- SunHD2026-09-11
同样的方法只有这一台特别高
主楼 - seamee2026-09-11
统计每个 IP 的连接数```
ss -s; echo "=== 远端 IP 汇总 ==="; ss -H -tan state established | awk '{print $4}' | sed 's/:[0-9]$//' | sort | uniq -c | sort -nr | head -20; echo "=== 本地端口汇总（看哪些服务在跑）==="; ss -H -tan state established | awk '{print $3}' | sed 's/.://' | sort | uniq -c | sort -nr | head -20 - itonlin111-nodeseek2026-09-11
现有命令能看远端 IP 和本地端口，再补一层“连接状态 + 进程”会更快定位：
ss -tan | awk 'NR>1{n[$1]++} END{for(s in n) print s,n[s]}'看主要是 ESTAB、TIME-WAIT 还是 SYN-RECV，sudo ss -tanp看由哪个进程持有。若 TIME-WAIT 居多，通常是大量短连接；SYN-RECV 居多再查入站扫描或攻击；ESTAB 集中在同一服务或远端，则继续按进程、端口和日志核对。也建议先确认监控面板统计的是并发连接、连接创建速率，还是包含 TIME-WAIT 的总量，口径不同会差很多。