Sådan bruger du Netstat-kommandoen

I denne artikel

• Netstat Command Tilgængelighed
• Netstat kommandosyntaks
• Eksempler på Netstat-kommandoer
• Ekstra: Relaterede kommandoer

Netstat-kommandoen, hvilket betyder netværksstatistik,er en kommandoprompt, der bruges til at vise meget detaljerede oplysninger om, hvordan din computer kommunikerer med andre computere eller netværksenheder.

Specifikt kan netstat-kommandoen vise detaljer om individuelle netværksforbindelser, overordnede og protokolspecifikke netværksstatistikker og meget mere, som alt sammen kan hjælpe med at fejlfinde visse typer netværksproblemer.

Netstat Command Tilgængelighed

Netstat-kommandoen er tilgængelig fra kommandoprompten i de fleste versioner af Windows, inklusive Windows 10, Windows 8, Windows 7, Windows Vista, Windows XP, Windows Server-operativsystemer og også nogle ældre versioner af Windows.

Netstat er en kommando på tværs af platforme, hvilket betyder, at den også er tilgængelig i andre operativsystemer som macOS og Linux.

Tilgængeligheden af ​​visse netstat-kommandoer og anden netstat-kommandosyntaks kan variere fra operativsystem til operativsystem.

Netstat kommandosyntaks

netstat [-a] [-b] [-e] [-f] [-n] [-o] [-p protocol] [-r] [-s] [-t] [-x] [-y] [time_interval] [/?]

Sådan læser du kommandosyntaks

Gør al den netstat-information på kommandolinjen nemmere at arbejde med ved at udskrive det, du ser på skærmen, til en tekstfil ved hjælp af en omdirigeringsoperator. Se Sådan omdirigeres kommandooutput til en fil for fuldstændige instruktioner.

Eksempler på Netstat-kommandoer

netstat -f

I dette første eksempel udfører vi netstat for at vise alle aktive TCP-forbindelser. Vi ønsker dog at se de computere, vi er forbundet til, i FQDN-format [-f] i stedet for en simpel IP-adresse.

Her er et eksempel på, hvad du kan se:

Active Connections
 Proto Local Address Foreign Address State
 TCP 127.0.0.1:5357 VM-Windows-7:49229 TIME_WAIT
 TCP 127.0.0.1:49225 VM-Windows-7:12080 TIME_WAIT
 TCP 192.168.1.14:49194 75.125.212.75:http CLOSE_WAIT
 TCP 192.168.1.14:49196 a795sm.avast.com:http CLOSE_WAIT
 TCP 192.168.1.14:49197 a795sm.avast.com:http CLOSE_WAIT
 TCP 192.168.1.14:49230 TIM-PC:wsd TIME_WAIT
 TCP 192.168.1.14:49231 TIM-PC:icslap ESTABLISHED
 TCP 192.168.1.14:49232 TIM-PC:netbios-ssn TIME_WAIT
 TCP 192.168.1.14:49233 TIM-PC:netbios-ssn TIME_WAIT
 TCP [::1]:2869 VM-Windows-7:49226 ESTABLISHED
 TCP [::1]:49226 VM-Windows-7:icslap ESTABLISHED

Som du kan se, var der 11 aktive TCP-forbindelser på det tidspunkt, hvor netstat blev udført i dette eksempel. Den eneste protokol (i Proto kolonne) angivet er TCP, som var forventet, fordi vi ikke brugte -en.

Du kan også se tre sæt IP-adresser i Lokal adresse kolonne – den faktiske IP-adresse for 192.168.1.14 og både IPv4- og IPv6-versioner af loopback-adresserne, sammen med den port, hver forbindelse bruger. Det Udenlandsadresse kolonne viser FQDN (75.125.212.75 ikke løst af en eller anden grund) sammen med den port også.

Endelig, den Stat kolonnen viser TCP-tilstanden for den pågældende forbindelse.

netstat -o

I dette eksempel køres netstat normalt, så det kun viser aktive TCP-forbindelser, men vi ønsker også at se den tilsvarende proces-id [-o] for hver forbindelse, så vi kan bestemme, hvilket program på computeren, der startede hver enkelt.

Her er, hvad computeren viste:

Active Connections
 Proto Local Address Foreign Address State PID
 TCP 192.168.1.14:49194 75.125.212.75:http CLOSE_WAIT 2948
 TCP 192.168.1.14:49196 a795sm:http CLOSE_WAIT 2948
 TCP 192.168.1.14:49197 a795sm:http CLOSE_WAIT 2948

Du har sikkert lagt mærke til det nye PID kolonne. I dette tilfælde er PID’erne alle de samme, hvilket betyder, at det samme program på computeren åbnede disse forbindelser.

For at bestemme hvilket program der er repræsenteret af PID’et for 2948 på computeren, alt du skal gøre er at åbne Task Manager, vælg Processer fanen, og bemærk Billednavn opført ved siden af ​​det PID, vi leder efter i PID kolonne.¹

Brug af netstat-kommandoen med -o mulighed kan være meget nyttig, når du sporer, hvilket program der bruger en for stor del af din båndbredde. Det kan også hjælpe med at lokalisere destinationen, hvor en form for malware, eller endda et ellers legitimt stykke software, kan sende information uden din tilladelse.

Mens dette og det forrige eksempel begge blev kørt på den samme computer, og inden for blot et minut fra hinanden, kan du se, at listen over aktive TCP-forbindelser er betydeligt anderledes. Dette skyldes, at din computer konstant opretter forbindelse til og afbryder forbindelsen fra forskellige andre enheder på dit netværk og over internettet.

netstat -0 | findstr 28604

Ovenstående eksempel ligner det, vi allerede har set på, men i stedet for at vise alle forbindelser, fortæller vi netstat-kommandoen kun at vise de forbindelser, der bruger en specifik PID,28604 i dette eksempel.

En lignende kommando kunne bruges til at bortfiltrere forbindelserne med en CLOSE_WAIT tilstand, ved at erstatte PID med ETABLERET.

netstat -s -p tcp -f

I dette eksempel ønsker vi at se protokolspecifik statistik [-s] men ikke dem alle, kun TCP-statistik [-p tcp]. Vi ønsker også, at de udenlandske adresser vises i FQDN-format [-f].

Dette er, hvad netstat-kommandoen, som vist ovenfor, producerede på eksempelcomputeren:

TCP Statistics for IPv4
 Active Opens = 77
 Passive Opens = 21
 Failed Connection Attempts = 2
 Reset Connections = 25
 Current Connections = 5
 Segments Received = 7313
 Segments Sent = 4824
 Segments Retransmitted = 5
Active Connections
 Proto Local Address Foreign Address State
 TCP 127.0.0.1:2869 VM-Windows-7:49235 TIME_WAIT
 TCP 127.0.0.1:2869 VM-Windows-7:49238 ESTABLISHED
 TCP 127.0.0.1:49238 VM-Windows-7:icslap ESTABLISHED
 TCP 192.168.1.14:49194 75.125.212.75:http CLOSE_WAIT
 TCP 192.168.1.14:49196 a795sm.avast.com:http CLOSE_WAIT
 TCP 192.168.1.14:49197 a795sm.avast.com:http CLOSE_WAIT

Som du kan se, vises forskellige statistikker for TCP-protokollen, ligesom alle aktive TCP-forbindelser på det tidspunkt.

netstat -e -t 5

I dette sidste eksempel udføres netstat-kommandoen for at vise nogle grundlæggende netværksgrænsefladestatistikker [-e] og så disse statistikker løbende opdateres i kommandovinduet hvert femte sekund [-t 5].

Her er, hvad der produceres på skærmen:

Interface Statistics
 Received Sent
 Bytes 22132338 1846834
 Unicast packets 19113 9869
 Non-unicast packets 0 0
 Discards 0 0
 Errors 0 0
 Unknown protocols 0
Interface Statistics
 Received Sent
 Bytes 22134630 1846834
 Unicast packets 19128 9869
 Non-unicast packets 0 0
 Discards 0 0
 Errors 0 0
 Unknown protocols 0
^C

Forskellige oplysninger, som du kan se her, og som vi har anført i -e syntaks ovenfor, vises.

Netstat-kommandoen blev kun udført automatisk en ekstra gang, som du kan se af de to tabeller i resultatet. Bemærk ^C nederst, hvilket indikerer, at Ctrl+C afbrydelseskommandoen blev brugt til at stoppe genkørslen af ​​kommandoen.

Netstat-relaterede kommandoer

Netstat-kommandoen bruges ofte sammen med andre netværksrelaterede kommandopromptkommandoer som nslookup, ping, tracert, ipconfig og andre.

_{[1] Du skal muligvis manuelt tilføje PID-kolonnen til Task Manager. Du kan gøre dette ved at vælge PID efter at have højreklikket på kolonneoverskrifterne i Behandle fanen. Hvis du bruger Windows 7 eller på ældre Windows OS, skal du vælge PID (Process Identifier) afkrydsningsfelt fra Udsigt > Vælg kolonner i Task Manager. Du skal måske også vælge Vis processer fra alle brugere fra bunden af Processer fanen, hvis det PID, du leder efter, ikke er angivet.}