connessioni Internet attive (solo server)
Proto Recv-Q Send-Q Indirizzo locale           Indirizzo remoto         Stato       PID/Nome programma
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1234/sshd       
tcp        0      0 127.0.0.1:631           0.0.0.0:*               LISTEN      5678/cupsd      
tcp6       0      0 :::80                   :::*                    LISTEN      9012/apache2

Ogni riga mostra un servizio di rete che è in esecuzione sul server, insieme a:

• Il protocollo (TCP o UDP)
• L'indirizzo e la porta locali
• L'indirizzo e la porta remoti (se presenti)
• Lo stato del socket (es. LISTEN, ESTABLISHED)
• Il PID e il nome del processo che possiede il socket

Eseguendo questo comando regolarmente, puoi tenere traccia di quali servizi di rete sono in esecuzione sul tuo server. Puoi controllare che tutti i servizi necessari siano attivi (come SSH, HTTP e database) e che non ci siano servizi inaspettati in ascolto.

Questa è anche una pratica di sicurezza importante. Monitorando le porte in ascolto, puoi trovare eventuali servizi non autorizzati che potrebbero essere stati installati da un attaccante o da un'applicazione maligna. Se vedi servizi o porte non familiari, puoi usare il PID per investigare il processo correlato.

Inoltre, puoi usare netstat per risolvere problemi di servizi. Se un servizio non risponde, puoi controllare netstat per assicurarti che sia in esecuzione e in ascolto sulla porta corretta. Se è in ascolto ma non risponde, potresti dover controllare i log del servizio o riavviare il servizio.

In generale, eseguire netstat -tulpn dovrebbe essere una parte regolare della tua routine di gestione del server Linux. È un modo rapido e facile per monitorare i tuoi servizi di rete, individuare potenziali problemi e mantenere i tuoi server sicuri. Combinato con altri strumenti come ps, lsof e il monitoraggio dei log, netstat è una parte chiave di una strategia completa di gestione del server.

Usare Netstat con sistemi di monitoraggio

Questo ti permette di impostare controlli e avvisi automatici per problemi di rete. Per esempio, potresti creare un avviso che si attiva quando il numero di connessioni stabilite a una porta specifica supera un limite, o quando il numero di pacchetti UDP scartati da un'interfaccia aumenta.

Integrando netstat con il tuo sistema di monitoraggio, puoi trovare e risolvere problemi di rete prima che influenzino gli utenti. Invece di eseguire manualmente netstat quando viene segnalato un problema, il tuo sistema di monitoraggio può controllare costantemente le metriche netstat e avvisarti di possibili problemi.

Questo tipo di monitoraggio automatico è particolarmente utile per reti grandi o complesse, dove il controllo manuale non è pratico. È anche utile per trovare problemi intermittenti che potrebbero essere persi dai controlli puntuali.

Scrivere script con Netstat per il monitoraggio automatico

Per un'elaborazione più complessa, potresti usare un linguaggio di scripting come Python per lavorare e analizzare i dati netstat. Per esempio, uno script Python potrebbe:

1. Eseguire netstat -i per ottenere le statistiche delle interfacce
2. Analizzare l'output per estrarre i byte inviati e ricevuti per ogni interfaccia
3. Calcolare la variazione dei byte nel tempo per ottenere l'utilizzo della larghezza di banda
4. Controllare l'utilizzo della larghezza di banda rispetto a limiti definiti
5. Inviare un avviso se vengono superati dei limiti

Scrivendo script per netstat, puoi creare soluzioni di monitoraggio personalizzate adattate alle esigenze specifiche della tua rete. Puoi definire le tue metriche, limiti e condizioni di avviso, e far eseguire lo script secondo un programma che funziona per il tuo ambiente.

Lo scripting permette anche un'analisi dei dati più avanzata. Potresti avere uno script che combina i dati netstat nel tempo e genera report sulle tendenze di utilizzo della rete a lungo termine. Oppure potresti confrontare i dati netstat con altre metriche di sistema per trovare le cause radice dei problemi di prestazioni.

Che tu usi semplici script shell o programmi Python più avanzati, lo scripting è un modo potente per automatizzare il monitoraggio netstat e ottenere più valore dai dati netstat.

In conclusione, netstat non è solo uno strumento di risoluzione dei problemi una tantum, ma una preziosa fonte di dati per il monitoraggio continuo della rete. Integrando netstat con sistemi di monitoraggio e utilizzando script per automatizzare la raccolta e l'analisi dei dati, puoi gestire attivamente la salute e le prestazioni della tua rete. Con un po' di configurazione, netstat può essere il cuore di una solida soluzione di monitoraggio della rete.

Identificare attività di rete sospette

Questo output può aiutarti a trovare connessioni insolite o non autorizzate che potrebbero indicare una violazione della sicurezza o un'infezione da malware. Ecco cosa cercare:

• Indirizzi locali o remoti non familiari: Connessioni verso o da indirizzi IP che non conosci potrebbero essere un segno di accesso non autorizzato.
• Porte inaspettate: Connessioni su porte insolite, specialmente porte con numeri alti, potrebbero indicare attività di malware o una backdoor.
• Processi sconosciuti: Connessioni associate a processi non familiari potrebbero significare che un attaccante ha installato software non autorizzato.

Per esempio, se vedi una connessione come questa:

tcp   0   0 192.168.1.100:22 192.168.1.50:12345 ESTABLISHED 1234/sshd  

Questo mostra una connessione SSH da 192.168.1.50 al tuo sistema (192.168.1.100) sulla porta 22. Se non ti aspetti accesso SSH da quell'IP, potrebbe essere un tentativo di accesso non autorizzato.

Allo stesso modo, una riga come questa:

tcp   0   0 192.168.1.100:31337 1.2.3.4:80 ESTABLISHED 5678/processo_misterioso

Potrebbe essere molto sospetta. Mostra una connessione in uscita dal tuo sistema verso un IP non familiare sulla porta 31337, che è spesso usata da trojan e backdoor. Il nome del processo non familiare aumenta la preoccupazione.

Eseguendo regolarmente netstat -anp, puoi trovare questi tipi di segnali d'allarme precocemente. Questo ti permette di investigare ulteriormente con strumenti come lsof, ps e l'analisi dei log per determinare se c'è un reale problema di sicurezza.

È una buona idea eseguire questo controllo regolarmente e ogni volta che vedi segni di una possibile violazione, come un uso elevato della CPU o voci di log sospette. Usando netstat per trovare e rispondere rapidamente ai problemi di sicurezza, puoi ridurre i danni e mantenere il tuo sistema Linux al sicuro.