来源：王璐宇 | 发布日期：2025-08-29

TCP 连接数爆表：攻击还是 Bug 排查指南

当服务器 TCP 连接数飙升（如 10 万+）时，快速分辨是 DDoS/CC 攻击 还是 代码 Bug/配置错误，是应急响应的核心能力。

紧急响应：5 分钟快速定位

1. 连接状态分析

netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'

2. 源 IP 分析

netstat -ant | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | head -n 20

• 攻击特征：源 IP 分散、随机，或零星外部 IP 大量请求 → CC/DDoS
• Bug 特征：源 IP 集中（127.0.0.1、内网 IP、自身）→ 程序 Loopback 调用或连接池配置错误

3. 端口/进程关联

# 哪个端口连接数最多
netstat -ant | awk '{print $4}' | cut -d: -f2 | sort | uniq -c | sort -nr | head -n 10
# 根据端口查进程
lsof -i :80

快速定位到 Nginx、MySQL 或 Java 应用等具体进程。

攻防鉴别总表

实战案例

• CC 攻击：活动页 ESTABLISHED 飙高，源 IP 分散指向一个耗时查询 API → 启用 WAF CC 防护规则
• CLOSE_WAIT 泄漏：Java 应用发布后 CLOSE_WAIT 缓慢上升至爆表 → 异常处理中未关闭 MySQL 连接 → 修复代码后重启

落地解决

临时止损

根因治理

代码层面：

• 所有 HTTP/数据库/Redis 客户端使用连接池，设置合理大小
• 在 finally 块中确保连接释放
• 设置连接超时、读超时、写超时

系统层面：

• 调优 /etc/sysctl.conf 内核参数（如 net.ipv4.tcp_tw_reuse、net.core.somaxconn）
• 建设常态化 WAF 和 DDoS 防护体系
• 核心 API 配置速率限制（Rate Limiting）

关联页面