推荐使用ss命令实时查看linux网络连接，因其性能高、字段清晰；netstat兼容性强但较慢；lsof可精确定位进程；ss -s提供全局连接概览；二者输出差异需注意状态映射与范围不同。
如果您需要实时掌握Linux服务器上的网络连接状态，但不确定该用哪个命令或如何准确解读结果，则可能是由于对ss与netstat的适用场景和输出含义缺乏区分。以下是针对此问题的多种排查与分析方法：
一、使用ss命令查看当前TCP连接
ss是现代Linux系统中推荐的高性能套接字统计工具，它直接从内核tcp_diag模块获取数据，响应速度快，尤其适用于高并发连接环境。其输出结构清晰，字段含义明确，适合快速定位活跃连接。
1、执行ss -tan列出所有TCP连接（含ESTABLISHED、TIME-WAIT等状态），不解析主机名和端口名，提升执行效率。
2、执行ss -tan state established筛选出所有已建立的连接，便于判断真实业务流量。
3、执行ss -tan dst 192.168.1.100查看与指定目标IP的所有TCP连接，适用于追踪异常通信源。
二、使用netstat命令查看监听与连接状态
netstat作为传统网络诊断工具，兼容性极强，适用于老旧系统或需与历史脚本保持一致的运维场景。它通过读取/proc/net/tcp等文件构建连接视图，虽性能较低，但输出格式更易被初学者理解。
1、执行netstat -tuln显示所有监听中的TCP/UDP端口，确认服务是否按预期绑定地址与端口。
2、执行netstat -ant | grep ESTABLISHED过滤出已建立的TCP连接，辅助验证客户端连通性。
3、执行netstat -tunlp | grep :22检查SSH端口（22）被哪个进程监听，需root权限才能显示PID及程序名。
三、使用lsof命令定位端口占用进程
lsof通过文件描述符机制将网络套接字与进程直接关联，特别适用于排查“端口被占”、“连接无法释放”等与具体进程强相关的故障。它不依赖net-tools或iproute包，独立性强。
1、执行lsof -i -P -n | grep LISTEN列出所有监听状态的网络服务，禁用端口和服务名解析，加快输出速度。
2、执行lsof -i :80精确查找占用80端口的进程及其PID，适用于Web服务冲突排查。
3、执行lsof -iTCP -sTCP:ESTABLISHED仅显示处于ESTABLISHED状态的TCP连接及对应进程，排除干扰信息。
四、结合ss -s进行连接健康度概览
ss -s提供一行式全局摘要，涵盖TCP总连接数、各状态连接数量、内存队列堆积情况等关键指标，是快速评估系统网络负载的第一步，无需逐行解析长列表。
1、执行ss -s获取整体连接统计，重点关注TCP: total X, estab Y, closed Z字段。
2、观察输出中Recv-Q与Send-Q非零值，若持续存在较大数值，说明对应连接存在接收或发送缓冲区堆积，可能指向应用处理瓶颈。
3、检查timewait计数是否显著高于正常范围（如超过5000），提示可能存在端口资源耗尽风险。
五、对比分析ss与netstat输出差异
同一查询目标下，ss与netstat在字段命名、默认排序、状态归类逻辑上存在差异，直接对比可能引发误判。例如netstat将SYN_RECV归为LISTENING，而ss将其列为独立状态；又如netstat默认包含Unix域套接字，ss需显式加-x参数才显示。
1、执行ss -tan | wc -l与netstat -ant | wc -l分别统计TCP连接行数，注意两者包含的连接类型范围不同。
2、对同一端口执行ss -tulnp | grep :443和netstat -tulnp | grep :443，比对Local Address列中绑定地址是否一致（如0.0.0.0 vs 127.0.0.1）。
3、当发现ss显示某连接为FIN-WAIT-2而netstat显示为CLOSE_WAIT时，应以ss为准，因其状态映射更贴近内核实际TCP FSM。
