凌晨三点，络工服务器报警。络工我ssh登上去，络工发现出口流量飙到900Mbps，络工但业务QPS纹丝不动。络工第一反应不是络工看监控面板，而是络工敲下iftop——三秒后，一个陌生IP正以每秒4000个连接狂打我们的络工DNS端口。这就是络工Linux网络工具的价值：它们不是锦上添花的玩具，而是络工事故现场的手术刀。

排查网络问题，络工ping和traceroute只是络工入门。真正干活时，络工我习惯先甩ss -tnp看看当前连接状态。络工这玩意比netstat快十倍，络工输出还清晰。比如刚才那场景，ss -tn state established '( dport = :53 )'直接列出所有DNS连接，配合awk统计源IP，攻击源立刻现形。别小看这条命令——它救过我不下十次。

带宽被占满时，iftop是首选。默认界面像老式仪表盘，按t键聚合到单IP，按p显示端口。但注意，它只能看实时流量，想追溯历史就得靠nload或者干脆写个cron任务抓/proc/net/dev。有次客户说“网络卡”，我远程跑iftop -i eth0 -n -P，发现某台机器在向海外IP狂传数据——后来查出来是挖矿木马。工具本身不会告诉你答案，但能让你少走弯路。

抓包是终极手段。tcpdump参数多如牛毛，但最常用的就那几个：-i any监听所有接口，-w file.pcap存文件，host和port过滤目标。有一次线上延迟抖动，我抓了30秒包，用tcpdump -r file.pcap -nn tcp port 443过滤出HTTPS流量，再用Wireshark打开看TCP窗口缩放因子——发现是某台老旧服务器的窗口太小，导致吞吐量上不去。这问题光靠看监控永远查不出来。

别忽略那些“简单”工具。nc（netcat）能测端口通不通，也能做简易端口转发。某次两台内网机器之间防火墙规则死活不对，我直接用nc -l 1234在目标机监听，另一台nc -vz 目标IP 1234测试，两秒定位到是iptables的FORWARD链掉了。还有mtr，它把traceroute和ping合二为一，持续输出每一跳的丢包率——排查跨运营商线路问题，比单纯traceroute直观得多。

玩这些工具，别光记命令。理解背后的数据流更重要。比如ss读的是内核socket表，tcpdump走的是libpcap，两者抓到的包在时序上会有微秒级差异——但排查99%的业务问题，这点误差根本无所谓。真正该练的是组合打法：先用ss看状态，再用iftop看流量，最后tcpdump定位细节。三步走完，没解决不了的网络故障。

说句掏心窝的话，Linux网络工具最迷人的地方在于——它们从不撒谎。配置错了、带宽满了、攻击来了，命令输出会如实告诉你。比起某些商业监控面板的“疑似异常”，这种直接了当反而让人踏实。下次遇到网络卡顿，别急着重启，先跑个ss -s看看系统socket统计。你会发现，答案早就躺在那儿了。