linuxrawsocket
① linux 查看使用了多少SOCKET
Linux系统中，ss命令可用于查看系统的socket的状态。
1、命令格式：
ss ［参数］
ss ［参数］ ［过滤］
2、命令功能：
ss（Socket Statistics的缩写）命令可以用来获取 socket统计信息，此命令输出的结果类似于
netstat输出的内容，但它能显示更多更详细的 TCP连接状态的信息，且比 netstat 更快速高效。它使用了 TCP协议栈中
tcp_diag（是一个用于分析统计的模块），能直接从获得第一手内核信息，这就使得 ss命令快捷高效。在没有
tcp_diag，ss也可以正常运行。
3、命令参数：
-h， --help 帮助信息
-V， --version 程序版本信息
-n， --numeric 不解析服务名称
-r， --resolve 解析主机名
-a， --all 显示所有套接字（sockets）
-l， --listening 显示监听状态的套接字（sockets）
-o， --options 显示计时器信息
-e， --extended 显示详细的套接字（sockets）信息
-m， --memory 显示套接字（socket）的内存使用情况
-p， --processes 显示使用套接字（socket）的进程
-i， --info 显示 TCP内部信息
-s， --summary 显示套接字（socket）使用概况
-4， --ipv4 仅显示IPv4的套接字（sockets）
-6， --ipv6 仅显示IPv6的套接字（sockets）
-0， --packet 显示 PACKET 套接字（socket）
-t， --tcp 仅显示 TCP套接字（sockets）
-u， --udp 仅显示 UCP套接字（sockets）
-d， --dccp 仅显示 DCCP套接字（sockets）
-w， --raw 仅显示 RAW套接字（sockets）
-x， --unix 仅显示 Unix套接字（sockets）
-f， --family=FAMILY 显示 FAMILY类型的套接字（sockets），FAMILY可选，支持 unix， inet， inet6， link， netlink
-A， --query=QUERY， --socket=QUERY
QUERY ：= {all|inet|tcp|udp|raw|unix|packet|netlink}［，QUERY］
-D， --diag=FILE 将原始TCP套接字（sockets）信息转储到文件
-F， --filter=FILE 从文件中都去过滤器信息
FILTER ：= ［ state TCP-STATE ］ ［ EXPRESSION ］
4、使用实例：
显示TCP连接
命令：ss -t -a
输出：
代码如下：
［root@localhost ~］# ss -t -a
State Recv-Q Send-Q Local Address:Port Peer Address:Port
LISTEN 0 0 127.0.0.1:smux *：*
LISTEN 0 0 *：3690 *：*
LISTEN 0 0 *：ssh *：*
ESTAB 0 0 192.168.120.204:ssh 10.2.0.68:49368
［root@localhost ~］#
② linux手册翻译——socket(2)
socket - 创建一个用于通信的端点
socket() 创建用于通信的端点并返回引用该端点的文件描述符。 成功调用时返回的文件描述符，将是当前没有被进程打开的所有文件描述符中编号最低的。
domain 参数指定一个通信域； 以决定用于通信的协议族。 这些系列在 <sys/socket.h> 中定义。 目前 Linux 内核理解的格式包括：
当然最常用的当然是 AF_INET ，即IPV4。
上述地址族的更多详细信息以及其他几个地址族的信息可以在 address_families(7) 中找到。
套接字具有指定的 type ，它指定了通信语义。 当前定义的类型有：
某些套接字类型可能不会被所有协议族实现。
从 Linux 2.6.27 开始，type 参数有第二个用途：除了指定套接字类型之外，它还可以包含以下任何值的按位或，以修改 socket() 的行为：
老朋友了，上述两个，第一个是非阻塞，第二个是执行exec时自动关闭。
protocol 指定要与套接字一起使用的特定协议。 通常只存在一个协议来支持给定协议族中的特定套接字类型 ，在这种情况下，protocol 可以指定为 0。但是，可能存在许多协议，在这种情况下，必须在此指定特定协议方式。 特定协议对应的编号可以查看文件: /etc/protocols
SOCK_STREAM 类型的套接字是全双工字节流。 它们不保留记录边界。 流套接字必须处于连接状态，然后才能在其上发送或接收任何数据。 到另一个套接字的连接是通过 connect(2) 调用创建的。 连接后，可以使用 read(2) 和 write(2) 调用或 其变体send(2) 和 recv(2) 的来传输数据。 当会话完成时，可以执行 close(2)。 带外数据也可以按照 send(2) 中的描述进行传输，并按照 recv(2) 中的描述进行接收。
实现 SOCK_STREAM 的通信协议确保数据不会丢失或重复。 如果协议的缓冲空间中存在一条数据在合理的时间内不能成功传输，则认为该连接已失效。 当 SO_KEEPALIVE 在套接字上启用时，将会以特定于协议的方式检查另一端是否仍然存在。 如果进程在损坏的流上发送或接收，则会引发 SIGPIPE 信号； 这会导致不处理信号的进程退出。 SOCK_SEQPACKET 套接字使用与 SOCK_STREAM 套接字相同的系统调用。 唯一的区别是 read(2) 调用将只返回请求的数据量，到达数据包中剩余的其他数据都将被丢弃。 传入数据报中的所有消息边界也被保留。
SOCK_DGRAM 和 SOCK_RAW 套接字允许将数据报发送到在 sendto(2) 调用中指定的通信者。 数据报通常用 recvfrom(2) 接收，它返回下一个数据报及其发送者的地址。
SOCK_PACKET 是一种过时的套接字类型，用于直接从设备驱动程序接收原始数据包。 改用 packet(7)。
An fcntl(2) F_SETOWN operation can be used to specify a process or process group to receive a SIGURG signal when the out-of-band data arrives or SIGPIPE signal when a SOCK_STREAM connection breaks unexpectedly. This operation may also be used to set the process or process group that receives the I/O and asynchronous notification of I/O events via SIGIO. Using F_SETOWN is equivalent to an ioctl(2) call with the FIOSETOWN or SIOCSPGRP argument.
When the network signals an error condition to the protocol mole (e.g., using an ICMP message for IP) the pending error flag is set for the socket. The next operation on this socket will return the error code of the pending error. For some protocols it is possible to enable a per-socket error queue to retrieve detailed information about the error; see IP_RECVERR in ip(7).
套接字的操作由套接字选项控制。 这些选项在 <sys/socket.h> 中定义。 函数setsockopt(2) 和getsockopt(2) 用于设置和获取选项。对于选项的描述，详见socket(7).
成功时，将返回新套接字的文件描述符。 出错时，返回 -1，并设置 errno 以指示错误。
POSIX.1-2001, POSIX.1-2008, 4.4BSD.
The SOCK_NONBLOCK and SOCK_CLOEXEC flags are Linux-specific.
socket() appeared in 4.2BSD. It is generally portable to/from non-BSD systems supporting clones of the BSD socket layer (including System V variants).
在 4.x BSD 下用于协议族的清单常量是 PF_UNIX、PF_INET 等，而 AF_UNIX、AF_INET 等用于地址族。 但是，BSD 手册页已经承诺：“协议族通常与地址族相同”，随后的标准到处都使用 AF_*。
③ Linux怎么使用ss命令查看系统的socket状态
ss是Socket Statistics的缩写。顾名思义，ss命令可以用来获取socket统计信息，它可以显示和netstat类似的内容。但ss的优势在于它能够显示更多更详细的有关TCP和连接状态的信息，而且比netstat更快速更高效。当服务器的socket连接数量变得非常大时，无论是使用netstat命令还是直接cat /proc/net/tcp，执行速度都会很慢。可能你不会有切身的感受，但请相信我，当服务器维持的连接达到上万个的时候，使用netstat等于浪费 生命，而用ss才是节省时间。天下武功唯快不破。ss快的秘诀在于，它利用到了TCP协议栈中tcp_diag。tcp_diag是一个用于分析统计的模块，可以获得Linux 内核中第一手的信息，这就确保了ss的快捷高效。当然，如果你的系统中没有腔激tcp_diag，ss也可以正常运行，只是效率会变得稍慢。（但仍然比 netstat要快。）
命令格式：
ss ［参数］
ss ［参数］ ［过滤］
2.命令功能：
ss（Socket Statistics的缩写）命令可以用来获取 socket统计信息，此命令输出的结果类似于 netstat输出的内容，但它能显示更多更详细的 TCP连接状态的信息，且比 netstat 更快速高效。它使用了 TCP协议栈中 tcp_diag（是一个用于分析统计的模块），能直接从获得第一手内核信息，这就使得 ss命令快捷高效。在没有 tcp_diag，ss也可以正常运行。
3.命令参数：
-h， --help 帮助信息
-V， --version 程序版本信息
-n， --numeric 不解析服务名称
-r， --resolve 解析主机名
-a， --all 显示所有套接字（sockets）
-l， --listening 显示监听状态的套接字（sockets）
-o， --options 显示计时器信息
-e， --extended 显示详细的套接字（sockets）信息
-m， --memory 显示套接字（socket）的内存使用情况
-p， --processes 显示核圆消使用套接字（socket）的进程
-i， --info 显示 TCP内部信息
-s， --summary 显示套接字（socket）使用概况
-4， --ipv4 仅显示IPv4的套接字（sockets）
-6， --ipv6 仅显示IPv6的套接字（sockets）
-0， --packet 显示 PACKET 套接字（socket）
-t， --tcp 仅显示 TCP套接字（sockets）
-u， --udp 仅显示 UCP套接字（sockets）
-d， --dccp 仅显示 DCCP套接字（sockets）
-w， --raw 仅显示 RAW套接字（sockets）
-x， --unix 仅显示 Unix套接字（sockets）
-f， --family=FAMILY 显示 FAMILY类型的套接字（sockets），FAMILY可选，支持 unix， inet， inet6， link， netlink
-A， --query=QUERY， --socket=QUERY
QUERY ：= {all|inet|tcp|udp|raw|unix|packet|netlink}［，QUERY］
-D， --diag=FILE 将原始TCP套接字（sockets）信息转储到文件
-F， --filter=FILE 从文件中都去过滤器信息改知
FILTER ：= ［ state TCP-STATE ］ ［ EXPRESSION ］
4.使用实例：
实例1：显示TCP连接
命令：ss -t -a
输出：
代码如下：
［root@localhost ~］# ss -t -a
State Recv-Q Send-Q Local Address:Port Peer Address:Port
LISTEN 0 0 127.0.0.1:smux *：*
LISTEN 0 0 *：3690 *：*
LISTEN 0 0 *：ssh *：*
ESTAB 0 0 192.168.120.204:ssh 10.2.0.68:49368
［root@localhost ~］#
实例2：显示 Sockets 摘要
命令：ss -s
输出：
代码如下：
［root@localhost ~］# ss -s
Total： 34 （kernel 48）
TCP： 4 （estab 1， closed 0， orphaned 0， synrecv 0， timewait 0/0）， ports 3《/p》 《p》Transport Total IP IPv6
* 48 - -
RAW 0 0 0
UDP 5 5 0
TCP 4 4 0
INET 9 9 0
FRAG 0 0 0
［root@localhost ~］#
说明：列出当前的established， closed， orphaned and waiting TCP sockets
实例3：列出所有打开的网络连接端口
命令：ss -l
输出：
代码如下：
［root@localhost ~］# ss -l
Recv-Q Send-Q Local Address:Port Peer Address:Port
0 0 127.0.0.1:smux *：*
0 0 *：3690 *：*
0 0 *：ssh *：*
［root@localhost ~］#
实例4：查看进程使用的socket
命令：ss -pl
输出：
代码如下：
［root@localhost ~］# ss -pl
Recv-Q Send-Q Local Address:Port Peer Address:Port
0 0 127.0.0.1:smux *：* users：（（“snmpd”，2716，8））
0 0 *：3690 *：* users：（（“svnserve”，3590，3））
0 0 *：ssh *：* users：（（“sshd”，2735，3））
［root@localhost ~］#
实例5：找出打开套接字/端口应用程序
命令：ss -lp | grep 3306
输出：
代码如下：
［root@localhost ~］# ss -lp|grep 1935
0 0 *：1935 *：* users：（（“fmsedge”，2913，18））
0 0 127.0.0.1:19350 *：* users：（（“fmsedge”，2913，17））
［root@localhost ~］# ss -lp|grep 3306
0 0 *：3306 *：* users：（（“mysqld”，2871，10））
［root@localhost ~］#
实例6：显示所有UDP Sockets
命令：ss -u -a
输出：
代码如下：
［root@localhost ~］# ss -u -a
State Recv-Q Send-Q Local Address:Port Peer Address:Port
UNCONN 0 0 127.0.0.1:syslog *：*
UNCONN 0 0 *：snmp *：*
ESTAB 0 0 192.168.120.203:39641 10.58.119.119:domain
［root@localhost ~］#
实例7：显示所有状态为established的SMTP连接
命令：ss -o state established ‘（ dport = ：smtp or sport = ：smtp ）’
输出：
代码如下：
［root@localhost ~］# ss -o state established ‘（ dport = ：smtp or sport = ：smtp ）’
Recv-Q Send-Q Local Address:Port Peer Address:Port
［root@localhost ~］#
实例8：显示所有状态为Established的HTTP连接
命令：ss -o state established ‘（ dport = ：http or sport = ：http ）’
输出：
代码如下：
［root@localhost ~］# ss -o state established ‘（ dport = ：http or sport = ：http ）’
Recv-Q Send-Q Local Address:Port Peer Address:Port
0 0 75.126.153.214:2164 192.168.10.42:http
［root@localhost ~］#
实例9：列举出处于 FIN-WAIT-1状态的源端口为 80或者 443，目标网络为 193.233.7/24所有 tcp套接字
命令：ss -o state fin-wait-1 ‘（ sport = ：http or sport = ：https ）’ dst 193.233.7/24
实例10：用TCP 状态过滤Sockets：
命令：
代码如下：
ss -4 state FILTER-NAME-HERE
ss -6 state FILTER-NAME-HERE
输出：
代码如下：
［root@localhost ~］#ss -4 state closing
Recv-Q Send-Q Local Address:Port Peer Address:Port
1 11094 75.126.153.214:http 192.168.10.42:4669
说明：
FILTER-NAME-HERE 可以代表以下任何一个：
代码如下：
established
syn-sent
syn-recv
fin-wait-1
fin-wait-2
time-wait
closed
close-wait
last-ack
listen
closing
all ： 所有以上状态
connected ： 除了listen and closed的所有状态
synchronized ：所有已连接的状态除了syn-sent
bucket ： 显示状态为maintained as minisockets，如：time-wait和syn-recv.
big ： 和bucket相反。
实例11：匹配远程地址和端口号
命令：
代码如下：
ss dst ADDRESS_PATTERN
ss dst 192.168.1.5
ss dst 192.168.119.113:http
ss dst 192.168.119.113:smtp
ss dst 192.168.119.113:443
输出：
代码如下：
［root@localhost ~］# ss dst 192.168.119.113
State Recv-Q Send-Q Local Address:Port Peer Address:Port
ESTAB 0 0 192.168.119.103:16014 192.168.119.113:20229
ESTAB 0 0 192.168.119.103:16014 192.168.119.113:61056
ESTAB 0 0 192.168.119.103:16014 192.168.119.113:61623
ESTAB 0 0 192.168.119.103:16014 192.168.119.113:60924
ESTAB 0 0 192.168.119.103:16050 192.168.119.113:43701
ESTAB 0 0 192.168.119.103:16073 192.168.119.113:32930
ESTAB 0 0 192.168.119.103:16073 192.168.119.113:49318
ESTAB 0 0 192.168.119.103:16014 192.168.119.113:3844
［root@localhost ~］# ss dst 192.168.119.113:http
State Recv-Q Send-Q Local Address:Port Peer Address:Port
［root@localhost ~］# ss dst 192.168.119.113:3844
State Recv-Q Send-Q Local Address:Port Peer Address:Port
ESTAB 0 0 192.168.119.103:16014 192.168.119.113:3844
［root@localhost ~］#
实例12：匹配本地地址和端口号
命令：
代码如下：
ss src ADDRESS_PATTERN
ss src 192.168.119.103
ss src 192.168.119.103:http
ss src 192.168.119.103:80
ss src 192.168.119.103:smtp
ss src 192.168.119.103:25
输出：
代码如下：
［root@localhost ~］# ss src 192.168.119.103:16021
State Recv-Q Send-Q Local Address:Port Peer Address:Port
ESTAB 0 0 192.168.119.103:16021 192.168.119.201:63054
ESTAB 0 0 192.168.119.103:16021 192.168.119.201:62894
ESTAB 0 0 192.168.119.103:16021 192.168.119.201:63055
ESTAB 0 0 192.168.119.103:16021 192.168.119.201:2274
ESTAB 0 0 192.168.119.103:16021 192.168.119.201:44784
ESTAB 0 0 192.168.119.103:16021 192.168.119.201:7233
ESTAB 0 0 192.168.119.103:16021 192.168.119.103:58660
ESTAB 0 0 192.168.119.103:16021 192.168.119.201:44822
ESTAB 0 0 192.168.119.103:16021 10.2.1.206:56737
ESTAB 0 0 192.168.119.103:16021 10.2.1.206:57487
ESTAB 0 0 192.168.119.103:16021 10.2.1.206:56736
ESTAB 0 0 192.168.119.103:16021 10.2.1.206:64652
ESTAB 0 0 192.168.119.103:16021 10.2.1.206:56586
ESTAB 0 0 192.168.119.103:16021 10.2.1.206:64653
ESTAB 0 0 192.168.119.103:16021 10.2.1.206:56587
［root@localhost ~］#
实例13：将本地或者远程端口和一个数比较
命令：
代码如下：
ss dport OP PORT
ss sport OP PORT
输出：
代码如下：
［root@localhost ~］# ss sport = ：http
［root@localhost ~］# ss dport = ：http
［root@localhost ~］# ss dport \》 ：1024
［root@localhost ~］# ss sport \》 ：1024
［root@localhost ~］# ss sport \《 ：32000
［root@localhost ~］# ss sport eq ：22
［root@localhost ~］# ss dport ！= ：22
［root@localhost ~］# ss state connected sport = ：http
［root@localhost ~］# ss \（ sport = ：http or sport = ：https \）
［root@localhost ~］# ss -o state fin-wait-1 \（ sport = ：http or sport = ：https \） dst 192.168.1/24
说明：
ss dport OP PORT 远程端口和一个数比较；ss sport OP PORT 本地端口和一个数比较。
OP 可以代表以下任意一个：
《= or le ： 小于或等于端口号
》= or ge ： 大于或等于端口号
== or eq ： 等于端口号
！= or ne ： 不等于端口号
《 or gt ： 小于端口号
》 or lt ： 大于端口号
实例14：ss 和 netstat 效率对比
命令：
代码如下：
time netstat -at
time ss
输出：
代码如下：
［root@localhost ~］# time ss
real 0m0.739s
user 0m0.019s
sys 0m0.013s
［root@localhost ~］#
［root@localhost ~］# time netstat -at
real 2m45.907s
user 0m0.063s
sys 0m0.067s
［root@localhost ~］#
说明：
用time 命令分别获取通过netstat和ss命令获取程序和概要占用资源所使用的时间。在服务器连接数比较多的时候，netstat的效率完全没法和ss比。
④ linux下 socket函数的返回值代表什么
int socket;domain指明所使用的协议族，通常为PF_INET，表示互联网协议族；type参数指定socket的类型：SOCK_STREAM 或SOCK_DGRAM，Socket接口还定义了原始Socket，允许程序使用低层协议；protocol通常赋值"0"。
Socket()调用返回一个整型socket描述符，你可以在后面的调用使用它。 Socket描述符是一个指向内部数据结构的指针，它指向描述符表入口。
调用Socket函数时，socket执行体将建立一个Socket，实际上"建立一个Socket"意味着为一个Socket数据结构分配存储空间。 Socket执行体为你管理描述符表。
(4)linuxrawsocket扩展阅读：
支持下述类型描述：
SOCK_STREAM 提供有序的、可靠的、双向的和基于连接的字节流，使用带外数据传送机制，为Internet地址族使用TCP。
SOCK_DGRAM 支持无连接的、不可靠的和使用固定大小（通常很小）缓冲区的数据报服务，为Internet地址族使用UDP。
SOCK_STREAM类型的套接口为全双向的字节流。对于流类套接口，在接收或发送数据前必需处于已连接状态。用connect()调用建立与另一套接口的连接，连接成功后，即可用send()和recv()传送数据。当会话结束后，调用close()。带外数据根据规定用send()和recv()来接收。
⑤ linux socket 编程
这类问题，你不用考虑太复杂的，可以直接使用socket提供的tcp服务接口，通过send和recv等函数处理就行了。数据建议自行写封装和解封函数，
接口类似这样：int pack(char *, struct data *); int unpack(char *, struct data *);
可以按照你自己的喜好，将你的struct按照你的方式填入一个char*里面（你直接将struct data*类型转换后赋值给char*类型都行），然后就可以使用接口了；
你完全不用管tcp的实现机制的，tcp有拥塞控制，超时重传，自动分包等机制，可以保证你的数据按准确的方式送达；
像什么包的数据头什么的，如果你需要定义的是应用层的协议，或者你希望自定义网络层和传输层（使用raw方式的socket），你才需要考虑；
⑥ linux下如何直接调用网卡驱动
你是要获取原始数据帧？
获取肆棚原始数据可以使用AF_PACKET 或者RAW类拍纯型的socket。
什么袭雹咐叫直接调用网卡驱动，驱动是加载到内核中的核心模块，由硬件中断调用，你怎么能调用。
可以去看《understanding-linux-network-internals》和《linux.device.drivers》
⑦ TCP raw socket chksum 死活不对，求助
一般情况下，我们使用raw socket都是用于发送icmp包或者自己定义的包。最近我想用raw socket
自己去创建TCP的包，并完成3次握手。
在这个过程中，发现了几个问题：
1. 发现收不到对端返回的ACK，但是通过tcpmp却可以看到。这个通过修改创建socket的API参数得以纠正。
原来创建socket使用如下参数s = socket(AF_INET, SOCK_RAW, IPPROTO_TCP)。因为linux的raw socket不会把
不会把UDP和TCP的分组传递给任何原始套接口。——见《UNIX网络编程》28.3.
所以为了读到ACK包，我们创建的raw socket需要建立在数据链路层上。
s = socket(AF_PACKET, SOCK_RAW, htons(ETH_P_IP))
这样该socket就可以读取到所有的数据包。当然这样的数据包无疑是非常庞大的，那么我们可以
使用bind和connect来过滤数据包。bind可以指定本地的IP和端口，connect可以指定对端的IP和端口。
2. 在修改完创建socket的API，我发现还有一个问题，到现在依然没有找到合适的解决方法。
通过链路层的raw socket，我们可以收到对端的ACK。但是因为linux内核也会处理TCP的握手过程，
所以，当它收到ACK的时候，会认为这是一个非法包，会直接发送一个RST给对端。这样我们拿到了这个ACK，
也没有实际的用处了——因为这个连接已经被RST了。
我想，内核之所以会直接发送RST，也许是因为我们创建的是raw socket，但是发送的确是TCP包，
当对端返回ACK时，内核根本不认为我们已经打开了这个TCP端口，所以会直接RST掉这个连接。
那么问题就在于，我们如何告诉内核，我们打开了TCP的这个端口。
我想过一个方法，除了一个raw socket，再创建一个真正的TCP socket。但是细想起来，这条路应该行不通。
在网上搜了半天，总算找到一个比较详细的解释了。原因给我猜想的相差不远，当我们使用raw socket来发送sync包时，内核的TCP协议栈并不知道你发送了sync包，所以当对端返回SYNC/ACK时，内核首先要处理这个包，发现它是一 个SYNC/ACK，然而协议栈却不知道前面的sync，所以就认为这个包是非法的，于是就会发送RST来中止连接。
⑧ linux下创建socket时如何实现指定网口
原理上只有 raw_socket 应该设置网口，正常的 socket 会根据路由来选择出口。
如果需要指定网口，需要设置 SO_BINDTODEVICE，步骤如下：
填写结构体 struct ifreq ifr 的 ifr.ifr_name 为指定的网口，如 "eth1"
setsockopt(sd, SOL_SOCKET, SO_BINDTODEVICE, (void *)&ifr, sizeof(ifr))
另外，如果只是需要进行测试，不防直接构包，用 libpcap 等库来进行发送。而不要用系统的 socket 库来发送。