netstat – statystyki połączeń sieciowych

Polecenie netstat wyświetla statystyki aktywnych połączeń sieciowych, otwartych portów i tabeli routingu systemu.

Jakie informacje pokazuje polecenie netstat

Netstat jest narzędziem wiersza poleceń służącym do odczytywania informacji o komunikacji sieciowej obsługiwanej przez system operacyjny. W zależności od użytej opcji może wyświetlić aktywne połączenia TCP, nasłuchujące porty, statystyki protokołów, zawartość lokalnej tabeli routingu oraz wybrane informacje dotyczące interfejsów sieciowych. Wynik opisuje stan widziany przez system w chwili wykonania polecenia, dlatego lista połączeń może zmieniać się między kolejnymi uruchomieniami.

W typowym wyniku znajdują się kolumny takie jak protokół, adres lokalny, adres zdalny oraz stan połączenia. Adres lokalny wskazuje interfejs i port używany przez komputer, a adres zdalny identyfikuje drugą stronę komunikacji. W przypadku TCP często pojawia się stan LISTENING, oznaczający oczekiwanie na połączenia przychodzące, albo ESTABLISHED, wskazujący na ustanowione połączenie. Połączenia UDP nie mają takiego samego mechanizmu stanów jak TCP, ponieważ UDP jest protokołem bezpołączeniowym.

Porty, procesy i rozpoznawanie adresów

Do podstawowego przeglądu połączeń TCP można użyć polecenia netstat -ano w systemie Windows. Opcja -a obejmuje aktywne połączenia oraz porty nasłuchujące, -n wyświetla adresy i numery portów w postaci numerycznej, a -o dodaje identyfikator procesu, czyli PID. Identyfikator ten można następnie powiązać z konkretnym programem w Menedżerze zadań albo za pomocą innych poleceń systemowych. Sam numer PID nie jest nazwą aplikacji i bez dodatkowego sprawdzenia nie pozwala wiarygodnie wskazać programu.

Opcja -n ma znaczenie również dlatego, że pomija próbę zamiany adresów IP na nazwy hostów oraz numerów portów na nazwy usług. Dzięki temu wynik zwykle pojawia się szybciej i jest jednoznaczniejszy przy analizie technicznej. Jeżeli w kolumnie adresu widoczny jest zapis 0.0.0.0:443 albo [::]:443 przy porcie nasłuchującym, oznacza to nasłuchiwanie na wszystkich odpowiednich lokalnych interfejsach, a nie połączenie z jednym konkretnym serwerem. Adres 127.0.0.1 odnosi się do lokalnego interfejsu pętli zwrotnej IPv4, natomiast ::1 pełni analogiczną funkcję dla IPv6.

Netstat jako punkt wyjścia do analizy sieci

Lista portów nasłuchujących pomaga ustalić, które składniki systemu oczekują na ruch sieciowy. Nie jest jednak samodzielnym dowodem, że port jest dostępny z internetu. Dostępność zależy także od zapory sieciowej, konfiguracji routera, translacji adresów oraz tego, na jakim interfejsie proces prowadzi nasłuch. Z tego powodu wpis LISTENING należy interpretować razem z konfiguracją systemu i rzeczywistym zachowaniem aplikacji.

Polecenie może również pomóc przy diagnozowaniu problemów z połączeniem. Duża liczba wpisów w stanie TIME_WAIT może wynikać z częstego zamykania połączeń TCP, a stan SYN_SENT oznacza oczekiwanie na odpowiedź podczas nawiązywania połączenia. Z kolei CLOSE_WAIT wskazuje, że zdalna strona zamknęła połączenie, lecz lokalna aplikacja nie zakończyła jeszcze własnej obsługi gniazda. Pojedynczy wpis nie musi oznaczać usterki; znaczenie ma powtarzalność zjawiska, czas utrzymywania się stanu oraz zgodność z działaniem programu.

Netstat umożliwia także wyświetlenie tabeli routingu za pomocą netstat -r. Tabela określa, przez jaki interfejs i bramę system kieruje pakiety do poszczególnych sieci. W systemach Linux można spotkać dodatkowo opcje takie jak -t dla TCP, -u dla UDP, -l dla gniazd nasłuchujących oraz -p dla informacji o procesie, przy czym dostęp do danych o procesach może wymagać uprawnień administratora. W nowszych dystrybucjach Linuxa netstat bywa zastępowany przez iproute2, zwłaszcza polecenie ss, ale netstat nadal występuje w wielu środowiskach i dokumentacjach.

Wykorzystanie wyniku przy naprawie komputera

Przed oceną wyniku warto ustalić system operacyjny, moment wykonania polecenia oraz programy, które powinny korzystać z sieci. Przydatne jest zapisanie pełnego wyniku wraz z użytymi opcjami, ponieważ samo hasło „otwarty port” nie opisuje jeszcze przyczyny problemu. Analiza może obejmować porównanie wpisów przed uruchomieniem aplikacji i po nim, sprawdzenie PID procesu oraz obserwację, czy połączenia są prawidłowo zamykane.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a analiza netstat może stanowić jeden z elementów diagnostyki problemów z dostępem do sieci, działaniem programu lub konfiguracją systemu. Ostateczna ocena wymaga zestawienia wyników polecenia z ustawieniami systemu, zapory oraz sterownikami urządzeń sieciowych.