詳解Linux使用ss命令結(jié)合zabbix對socket做監(jiān)控

Netid #socket類型，在上面的例子中，有 TCP、u_str（unix流）等套接字
State #套接字處于什么狀態(tài)，下面是TCP套接字的所有狀態(tài)及說明, 實(shí)際上就是TCP的三次握手和四次揮手的所有狀態(tài)
Recv-Q #在 ESTAB 狀態(tài)下，表示內(nèi)核中還有多少字節(jié)的數(shù)據(jù)沒有被上層應(yīng)用讀取，如果這里數(shù)值很大，應(yīng)用程序可能發(fā)生了阻塞
Send-Q #在 ESTAB 狀態(tài)下，表示內(nèi)核發(fā)送隊列中還有多少字節(jié)的數(shù)據(jù)沒有收到確認(rèn)的ACK，如果這個數(shù)值很大，表明接收端的接收以及處理需要加強(qiáng)
Local Address:Port #本地地址和端口
Peer Address:Port #遠(yuǎn)程地址和端口

LISTEN #服務(wù)端偵聽套接字等待客戶端的連接
SYN-SENT #客戶端已發(fā)送套接字連接請求報文，等待連接被服務(wù)器接收
SYN-RECEIVED #服務(wù)器端接收連接請求報文后，等待客戶端的確認(rèn)連接的回復(fù)報文
ESTABLISHED #服務(wù)端和客戶端之間成功建立了一條有效的連接，可以互相傳輸數(shù)據(jù)
FIN-WAIT-1 #服務(wù)器或客戶端調(diào)用close函數(shù)主動向?qū)Ψ桨l(fā)出終止連接的請求報文,同時等待對方確認(rèn)終止連接的回復(fù)報文
FIN-WAIT-2 #主動關(guān)閉連接端收到對方確認(rèn)終止連接的回復(fù)報文，同時等待對方連接終止的請求報文，這時的狀態(tài)是TCP連接的半關(guān)閉狀態(tài)，可以接受數(shù)據(jù)，但是不能發(fā)送數(shù)據(jù)
CLOSE-WAIT #被動關(guān)閉端收到主動關(guān)閉端終止連接的請求報文后，向主動關(guān)閉端發(fā)送確認(rèn)終止連接的回復(fù)報文，同時被動關(guān)閉端等待本地用戶終止連接，這時被動關(guān)閉端的狀態(tài)是TCP連接的半關(guān)閉狀態(tài)，可以發(fā)送數(shù)據(jù)，但是不能接收數(shù)據(jù)
CLOSING #服務(wù)器和客戶端同時向?qū)Ψ桨l(fā)送終止連接(調(diào)用close函數(shù))請求報文,并且雙方都是在收到對方發(fā)送的終止連接回復(fù)報文之前收到了對方的發(fā)送的終止連接請求報文，這個時候雙方都進(jìn)入了CLOSING狀態(tài)，進(jìn)入CLOSING狀態(tài)之后,只要收到了對方對自己終止連接的回復(fù)報文，就會進(jìn)入TIME-WAIT狀態(tài)，所以CLOSING狀態(tài)的持續(xù)時間會特別短,一般很難捕獲到
LAST-ACK #被動關(guān)閉端發(fā)送完全部數(shù)據(jù)之后,向主動關(guān)閉端發(fā)送終止連接的請求報文，等待主動關(guān)閉端發(fā)送終止連接的回復(fù)報文
TIME-WAIT #主動關(guān)閉端收到被動關(guān)閉端終止連接的請求報文后，給被動關(guān)閉端發(fā)送終止連接的回復(fù)報文,等待足夠時間以確保被動關(guān)閉端收到了主動關(guān)閉段發(fā)送的終止連接的回復(fù)報文
CLOSED #完全沒有連接，套接字連接已經(jīng)終止了

[TCP_ESTABLISHED] = "ESTAB",
[TCP_SYN_SENT] = "SYN-SENT",
[TCP_SYN_RECV] = "SYN-RECV",
[TCP_FIN_WAIT1] = "FIN-WAIT-1",
[TCP_FIN_WAIT2] = "FIN-WAIT-2",
[TCP_TIME_WAIT] = "TIME-WAIT",
[TCP_CLOSE] = "UNCONN",
[TCP_CLOSE_WAIT] = "CLOSE-WAIT",
[TCP_LAST_ACK] = "LAST-ACK",
[TCP_LISTEN] =  "LISTEN",
[TCP_CLOSING] = "CLOSING",

-h， --help 幫助信息
-V， --version 程序版本信息
-n， --numeric 不解析服務(wù)名稱
-r， --resolve 解析主機(jī)名
-a， --all 顯示所有套接字（sockets）
-l， --listening 顯示監(jiān)聽狀態(tài)的套接字（sockets）
-o， --options 顯示計時器信息
-e， --extended 顯示詳細(xì)的套接字（sockets）信息
-m， --memory 顯示套接字（socket）的內(nèi)存使用情況
-p， --processes 顯示使用套接字（socket）的進(jìn)程
-i， --info 顯示 TCP內(nèi)部信息
-s， --summary 顯示套接字（socket）使用概況
-4， --ipv4 僅顯示IPv4的套接字（sockets）
-6， --ipv6 僅顯示IPv6的套接字（sockets）
-0， --packet 顯示 PACKET 套接字（socket）
-t， --tcp 僅顯示 TCP套接字（sockets）
-u， --udp 僅顯示 UCP套接字（sockets）
-d， --dccp 僅顯示 DCCP套接字（sockets）
-w， --raw 僅顯示 RAW套接字（sockets）
-x， --unix 僅顯示 Unix套接字（sockets）
-f， --family=FAMILY 顯示 FAMILY類型的套接字（sockets），F(xiàn)AMILY可選，支持 unix， inet， inet6， link， netlink
-A， --query=QUERY， --socket=QUERY
QUERY ：= {all|inet|tcp|udp|raw|unix|packet|netlink}［，QUERY］
-D， --diag=FILE 將原始TCP套接字（sockets）信息轉(zhuǎn)儲到文件
-F， --filter=FILE 從文件中都去過濾器信息
FILTER ：= ［ state TCP-STATE ］ ［ EXPRESSION ］

vim tcp_status.sh
#################腳本內(nèi)容#################
#!/bin/bash
if [ $# -ne 1 ];then
    echo "Follow the script name with an argument "
fi

case $1 in

    LISTEN)
        result=`ss -ant | awk 'NR>1 {a[$1]++} END {for (b in a) print b,a[b]}' | awk '/LISTEN/{print $2}'`
        if [ "$result" == "" ];then
               echo 0
        else
           echo $result
        fi
        ;;

    ESTAB)
        result=`ss -ant | awk 'NR>1 {a[$1]++} END {for (b in a) print b,a[b]}' | awk '/ESTAB/{print $2}'`
        if [ "$result" == "" ];then
               echo 0
        else
           echo $result
        fi
        ;;


    CLOSE-WAIT)
        result=`ss -ant | awk 'NR>1 {a[$1]++} END {for (b in a) print b,a[b]}' | awk '/CLOSE-WAIT/{print $2}'`
        if [ "$result" == "" ];then
               echo 0
        else
           echo $result
        fi
        ;;

    TIME-WAIT)
        result=`ss -ant | awk 'NR>1 {a[$1]++} END {for (b in a) print b,a[b]}' | awk '/TIME-WAIT/{print $2}'`
        if [ "$result" == "" ];then
               echo 0
        else
           echo $result
        fi
        ;;

    SYN-SENT)
        result=`ss -ant | awk 'NR>1 {a[$1]++} END {for (b in a) print b,a[b]}' | awk '/SYN-SENT/{print $2}'`
        if [ "$result" == "" ];then
               echo 0
        else
           echo $result
        fi
        ;;

    SYN-RECV)
        result=`ss -ant | awk 'NR>1 {a[$1]++} END {for (b in a) print b,a[b]}' | awk '/SYN-RECV/{print $2}'`
        if [ "$result" == "" ];then
               echo 0
        else
           echo $result
        fi
        ;;

    FIN-WAIT-1)
        result=`ss -ant | awk 'NR>1 {a[$1]++} END {for (b in a) print b,a[b]}' | awk '/FIN-WAIT-1/{print $2}'`
        if [ "$result" == "" ];then
               echo 0
        else
           echo $result
        fi
        ;;

    FIN-WAIT-2)
        result=`ss -ant | awk 'NR>1 {a[$1]++} END {for (b in a) print b,a[b]}' | awk '/FIN-WAIT-2/{print $2}'`
        if [ "$result" == "" ];then
               echo 0
        else
           echo $result
        fi
        ;;

    UNCONN)
        result=`ss -ant | awk 'NR>1 {a[$1]++} END {for (b in a) print b,a[b]}' | awk '/UNCONN/{print $2}'`
        if [ "$result" == "" ];then
               echo 0
        else
           echo $result
        fi
        ;;

    LAST-ACK)
        result=`ss -ant | awk 'NR>1 {a[$1]++} END {for (b in a) print b,a[b]}' | awk '/LAST-ACK/{print $2}'`
        if [ "$result" == "" ];then
               echo 0
        else
           echo $result
        fi
        ;;

    CLOSING)
        result=`ss -ant | awk 'NR>1 {a[$1]++} END {for (b in a) print b,a[b]}' | awk '/CLOSING/{print $2}'`
        if [ "$result" == "" ];then
               echo 0
        else
           echo $result
        fi
        ;;
 esac

vim  zabbix_agent.conf
##############添加如下內(nèi)容#################
UnsafeUserParameters=1   #這個參數(shù)是自定義腳本需要配置的
UserParameter=tcp.status[*],sh /home/zabbix/tcp_status.sh $1  #這里就是用來指定剛剛寫的腳本，后面?zhèn)饕粋€參數(shù)

vim tcp_monitory.sh
##################tcp_monitor.sh##################
#!/bin/bash
#獲取數(shù)據(jù)輸出到data.txt文件中，格式為：原地址ip：count：目標(biāo)地址ip
#并且過濾掉count小于200的數(shù)據(jù)，這里沒有分socket的狀態(tài)，眉毛胡子一把抓了，個人可以根據(jù)具體的需求改進(jìn)
ip_addr=`ip addr | grep -w inet | grep -v  "127.0.0.1" | awk '{print $2}'| awk -F "/" '{print $1}'`
ss -ant | awk '{ print $5}'|grep -Ev '127.0.0.1' | cut -d ':' -f4 | awk -v ip_addr=$ip_addr 'NR>1 {++s[$1]} END {for(k in s)if(s[k]>=200){print k,s[k],ip_addr}}' | grep -E  "^([0-9]{1,3}\.){3}[0-9]" > /home/zabbix/data.txt

#執(zhí)行Python腳本，這是為了輸出json格式，
python /home/zabbix/get_json.py

#####################################
#如下是get_json.py的內(nèi)容
##############get_json.py################
#!/usr/bin/env python
#coding=utf-8
import json

def create_json(path):
    json_list = []
    with open(path) as f:
        for line in f.readlines():
            dict = {}
            split = line.split(" ")
            dict["{#DES_IP}"] = split[0]
            //dict["{#LINK_COUNT}"] = split[1] //這個是可以不要的
            dict["{#SOU_IP}"] = split[2][:-1]
            json_list.append(dict)
    sum = {}
    sum["data"] = json_list
    sum = json.dumps(sum)
    print sum


if __name__ == '__main__':
    path = "/home/zabbix/data.txt"
    create_json(path)

##############分割線：上面的是自發(fā)現(xiàn)的腳本###############
##############分割線：下面的是item相關(guān)腳本###############
vim  tcp_item.sh
##################tcp_item.sh####################
#!/bin/bash
export LANG="en_US.UTF-8"
path=/home/zabbix/data.txt
count=`cat $path | grep $1 | grep $2 | awk '{print $2}'`
[ 1"$count" -eq 1 ] && echo 0 || echo $count

UnsafeUserParameters=1 #如果已經(jīng)配置就不需要配置了

UserParameter=discovery.tcp_monitor[*],sh /home/zabbix/tcp_monitor.sh #自發(fā)現(xiàn)
UserParameter=alert.tcp_count[*],sh /home/zabbix/tcp_item.sh $1 $2 #item,其中$1,$2為item中的傳遞參數(shù)，用來區(qū)別item的不同