Linux Netstat Commando - Hoe Netstat Te Gebruiken Voor Linux Netwerkbeheer

Wat is Netstat?

• Actieve netwerkverbindingen: Zie waarmee uw computer verbinding maakt
• Routeringstabellen: Bekijk de paden die uw computer gebruikt om informatie te verzenden
• Netwerkinterfaces: Krijg details over uw netwerkapparaten en hun activiteit

Met netstat kunt u een duidelijk beeld krijgen van uw netwerkstatus en eventuele problemen vinden.

Basissyntaxis

netstat [opties]

U kunt verschillende opties combineren om de specifieke informatie te krijgen die u nodig heeft. Enkele veelvoorkomende voorbeelden:

• netstat -a: Toont alle actieve verbindingen
• netstat -r: Geeft de routeringstabel weer
• netstat -i: Toont statistieken van netwerkinterfaces

De opties laten u de output van netstat aanpassen om te focussen op de details die belangrijk zijn voor uw troubleshooting of analyse.

Alle actieve verbindingen weergeven

netstat -a

Dit commando toont zowel luisterende als tot stand gebrachte verbindingen, wat een overzicht geeft van uw netwerkactiviteit. De output bevat details zoals het protocol (TCP of UDP), lokale en externe adressen, en de huidige status van elke verbinding.

Bijvoorbeeld:

Proto Recv-Q Send-Q Local Address           Foreign Address         State      
tcp        0      0 localhost:mysql         0.0.0.0:*               LISTEN     
tcp        0      0 192.168.1.100:ssh       192.168.1.50:1234       ESTABLISHED
udp        0      0 0.0.0.0:bootpc          0.0.0.0:*                          

Hier kunnen we een luisterende MySQL-server zien, een tot stand gebrachte SSH-verbinding, en een UDP-verbinding voor DHCP (bootpc).

TCP- en UDP-verbindingen weergeven

netstat -at

En voor UDP-verbindingen:

netstat -au

Dit is nuttig wanneer u problemen oplost die verband houden met een specifiek protocol of service. Als u bijvoorbeeld problemen heeft met een webserver, kunt u netstat -at gebruiken om de TCP-verbindingen ervan te controleren.

Luisterende poorten weergeven

netstat -l

U kunt dit ook combineren met de -t of -u opties om te filteren op TCP- of UDP-poorten:

netstat -lt netstat -lu

Dit is een snelle manier om te zien welke services op uw systeem draaien en welke poorten ze gebruiken. Bijvoorbeeld:

Proto Recv-Q Send-Q Local Address           Foreign Address         State      
tcp        0      0 0.0.0.0:http            0.0.0.0:*               LISTEN     
tcp6       0      0 [::]:https              [::]:*                  LISTEN

Hier kunnen we zien dat het systeem een HTTP-server draait op poort 80 (http) en een HTTPS-server op poort 443 (https), beide luisterend naar IPv4- en IPv6-verbindingen.

Door deze netstat-commando's te gebruiken om actieve verbindingen en luisterende poorten te tonen, kunt u een duidelijk beeld krijgen van de netwerkservices van uw Linux-systeem en eventuele potentiële problemen of beveiligingsrisico's vinden.

Interfacestatistieken weergeven

netstat -i

Dit commando toont een lijst van alle netwerkinterfaces op uw systeem, samen met belangrijke statistieken voor elk ervan. De output bevat:

• Interfacenaam (bijv. eth0, lo)
• MTU (Maximum Transmission Unit) grootte
• Aantal ontvangen (RX) en verzonden (TX) pakketten
• Aantal ontvangst- (RX) en verzendfouten (TX)
• Aantal ontvangen (RX) en verzonden (TX) pakketten die verloren gingen

Bijvoorbeeld:

Kernel Interface table
Iface   MTU RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0   1500  1234      0      0 0         5678      0      0      0 BMRU
lo    65536   100      0      0 0          100      0      0      0 LRU

Hier kunnen we statistieken zien voor de eth0 (Ethernet) en lo (loopback) interfaces. De RX-kolommen tonen het aantal ontvangen pakketten, ontvangen met fouten, verloren gegaan, en overruns. De TX-kolommen tonen dezelfde informatie voor verzonden pakketten.

Het monitoren van deze statistieken kan u helpen prestatieproblemen of fouten op specifieke interfaces te vinden. Een hoog aantal RX-ERR of TX-ERR kan bijvoorbeeld een fysiek probleem met een netwerkkabel of poort aangeven.

Kernel routeringstabel weergeven

netstat -r

Dit commando toont elke route als een regel met verschillende velden:

• Destination: Het bestemmingsnetwerk of host
• Gateway: De gateway (router) gebruikt om de bestemming te bereiken
• Genmask: Het netmasker voor het bestemmingsnetwerk
• Flags: Vlaggen die route-eigenschappen aangeven (bijv. U voor up, G voor gateway)
• MSS: De standaard maximale segmentgrootte voor TCP-verbindingen via deze route
• Window: De standaard TCP-venstergrootte
• irtt: De initiële round trip time (irtt) voor de route

Bijvoorbeeld:

Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
default         192.168.1.1     0.0.0.0         UG        0 0          0 eth0
192.168.1.0     0.0.0.0         255.255.255.0   U         0 0          0 eth0

Hier kunnen we twee routes zien. De eerste is de standaardroute, die al het verkeer naar de gateway op 192.168.1.1 stuurt. De tweede is een route voor het lokale 192.168.1.0/24 netwerk, dat direct verbonden is met de eth0 interface.

Door de routeringstabel te bekijken, kunt u begrijpen hoe uw systeem netwerkverkeer routeert en connectiviteitsproblemen oplossen. Als pakketten bijvoorbeeld een specifieke bestemming niet bereiken, kunt u de routeringstabel controleren om te zien of er een geldige route voor die bestemming is.

De interfacestatistieken en routeringstabelweergaven van netstat zijn krachtige gereedschappen voor het monitoren van de netwerkprestaties en connectiviteit van uw Linux-systeem. Door deze statistieken in de gaten te houden, kunt u netwerkproblemen vinden en oplossen voordat ze uw gebruikers of applicaties beïnvloeden.

Netwerkactiviteit continu monitoren

Bijvoorbeeld, het uitvoeren van:

netstat -c

Dit commando zal de netwerkinformatie tonen en deze elke seconde bijwerken. Dit is nuttig voor het vinden van plotselinge veranderingen in netwerkgedrag, zoals een piek in verbindingen of een plotselinge daling in doorvoer. Door de output in de loop van de tijd te monitoren, kunt u trends en anomalieën vinden die kunnen wijzen op een zich ontwikkelend probleem.

Processen vinden die poorten gebruiken

Bijvoorbeeld:

netstat -p

Dit commando toont een lijst van actieve netwerkverbindingen, samen met de PID en naam van het programma dat elke socket bezit. Als u een poort in gebruik ziet die u niet herkent, kunt u de PID gebruiken om verder te onderzoeken met gereedschappen zoals ps en lsof.

Dit is vooral nuttig voor het oplossen van poortconflicten. Als twee programma's dezelfde poort proberen te gebruiken, zal netstat -p u tonen welke processen betrokken zijn. U kunt dan stappen ondernemen om een van de programma's te herconfigureren om een andere poort te gebruiken.

Het is ook een waardevol beveiligingsgereedschap. Door regelmatig te controleren op onbekende processen die netwerkpoorten gebruiken, kunt u verdachte activiteit vinden die kan wijzen op een gehackt of gecompromitteerd systeem.

Netstat combineren met Grep

Om bijvoorbeeld alleen verbindingen naar een specifieke poort (bijv. 80 voor HTTP) te tonen, kunt u gebruiken:

netstat -an | grep ':80'

Dit stuurt de output van netstat -an (die alle sockets toont, numerieke output) door naar grep, dat zoekt naar regels die :80 bevatten. Het resultaat is een lijst van alle verbindingen met poort 80.

U kunt een vergelijkbare methode gebruiken om verbindingen naar een specifiek IP-adres te vinden:

netstat -an | grep '192.168.1.100'

Dit is een krachtige manier om snel relevante informatie te vinden, vooral wanneer u te maken heeft met een druk systeem of een complex netwerkprobleem. Door netstat met grep te combineren, kunt u vragen beantwoorden zoals:

• Accepteert mijn webserver verbindingen op poort 80?
• Zijn er verbindingen naar een verdacht IP-adres?
• Welke clients zijn momenteel verbonden met mijn databaseserver?

Met deze geavanceerde netstat-technieken - continue monitoring, processen vinden en output filteren - kunt u uw netwerk troubleshooting vaardigheden naar een hoger niveau tillen. Of u nu een systeembeheerder bent die een vloot Linux-servers beheert of een poweruser die zijn eigen systeem probeert te optimaliseren, netstat is een belangrijk gereedschap om in uw toolkit te hebben.

Netwerkverkeersstatistieken weergeven

Om deze statistieken te bekijken, voert u uit:

netstat -s

Dit commando zal een samenvatting printen van de verkeersstatistieken voor TCP, UDP, ICMP en andere protocollen. De statistieken bevatten informatie zoals:

• Verzonden en ontvangen segmenten
• Opnieuw verzonden segmenten
• Ontvangen fouten
• Verzonden en ontvangen pakketten
• Verloren pakketten

Bijvoorbeeld, in de TCP-sectie, zou u kunnen zien:

Tcp:
    1234 active connections openings
    5678 passive connection openings
    10 failed connection attempts
    123 connection resets received
    1 connections established
    1234567 segments received
    7654321 segments send out
    123 segments retransmited
    0 bad segments received.
    1234 resets sent

Deze statistieken kunnen u helpen netwerkprestatieproblemen te vinden. Een hoog aantal opnieuw verzonden segmenten kan netwerkcongestie of een onbetrouwbare netwerkverbinding aangeven. Een groot aantal mislukte verbindingspogingen kan wijzen op een probleem met een service of een poortscanneraanval.

Op dezelfde manier tonen de UDP- en ICMP-secties statistieken voor die protocollen. Hoge niveaus van ICMP "destination unreachable" berichten kunnen routeringsproblemen of een DDoS-aanval betekenen.

Door regelmatig deze statistieken te controleren, kunt u een basislijn instellen voor de normale netwerkactiviteit van uw systeem. Elke grote verandering ten opzichte van deze basislijn kan een vroeg waarschuwingssignaal zijn van een zich ontwikkelend probleem.

Netwerkbandbreedte-gebruik controleren

Om deze informatie te zien, voert u uit:

netstat -i

De output zal er ongeveer zo uitzien:

Kernel Interface table
Iface   MTU RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0   1500 1234567   0      0 0      7654321    0      0      0 BMRU
lo    65536   1234   0      0 0         1234    0      0      0 LRU

De RX-OK en TX-OK kolommen tonen het totale aantal bytes ontvangen en verzonden door elke interface. Door deze getallen in de loop van de tijd te controleren, kunt u zien welke interfaces het meeste verkeer verwerken en of er interfaces hun capaciteitslimieten naderen.

Als u bijvoorbeeld ziet dat de TX-OK waarde van een interface consistent hoog is en groeit, kan dit betekenen dat de interface verzadigd is en baat zou kunnen hebben bij een bandbreedte-upgrade.

U kunt deze informatie ook gebruiken om bandbreedtevreters te vinden - applicaties of gebruikers die een groot deel van uw netwerkbronnen gebruiken. Door hoog bandbreedtegebruik te koppelen aan andere systeemactiviteit, kunt u de bron van het verkeer vinden en stappen ondernemen om het te beheren.

De verkeersstatistieken en bandbreedte-monitoringfuncties van netstat zijn belangrijk voor elke Linux-systeembeheerder of netwerkbeheerder. Door deze statistieken in de gaten te houden, kunt u ervoor zorgen dat uw netwerk goed presteert en dat u de capaciteit heeft om uw werkbelasting te verwerken. Met netstat in uw gereedschapskist bent u goed uitgerust om Linux-netwerkverkeer te analyseren en problemen op te lossen.

Netwerkservices monitoren op Linux-servers

netstat -tulpn

Dit commando toont alle TCP- en UDP-poorten waarnaar wordt geluisterd, samen met de gerelateerde processen. De output ziet er zo uit:

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1234/sshd       
tcp        0      0 127.0.0.1:631           0.0.0.0:*               LISTEN      5678/cupsd      
tcp6       0      0 :::80                   :::*                    LISTEN      9012/apache2

Elke regel toont een netwerkservice die op de server draait, samen met:

• Het protocol (TCP of UDP)
• Het lokale adres en de poort
• Het externe adres en de poort (indien van toepassing)
• De status van de socket (bijv. LISTEN, ESTABLISHED)
• De PID en naam van het proces dat de socket bezit

Door dit commando regelmatig uit te voeren, kunt u bijhouden welke netwerkservices op uw server draaien. U kunt controleren of alle benodigde services actief zijn (zoals SSH, HTTP en databases) en dat er geen onverwachte services luisteren.

Dit is ook een belangrijke beveiligingspraktijk. Door de luisterende poorten te monitoren, kunt u ongeautoriseerde services vinden die mogelijk door een aanvaller of een malafide applicatie zijn geïnstalleerd. Als u onbekende services of poorten ziet, kunt u de PID gebruiken om het gerelateerde proces te onderzoeken.

Daarnaast kunt u netstat gebruiken om serviceproblemen op te lossen. Als een service niet reageert, kunt u netstat controleren om er zeker van te zijn dat deze draait en luistert op de juiste poort. Als deze luistert maar niet reageert, moet u mogelijk de servicelogs controleren of de service herstarten.

Over het algemeen zou het uitvoeren van netstat -tulpn een regelmatig onderdeel moeten zijn van uw Linux-serverbeheerroutine. Het is een snelle en eenvoudige manier om uw netwerkservices te monitoren, potentiële problemen op te vangen en uw servers veilig te houden. Gecombineerd met andere gereedschappen zoals ps, lsof en logmonitoring, is netstat een belangrijk onderdeel van een complete serverbeheer strategie.

Netstat gebruiken met monitoringsystemen

Dit laat u automatische controles en waarschuwingen instellen voor netwerkproblemen. U zou bijvoorbeeld een waarschuwing kunnen maken die wordt geactiveerd wanneer het aantal tot stand gebrachte verbindingen naar een specifieke poort boven een limiet komt, of wanneer het aantal UDP-pakketten dat door een interface wordt verloren, toeneemt.

Door netstat te integreren met uw monitoringsysteem, kunt u netwerkproblemen vinden en oplossen voordat ze gebruikers beïnvloeden. In plaats van handmatig netstat uit te voeren wanneer een probleem wordt gemeld, kan uw monitoringsysteem voortdurend netstat-statistieken controleren en u waarschuwen voor mogelijke problemen.

Dit type automatische monitoring is vooral nuttig voor grote of complexe netwerken, waar handmatige controle niet praktisch is. Het is ook nuttig voor het vinden van intermitterende problemen die mogelijk worden gemist door steekproefsgewijze controles.

Scripten met Netstat voor automatische monitoring

Voor complexere verwerking zou u een scripttaal zoals Python kunnen gebruiken om netstat-gegevens te bewerken en analyseren. Een Python-script zou bijvoorbeeld kunnen:

1. netstat -i uitvoeren om interfacestatistieken te krijgen
2. De output parsen om de verzonden en ontvangen bytes voor elke interface te extraheren
3. De verandering in bytes over tijd berekenen om bandbreedte-gebruik te krijgen
4. Het bandbreedte-gebruik controleren tegen gedefinieerde limieten
5. Een waarschuwing verzenden als limieten worden overschreden

Door netstat te scripten, kunt u aangepaste monitoringsoplossingen maken die zijn afgestemd op de specifieke behoeften van uw netwerk. U kunt uw eigen statistieken, limieten en waarschuwingsvoorwaarden definiëren, en het script laten draaien volgens een schema dat werkt voor uw omgeving.

Scripten maakt ook geavanceerdere data-analyse mogelijk. U zou een script kunnen hebben dat netstat-gegevens combineert over tijd en rapporten genereert over langetermijn netwerkgebruikstrends. Of u zou netstat-gegevens kunnen vergelijken met andere systeemstatistieken om de hoofdoorzaken van prestatieproblemen te vinden.

Of u nu eenvoudige shell-scripts of meer geavanceerde Python-programma's gebruikt, scripten is een krachtige manier om netstat-monitoring te automatiseren en meer waarde te halen uit de netstat-gegevens.

Concluderend, netstat is niet alleen een eenmalig troubleshooting-gereedschap maar een waardevolle gegevensbron voor continue netwerkmonitoring. Door netstat te integreren met monitoringsystemen en scripts te gebruiken om gegevensverzameling en analyse te automatiseren, kunt u actief de gezondheid en prestaties van uw netwerk beheren. Met een beetje setup kan netstat het hart zijn van een robuuste netwerkmonitoringsoplossing.

Verdachte netwerkactiviteit identificeren

Deze output kan u helpen ongebruikelijke of ongeautoriseerde verbindingen te vinden die een beveiligingslek of malware-infectie kunnen betekenen. Dit is waar u op moet letten:

• Onbekende lokale of externe adressen: Verbindingen naar of van IP-adressen die u niet kent, kunnen een teken zijn van ongeautoriseerde toegang.
• Onverwachte poorten: Verbindingen op ongebruikelijke poorten, vooral hoog genummerde poorten, kunnen malware-activiteit of een achterdeur aangeven.
• Onbekende processen: Verbindingen gekoppeld aan onbekende processen kunnen betekenen dat een aanvaller ongeautoriseerde software heeft geïnstalleerd.

Als u bijvoorbeeld een verbinding ziet zoals deze:

tcp   0   0 192.168.1.100:22 192.168.1.50:12345 ESTABLISHED 1234/sshd  

Dit toont een SSH-verbinding van 192.168.1.50 naar uw systeem (192.168.1.100) op poort 22. Als u geen SSH-toegang van dat IP verwacht, kan dit een ongeautoriseerde inlogpoging zijn.

Op dezelfde manier, een regel zoals deze:

tcp   0   0 192.168.1.100:31337 1.2.3.4:80 ESTABLISHED 5678/mystery_process

Dit zou zeer verdacht kunnen zijn. Het toont een uitgaande verbinding van uw systeem naar een onbekend IP op poort 31337, die vaak wordt gebruikt door trojans en achterdeuren. De onbekende procesnaam voegt toe aan de zorg.

Door regelmatig netstat -anp te controleren, kunt u dit soort rode vlaggen vroeg vinden. Dit stelt u in staat verder te onderzoeken met gereedschappen zoals lsof, ps en loganalyse om te bepalen of er een echt beveiligingsprobleem is.

Het is een goed idee om deze controle regelmatig uit te voeren en wanneer u tekenen ziet van een mogelijke inbreuk, zoals hoog CPU-gebruik of verdachte logvermeldingen. Door netstat te gebruiken om beveiligingsproblemen snel te vinden en erop te reageren, kunt u de schade verminderen en uw Linux-systeem veilig houden.