Comando Netstat no Linux - Como Usar o Netstat para Gerenciamento de Rede no Linux

O que é o Netstat?

• Conexões de rede ativas: Veja com o que seu computador está se conectando
• Tabelas de roteamento: Visualize os caminhos que seu computador usa para enviar informações
• Interfaces de rede: Obtenha detalhes sobre seus dispositivos de rede e suas atividades

Com o netstat, você pode ter uma visão clara do status da sua rede e encontrar quaisquer problemas.

Sintaxe Básica

netstat [opções]

Você pode combinar diferentes opções para obter as informações específicas que precisa. Alguns exemplos comuns:

• netstat -a: Mostra todas as conexões ativas
• netstat -r: Exibe a tabela de roteamento
• netstat -i: Lista estatísticas de interface de rede

As opções permitem ajustar a saída do netstat para focar nos detalhes que importam para sua solução de problemas ou análise.

Listando Todas as Conexões Ativas

netstat -a

Este comando mostra conexões em escuta e estabelecidas, fornecendo uma visão geral da sua atividade de rede. A saída inclui detalhes como o protocolo (TCP ou UDP), endereços locais e estrangeiros, e o estado atual de cada conexão.

Por exemplo:

Proto Recv-Q Send-Q Local Address           Foreign Address         State      
tcp        0      0 localhost:mysql         0.0.0.0:*               LISTEN     
tcp        0      0 192.168.1.100:ssh       192.168.1.50:1234       ESTABLISHED
udp        0      0 0.0.0.0:bootpc          0.0.0.0:*                          

Aqui, podemos ver um servidor MySQL em escuta, uma conexão SSH estabelecida e uma conexão UDP para DHCP (bootpc).

Listando Conexões TCP e UDP

netstat -at

E para conexões UDP:

netstat -au

Isso é útil quando você está solucionando problemas relacionados a um protocolo ou serviço específico. Por exemplo, se você está tendo problemas com um servidor web, pode usar netstat -at para verificar suas conexões TCP.

Mostrando Portas em Escuta

netstat -l

Você também pode combinar isso com as opções -t ou -u para filtrar por portas TCP ou UDP:

netstat -lt netstat -lu

Esta é uma maneira rápida de ver quais serviços estão rodando em seu sistema e quais portas eles estão usando. Por exemplo:

Proto Recv-Q Send-Q Local Address           Foreign Address         State      
tcp        0      0 0.0.0.0:http            0.0.0.0:*               LISTEN     
tcp6       0      0 [::]:https              [::]:*                  LISTEN

Aqui, podemos ver que o sistema está executando um servidor HTTP na porta 80 (http) e um servidor HTTPS na porta 443 (https), ambos ouvindo conexões IPv4 e IPv6.

Ao usar esses comandos netstat para mostrar conexões ativas e portas em escuta, você pode obter uma imagem clara dos serviços de rede do seu sistema Linux e encontrar quaisquer problemas potenciais ou riscos de segurança.

Mostrando Estatísticas de Interface

netstat -i

Este comando mostra uma lista de todas as interfaces de rede em seu sistema, junto com métricas importantes para cada uma. A saída inclui:

• Nome da interface (ex: eth0, lo)
• Tamanho MTU (Maximum Transmission Unit)
• Número de pacotes recebidos (RX) e enviados (TX)
• Número de erros de recebimento (RX) e transmissão (TX)
• Número de pacotes recebidos (RX) e enviados (TX) descartados

Por exemplo:

Tabela de Interface do Kernel
Iface   MTU RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0   1500  1234      0      0 0         5678      0      0      0 BMRU
lo    65536   100      0      0 0          100      0      0      0 LRU

Aqui, podemos ver estatísticas para as interfaces eth0 (Ethernet) e lo (loopback). As colunas RX mostram o número de pacotes recebidos, recebidos com erros, descartados e sobrecargas. As colunas TX mostram as mesmas informações para pacotes enviados.

Monitorar essas estatísticas pode ajudar você a encontrar problemasde desempenho ou erros em interfaces específicas. Por exemplo, um alto número de RX-ERR ou TX-ERR pode indicar um problema físico com um cabo de rede ou porta.

Mostrando a Tabela de Roteamento do Kernel

netstat -r

Este comando mostra cada rota como uma linha com vários campos:

• Destino: A rede ou host de destino
• Gateway: O gateway (roteador) usado para alcançar o destino
• Genmask: A máscara de rede para a rede de destino
• Flags: Flags mostrando características da rota (ex: U para up, G para gateway)
• MSS: O tamanho máximo de segmento padrão para conexões TCP sobre esta rota
• Window: O tamanho padrão da janela TCP
• irtt: O tempo inicial de ida e volta (irtt) para a rota

Por exemplo:

Tabela de roteamento IP do Kernel
Destino         Gateway         Genmask         Flags   MSS Window  irtt Iface
padrão          192.168.1.1     0.0.0.0         UG        0 0          0 eth0
192.168.1.0     0.0.0.0         255.255.255.0   U         0 0          0 eth0

Aqui, podemos ver duas rotas. A primeira é a rota padrão, que envia todo o tráfego para o gateway em 192.168.1.1. A segunda é uma rota para a rede local 192.168.1.0/24, que está diretamente conectada à interface eth0.

Ao olhar para a tabela de roteamento, você pode entender como seu sistema direciona o tráfego de rede e solucionar problemas de conectividade. Por exemplo, se os pacotes não estão alcançando um destino específico, você pode verificar a tabela de roteamento para ver se há uma rota válida para esse destino.

As exibições de estatísticas de interface e tabela de roteamento do netstat são ferramentas poderosas para monitorar o desempenho e a conectividade de rede do seu sistema Linux. Ao ficar de olho nessas métricas, você pode encontrar e corrigir problemas de rede antes que afetem seus usuários ou aplicativos.

Monitorando a Atividade de Rede Continuamente

Por exemplo, executando:

netstat -c

Este comando mostrará as informações de rede e as atualizará a cada segundo. Isso é útil para encontrar mudanças repentinas no comportamento da rede, como um pico de conexões ou uma queda súbita na vazão. Ao monitorar a saída ao longo do tempo, você pode encontrar tendências e anomalias que podem indicar um problema em desenvolvimento.

Encontrando Processos Usando Portas

Por exemplo:

netstat -p

Este comando mostrará uma lista de conexões de rede ativas, junto com o PID e o nome do programa que possui cada socket. Se você vir uma porta em uso que não reconhece, pode usar o PID para investigar mais com ferramentas como ps e lsof.

Isso é especialmente útil para solucionar conflitos de porta. Se dois programas estão tentando usar a mesma porta, netstat -p mostrará quais processos estão envolvidos. Você pode então tomar medidas para reconfigurar um dos programas para usar uma porta diferente.

Também é uma ferramenta de segurança valiosa. Ao verificar regularmente processos desconhecidos usando portas de rede, você pode encontrar atividades suspeitas que podem indicar um sistema hackeado ou comprometido.

Combinando Netstat com Grep

Por exemplo, para mostrar apenas conexões para uma porta específica (ex: 80 para HTTP), você pode usar:

netstat -an | grep ':80'

Isso canaliza a saída de netstat -an (que mostra todos os sockets, saída numérica) para o grep, que busca por linhas contendo :80. O resultado é uma lista de todas as conexões envolvendo a porta 80.

Você pode usar um método similar para encontrar conexões para um endereço IP específico:

netstat -an | grep '192.168.1.100'

Esta é uma maneira poderosa de encontrar rapidamente informações relevantes, especialmente quando você está lidando com um sistema ocupado ou um problema de rede complexo. Ao combinar netstat com grep, você pode responder perguntas como:

• Meu servidor web está aceitando conexões na porta 80?
• Existem conexões para um endereço IP suspeito?
• Quais clientes estão atualmente conectados ao meu servidor de banco de dados?

Com essas técnicas avançadas do netstat - monitoramento contínuo, encontrando processos e filtrando saída - você pode levar suas habilidades de solução de problemas de rede para o próximo nível. Seja você um administrador de sistemas gerenciando uma frota de servidores Linux ou um usuário avançado tentando otimizar seu próprio sistema, o netstat é uma ferramenta importante para ter em seu kit.

Mostrando Estatísticas de Tráfego de Rede

Para ver essas estatísticas, execute:

netstat -s

Este comando imprimirá um resumo das estatísticas de tráfego para TCP, UDP, ICMP e outros protocolos. As estatísticas incluem informações como:

• Segmentos enviados e recebidos
• Segmentos retransmitidos
• Erros recebidos
• Pacotes enviados e recebidos
• Pacotes descartados

Por exemplo, na seção TCP, você pode ver:

Tcp:
    1234 aberturas ativas de conexões
    5678 aberturas passivas de conexões
    10 tentativas de conexão falhas
    123 resets de conexão recebidos
    1 conexões estabelecidas
    1234567 segmentos recebidos
    7654321 segmentos enviados
    123 segmentos retransmitidos
    0 segmentos ruins recebidos.
    1234 resets enviados

Essas estatísticas podem ajudar você a encontrar problemas de desempenho de rede. Um alto número de segmentos retransmitidos pode indicar congestionamento de rede ou um link de rede não confiável. Um grande número de tentativas de conexão falhas pode apontar para um problema com um serviço ou um ataque de scanner de portas.

Da mesma forma, as seções UDP e ICMP mostram estatísticas para esses protocolos. Altos níveis de mensagens ICMP "destino inacessível" podem significar problemas de roteamento ou um ataque DDoS.

Ao verificar regularmente essas estatísticas, você pode estabelecer uma linha de base para a atividade normal de rede do seu sistema. Quaisquer grandes mudanças dessa linha de base podem ser um sinal de alerta precoce de um problema em desenvolvimento.

Verificando o Uso de Largura de Banda da Rede

Para ver essas informações, execute:

netstat -i

A saída será algo parecido com isso:

Tabela de Interface do Kernel
Iface   MTU RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0   1500 1234567   0      0 0      7654321    0      0      0 BMRU
lo    65536   1234   0      0 0         1234    0      0      0 LRU

As colunas RX-OK e TX-OK mostram o número total de bytes recebidos e transmitidos por cada interface. Ao verificar esses números ao longo do tempo, você pode ver quais interfaces estão lidando com mais tráfego e se alguma está se aproximando de seus limites de capacidade.

Por exemplo, se você vê que o valor TX-OK de uma interface é consistentemente alto e crescendo, isso pode significar que a interface está saturada e poderia se beneficiar de uma atualização de largura de banda.

Você também pode usar essas informações para encontrar consumidores de largura de banda - aplicativos ou usuários que estão usando uma grande parte dos seus recursos de rede. Ao combinar o alto uso de largura de banda com outras atividades do sistema, você pode encontrar a fonte do tráfego e tomar medidas para gerenciá-lo.

As funcionalidades de estatísticas de tráfego e monitoramento de largura de banda do netstat são importantes para qualquer administrador de sistema Linux ou gerente de rede. Ao observar essas métricas, você pode garantir que sua rede está funcionando bem e que você tem capacidade para lidar com sua carga de trabalho. Com o netstat em sua caixa de ferramentas, você está bem equipado para analisar e solucionar problemas de tráfego de rede Linux.

Monitorando Serviços de Rede em Servidores Linux

netstat -tulpn

Este comando lista todas as portas TCP e UDP que estão sendo escutadas, junto com os processos relacionados. A saída se parece com isto:

Conexões de Internet ativas (apenas servidores)
Proto Recv-Q Send-Q Endereço Local           Endereço Estrangeiro         Estado       PID/Nome do Programa
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1234/sshd       
tcp        0      0 127.0.0.1:631           0.0.0.0:*               LISTEN      5678/cupsd      
tcp6       0      0 :::80                   :::*                    LISTEN      9012/apache2

Cada linha mostra um serviço de rede que está rodando no servidor, junto com:

• O protocolo (TCP ou UDP)
• O endereço e porta local
• O endereço e porta estrangeira (se houver)
• O estado do socket (ex: LISTEN, ESTABLISHED)
• O PID e nome do processo que possui o socket

Ao executar este comando regularmente, você pode acompanhar quais serviços de rede estão rodando em seu servidor. Você pode verificar se todos os serviços necessários estão ativos (como SSH, HTTP e bancos de dados) e se não há serviços inesperados escutando.

Esta também é uma prática de segurança importante. Ao monitorar as portas em escuta, você pode encontrar quaisquer serviços não autorizados que possam ter sido instalados por um atacante ou um aplicativo malicioso. Se você vir serviços ou portas desconhecidas, pode usar o PID para investigar o processo relacionado.

Além disso, você pode usar o netstat para solucionar problemas de serviço. Se um serviço não está respondendo, você pode verificar o netstat para garantir que ele está rodando e escutando na porta correta. Se ele está escutando mas não respondendo, você pode precisar verificar os logs do serviço ou reiniciar o serviço.

No geral, executar netstat -tulpn deve ser uma parte regular da sua rotina de gerenciamento de servidor Linux. É uma maneira rápida e fácil de monitorar seus serviços de rede, detectar problemas potenciais e manter seus servidores seguros. Combinado com outras ferramentas como ps, lsof e monitoramento de logs, o netstat é uma parte fundamental de uma estratégia completa de gerenciamento de servidores.

Usando Netstat com Sistemas de Monitoramento

Isso permite que você configure verificações e alertas automáticos para problemas de rede. Por exemplo, você poderia criar um alerta que é acionado quando o número de conexões estabelecidas para uma porta específica ultrapassa um limite, ou quando o número de pacotes UDP descartados por uma interface aumenta.

Ao integrar o netstat com seu sistema de monitoramento, você pode encontrar e corrigir problemas de rede antes que eles afetem os usuários. Em vez de executar manualmente o netstat quando um problema é relatado, seu sistema de monitoramento pode verificar constantemente as métricas do netstat e alertá-lo sobre possíveis problemas.

Este tipo de monitoramento automático é especialmente útil para redes grandes ou complexas, onde a verificação manual não é prática. Também é útil para encontrar problemas intermitentes que podem ser perdidos por verificações pontuais.

Criando Scripts com Netstat para Monitoramento Automático

Para processamento mais complexo, você pode usar uma linguagem de script como Python para trabalhar e analisar os dados do netstat. Por exemplo, um script Python poderia:

1. Executar netstat -i para obter estatísticas de interface
2. Analisar a saída para extrair os bytes enviados e recebidos para cada interface
3. Calcular a mudança nos bytes ao longo do tempo para obter o uso de largura de banda
4. Verificar o uso de largura de banda em relação aos limites definidos
5. Enviar um alerta se algum limite for excedido

Ao criar scripts com o netstat, você pode criar soluções de monitoramento personalizadas adaptadas às necessidades específicas da sua rede. Você pode definir suas próprias métricas, limites e condições de alerta, e ter o script executando em um cronogramaque funcione para seu ambiente.

A criação de scripts também permite análises de dados mais avançadas. Você poderia ter um script que combina dados do netstat ao longo do tempo e gera relatórios sobre tendências de uso de rede de longo prazo. Ou você poderia comparar dados do netstat com outras métricas do sistema para encontrar as causas raiz de problemas de desempenho.

Seja usando scripts simples de shell ou programas Python mais avançados, a criação de scripts é uma maneira poderosa de automatizar o monitoramento com netstat e obter mais valor dos dados do netstat.

Concluindo, o netstat não é apenas uma ferramenta de solução de problemas de uso único, mas uma valiosa fonte de dados para monitoramento contínuo de rede. Ao integrar o netstat com sistemas de monitoramento e usar scripts para automatizar a coleta e análise de dados, você pode gerenciar ativamente a saúde e o desempenho da sua rede. Com um pouco de configuração, o netstat pode ser o coração de uma robusta solução de monitoramento de rede.

Identificando Atividade de Rede Suspeita

Esta saída pode ajudar você a encontrar conexões incomuns ou não autorizadas que podem indicar uma violação de segurança ou infecção por malware. Aqui está o que procurar:

• Endereços locais ou estrangeiros desconhecidos: Conexões de ou para endereços IP que você não conhece podem ser um sinal de acesso não autorizado.
• Portas inesperadas: Conexões em portas incomuns, especialmente portas de números altos, podem indicar atividade de malware ou uma backdoor.
• Processos desconhecidos: Conexões vinculadas a processos desconhecidos podem significar que um atacante instalou software não autorizado.

Por exemplo, se você vir uma conexão como esta:

tcp   0   0 192.168.1.100:22 192.168.1.50:12345 ESTABLISHED 1234/sshd  

Isso mostra uma conexão SSH de 192.168.1.50 para seu sistema (192.168.1.100) na porta 22. Se você não espera acesso SSH desse IP, pode ser uma tentativa de login não autorizada.

Da mesma forma, uma linha como esta:

tcp   0   0 192.168.1.100:31337 1.2.3.4:80 ESTABLISHED 5678/processo_misterioso

Pode ser muito suspeita. Ela mostra uma conexão de saída do seu sistema para um IP desconhecido na porta 31337, que é frequentemente usada por trojans e backdoors. O nome de processo desconhecido aumenta a preocupação.

Ao verificar regularmente netstat -anp, você pode encontrar esses tipos de sinais de alerta precocemente. Isso permite que você investigue mais a fundo com ferramentas como lsof, ps e análise de logs para determinar se há um problema real de segurança.

É uma boa ideia executar esta verificação regularmente e sempre que você ver sinais de uma possível violação, como alto uso de CPU ou entradas de log suspeitas. Ao usar o netstat para encontrar e responder rapidamente a problemas de segurança, você pode reduzir os danos e manter seu sistema Linux seguro.