TCP 连接状态详解

TCP 连接状态由 RFC 793 定义，共 11 种标准状态。以下按连接生命周期详细解释：

1. 连接建立阶段

LISTEN (监听)

状态值 ：0A（十六进制）/ 10（十进制）
含义：服务器端等待客户端的连接请求
触发条件 ：调用 listen() 系统调用后

查看方法 ：

bash 复制代码

ss -lnt      # 查看所有监听端口
netstat -lnt

典型场景 ：

bash 复制代码

# Web服务器监听
Proto Recv-Q Send-Q Local Address:Port  Peer Address:Port  
tcp   0      0      *:80                *:*              LISTEN

SYN-SENT (同步已发送)

状态值 ：02 / 2
含义：客户端发送 SYN 后等待服务器回复
触发条件 ：调用 connect() 后，发送 SYN 包
持续时间：通常很短（RTT + 处理时间）

问题诊断 ：

bash 复制代码

# 大量SYN-SENT可能表示：
# 1. 服务器未响应
# 2. 防火墙阻止
ss -ant | grep -c SYN-SENT

SYN-RECEIVED (同步已接收)

状态值 ：03 / 3
别名：SYN-RCVD
含义：服务器收到 SYN，发送 SYN+ACK 后等待客户端 ACK
触发条件：服务器收到 SYN，发送 SYN+ACK 后
半连接队列 ：处于此状态的连接在半连接队列（SYN Queue）
安全注意 ：SYN Flood 攻击的目标状态

调优参数 ：

bash 复制代码

sysctl net.ipv4.tcp_max_syn_backlog    # 半连接队列大小
sysctl net.ipv4.tcp_syncookies         # 防御SYN Flood

2. 连接已建立阶段

ESTABLISHED (已建立连接)

状态值 ：01 / 1
含义：连接已建立，可以正常传输数据
触发条件：完成三次握手后
全连接队列 ：从 SYN-RCVD 移入全连接队列（Accept Queue）

查看详细 ：

bash 复制代码

# 查看所有已建立连接
ss -nt
# 按进程查看
ss -ntp

数据传输 ：

lua 复制代码

客户端                                   服务器
  |           ESTABLISHED              |
  | <-------------------------------> |
  |         数据自由流动               |

3. 连接关闭阶段（正常关闭）

FIN-WAIT-1 (结束等待1)

状态值 ：04 / 4
含义：主动关闭方发送 FIN 后，等待对方 ACK
触发条件 ：调用 close() 或 shutdown(SHUT_WR)

可能转换 ：

scss 复制代码

FIN-WAIT-1 → FIN-WAIT-2      # 收到ACK
FIN-WAIT-1 → CLOSING         # 同时收到FIN（同时关闭）
FIN-WAIT-1 → TIME-WAIT       # 收到FIN+ACK

FIN-WAIT-2 (结束等待2)

状态值 ：05 / 5
含义：收到对方对 FIN 的 ACK，等待对方发送 FIN
持续时间：可保持较长时间（对方还未调用 close）

查看：

bash 复制代码

# 查看处于此状态的连接
ss -ant | grep FIN-WAIT-2

问题：过多连接可能导致资源耗尽
bash 复制代码
```
sysctl net.ipv4.tcp_fin_timeout  # 默认60秒
```

CLOSE-WAIT (关闭等待)

状态值 ：08 / 8
含义：被动关闭方收到 FIN 后，等待应用层关闭
触发条件：收到对方的 FIN，发送 ACK 后

关键问题 ：应用层未及时关闭连接 会导致大量 CLOSE-WAIT

bash 复制代码

# 排查方法
ss -ant | grep CLOSE-WAIT
# 找到对应进程
ss -antp | grep CLOSE-WAIT

# 常见原因：未调用 close()，连接泄漏

CLOSING (正在关闭)

状态值 ：0B / 11
含义：双方同时尝试关闭连接（罕见）

触发条件 ：

lua 复制代码

双方几乎同时发送FIN
客户端: FIN-WAIT-1 --发送FIN--> 服务器
服务器: FIN-WAIT-1 --发送FIN--> 客户端
双方收到对方FIN后进入CLOSING

查看：

bash 复制代码

# 通常很少见
ss -ant | grep -c CLOSING

LAST-ACK (最后确认)

状态值 ：09 / 9
含义：被动关闭方发送自己的 FIN 后，等待最后 ACK
触发条件：CLOSE-WAIT 状态的应用调用 close() 后
转换：收到 ACK 后进入 CLOSED

TIME-WAIT (时间等待)

状态值 ：06 / 6
含义：主动关闭方收到对方的 FIN 并发送 ACK 后
持续时间 ：2MSL （Maximum Segment Lifetime）
- 默认：60秒（Linux）
- 查看：sysctl net.ipv4.tcp_fin_timeout
目的：
1. 确保对方收到最后的 ACK
2. 让旧连接的数据包在网络中消失

查看和管理 ：

bash 复制代码

# 统计数量
ss -ant | grep -c TIME-WAIT

# 查看详细信息
ss -ant state time-wait

# 调优参数
sysctl net.ipv4.tcp_tw_reuse      # 重用TIME-WAIT连接
sysctl net.ipv4.tcp_tw_recycle    # 快速回收（谨慎使用）
sysctl net.ipv4.tcp_max_tw_buckets # 限制数量

4. 特殊/终止状态

CLOSED (关闭)

状态值 ：07 / 7
含义：连接完全关闭，无资源占用
注意：统计中通常看不到，因为已释放资源

状态转换图详解

sql 复制代码

                              +---------+
                              |  CLOSED |
                              +---------+
                  被动打开        |     主动打开
                   LISTEN        |     SYN-SENT
                     |           |        |
                     v           |        |
                +---------+      |        |
                |  LISTEN |      |        |
                +---------+      |        |
          收到SYN   |             |        |
             发送SYN+ACK |             |        |
                     |           |        |
                     v           |        |
               +-----------+     |        |
               |SYN-RECEIVED|<---|--------+
               +-----------+     |  收到ACK
          收到ACK   |             |        |
              |           |        |
              v           |        |
          +---------+     |        |
          |ESTABLISHED|<--+--------+
          +---------+             连接建立完成
              |                       |
              |     应用数据传输       |
              |                       |
              |    主动关闭           被动关闭
              |   发送FIN             收到FIN
              |                      发送ACK
              v                       |
          +---------+               +-----------+
          |FIN-WAIT-1|              | CLOSE-WAIT|
          +---------+               +-----------+
              |                       |
   收到ACK     |                       |应用调用close
              v                       |发送FIN
          +---------+               +---------+
          |FIN-WAIT-2|              |LAST-ACK |
          +---------+               +---------+
              |                       |
   收到FIN     |                       |收到ACK
   发送ACK     |                       |
              v                       v
          +---------+               +---------+
          |TIME-WAIT|               |  CLOSED |
          +---------+               +---------+
              |  等待2MSL
              v
          +---------+
          |  CLOSED |
          +---------+

完整查看脚本

bash 复制代码

#!/bin/bash
# tcp_state_detailed.sh
# 查看详细的TCP状态统计

echo "================================================"
echo "            TCP 连接状态详细统计"
echo "================================================"
echo ""

# 使用 ss 查看（推荐）
echo "【方法1: ss 命令】"
echo "状态             数量   描述"
echo "-----------------------"
ss -ant | awk 'NR>1 {print $2}' | sort | uniq -c | while read count state; do
    case $state in
        LISTEN)     desc="监听端口，等待连接" ;;
        SYN-SENT)   desc="客户端已发送SYN" ;;
        SYN-RECV)   desc="服务器收到SYN，已回复SYN+ACK" ;;
        ESTAB)      desc="连接已建立，数据传输中" ;;
        FIN-WAIT-1) desc="主动关闭方发送FIN，等待ACK" ;;
        FIN-WAIT-2) desc="收到FIN的ACK，等待对方FIN" ;;
        TIME-WAIT)  desc="等待2MSL，确保连接完全关闭" ;;
        CLOSED)     desc="连接完全关闭" ;;
        CLOSE-WAIT) desc="被动关闭方收到FIN，等待应用关闭" ;;
        LAST-ACK)   desc="被动关闭方发送FIN，等待最后ACK" ;;
        CLOSING)    desc="双方同时尝试关闭" ;;
        UNKNOWN)    desc="未知状态" ;;
        *)          desc="" ;;
    esac
    printf "%-12s %6d    %s\n" "$state" "$count" "$desc"
done

echo ""
echo "【方法2: /proc/net/tcp 原始数据】"
echo "状态(十六进制) 数量"
echo "-------------------"
awk '{print $4}' /proc/net/tcp | awk -F: '{print $1}' | sort | uniq -c | sort -rn | while read count hex_state; do
    case $hex_state in
        0A) state="LISTEN" ;;
        01) state="ESTABLISHED" ;;
        02) state="SYN_SENT" ;;
        03) state="SYN_RECV" ;;
        04) state="FIN_WAIT1" ;;
        05) state="FIN_WAIT2" ;;
        06) state="TIME_WAIT" ;;
        07) state="CLOSE" ;;
        08) state="CLOSE_WAIT" ;;
        09) state="LAST_ACK" ;;
        0B) state="CLOSING" ;;
        *)  state="UNKNOWN($hex_state)" ;;
    esac
    printf "%-10s %6s    %6d\n" "$hex_state" "$state" "$count"
done

echo ""
echo "【关键指标监控】"
total=$(ss -ant | grep -c -v State)
echo "总TCP连接数: $total"
echo ""

# 监控建议
echo "【健康检查建议】"
close_wait=$(ss -ant state close-wait | grep -c -v State)
if [ $close_wait -gt 100 ]; then
    echo "⚠️  警告: CLOSE-WAIT 过多($close_wait)，可能存在连接泄漏"
    echo "   排查方法:"
    echo "   1. ss -antp state close-wait"
    echo "   2. 检查对应应用的连接关闭逻辑"
fi

time_wait=$(ss -ant state time-wait | grep -c -v State)
if [ $time_wait -gt 10000 ]; then
    echo "⚠️  警告: TIME-WAIT 过多($time_wait)，可能影响新连接"
    echo "   优化建议:"
    echo "   1. sysctl net.ipv4.tcp_tw_reuse=1"
    echo "   2. sysctl net.ipv4.tcp_max_tw_buckets=2000000"
fi

状态诊断与调优

常见问题及解决

问题1：大量 TIME-WAIT

bash 复制代码

# 原因：短连接过多
# 解决：
sysctl -w net.ipv4.tcp_tw_reuse=1      # 重用
sysctl -w net.ipv4.tcp_tw_recycle=1    # 回收（NAT环境慎用）
sysctl -w net.ipv4.tcp_max_tw_buckets=2000000

问题2：大量 CLOSE-WAIT

bash 复制代码

# 原因：应用未正确关闭连接
# 排查：
lsof -nP -iTCP -sTCP:CLOSE_WAIT
# 或
ss -antp state close-wait
# 检查对应进程的代码

问题3：大量 SYN-RECV

bash 复制代码

# 原因：可能遭受SYN Flood攻击
# 防御：
sysctl -w net.ipv4.tcp_syncookies=1
sysctl -w net.ipv4.tcp_max_syn_backlog=4096
sysctl -w net.ipv4.tcp_synack_retries=2

状态监控工具

实时监控脚本

bash 复制代码

#!/bin/bash
# 实时监控TCP状态变化
watch -n 1 '
echo "TCP状态实时监控 - $(date)"
echo "----------------------------------------"
ss -ant | awk '\''NR>1 {count[$2]++} END {
    states["LISTEN"]="监听";
    states["SYN-SENT"]="发SYN";
    states["SYN-RECV"]="收SYN";
    states["ESTAB"]="已连接";
    states["FIN-WAIT-1"]="等FIN-ACK";
    states["FIN-WAIT-2"]="等对方FIN";
    states["TIME-WAIT"]="等2MSL";
    states["CLOSE-WAIT"]="等应用关";
    states["LAST-ACK"]="等最后ACK";
    states["CLOSING"]="同时关闭";
    for(s in count) {
        printf "%-12s %6d  %s\n", s, count[s], states[s]
    }
}'\'' | sort
'