Categories
Debian Linux RedHat Ubuntu

Prozess zu einem offenen Port ermitteln

Um den Prozess zu einem offenen Port zu finden gibt es verschiedene Möglichkeiten. Als Beispiel wollen wir für einen Port 5000 in Erfahrung bringen, welcher Prozess dahinter läuft.

Der erste Versuch könnte ein grep auf den Port mit ps -ef sein.

dockeradm@ubuntusrv001:~$ ps -ef|grep 5000
UID PID PPID C STIME TTY TIME CMD
root 80078 79851 0 14:42 ? 00:00:00 /usr/bin/docker-proxy -proto tcp -host-ip 0.0.0.0 -host-port 5000 -container-ip 172.17.0.2 -container-port 5000
root 80087 79851 0 14:42 ? 00:00:00 /usr/bin/docker-proxy -proto tcp -host-ip :: -host-port 5000 -container-ip 172.17.0.2 -container-port 5000

Dieser Ansatz ist nur ergfolgreich, wenn ein Prozess den Port als Argument übergeben bekommt. Das ist nur in wenigen Fällen so.

LSOF

lsof mit der Option -i gefolgt von :<PORT> werden die Prozess angezeigt, die diesen Port offen halten.
❗ Wenn man nicht der technische Benutzer ist, unter dem der Prozess läuft, sieht man keine Ausgabe:

dockeradm@ubuntusrv001:~$ lsof -i :5000
                                       

Mit sudo oder als Benutzer, dem der Prozess gehört, wird der Prozessnamen und die Prozess ID ausgegeben:

dockeradm@ubuntusrv001:~$ sudo lsof -i :5000
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
docker-pr 80078 root 4u IPv4 665614 0t0 TCP *:5000 (LISTEN)
docker-pr 80087 root 4u IPv6 660124 0t0 TCP *:5000 (LISTEN)

NETSTAT

netstat zeigt ebenfalls (angemeldet als technischer Benutzer unter dem der Prozess läuft oder als root) den Prozess und den Port an. Ist man nicht der technische Benutzer, so wird der Prozessname nicht ausgeben:

dockeradm@ubuntusrv001:~$ netstat -tulnp|grep 5000
(Not all processes could be identified, non-owned process info
will not be shown, you would have to be root to see it all.)
tcp 0 0 0.0.0.0:5000 0.0.0.0:* LISTEN -
tcp6 0 0 :::5000 :::* LISTEN -

Als Benutzer, dem der Prozess gehört oder als root sieht man auch den zugehörigen Prozess.

dockeradm@ubuntusrv001:~$ sudo netstat -tulnp|grep 5000
tcp 0 0 0.0.0.0:5000 0.0.0.0:* LISTEN 80078/docker-proxy
tcp6 0 0 :::5000 :::* LISTEN 80087/docker-proxy

Fazit

netstat erzeugt immer eine Ausgabe. Man erkennt zumindest, dass ein Prozess den Port belegt und man sieht den Status (CONNECTED/ LISTEN / …). ps und lsof zeigen bei fehlenden Berechtigungen unter Umstängen kein Ergebnis, obwohl ein Prozess den Port belegt.

Categories
Linux SystemD

Essentielle systemd Befehle

Zur Verwaltung und Überwachung der Systemd Dienste sind hauptsächlich zwei Befehle zuständig:
systemctl
journalctl

Systemctl

systemctl dient zur Verwaltung von Systemd Services (Starten, Stoppen, Neustart, Status Abfragen):
systemctl [stop|start|restart|reload|status] rsyslog.service

Service de-/aktivieren (permanent)

systemctl enable rsyslog.service
systemctl disable rsyslog.service

Abfrage, ob ein Service aktiviert ist:
systemctl is-enabled rsyslog.service; echo $?

Anzeige einer Service Definition

systemctl cat rsyslog.service --no-pager

/usr/lib/systemd/system/rsyslog.service
[Unit]
Description=System Logging Service
;Requires=syslog.socket
Wants=network.target network-online.target
After=network.target network-online.target
Documentation=man:rsyslogd(8)

Anzeige der fehlgeschlagenen Dienste

systemctl --failed

UNIT LOAD ACTIVE SUB DESCRIPTION
● pctl.service loaded failed failed LSB: Start the perfd daemon
LOAD = Reflects whether the unit definition was properly loaded.
ACTIVE = The high-level unit activation state, i.e. generalization of SUB.
SUB = The low-level unit activation state, values depend on unit type.
1 loaded units listed. Pass –all to see loaded but inactive units, too.
To show all installed unit files use ‘systemctl list-unit-files’.

Journalctl

journalctl dient der Abfrage der Systemd Protokolle.
Abfrage der vorhandenen Protokolle der System Neustarts
sudo journalctl --list-boots

Ein einzelnes Protokoll kann über die ID aus der vorherigen Liste (sudo journalctl --list-boots) ausgewählt und ausgegeben werden:
sudo journalctl --boot 9ef7a66734614ed9d1f7331z14bdd389

Kontinuierliche Anzeige, analog tail -f für Linux Dateien:
sudo journalctl –f

Anzeige eines bestimmten Zeitraums mit dem Parameter --since
sudo journalctl --since "60 min ago"

Categories
Debian Korn Shell / Bash Linux RedHat Ubuntu

Welcher Prozess belegt wieviel Swap?

Wenn die Kommandos (in den Linux Varianten Debian, Ubuntu, RedHat und ähnlich)

  free
  cat /proc/swaps
  swapon -s

eine hohe Auslastung des Swap Spaces anzeigen, kommt die Frage nach dem Verbraucher des Swap hoch.

Folgendes Miniskript gibt die Liste der Prozesse nach Größe des belegten Swap an. Mit der Variable THRESHOLD kann man die Liste auf die Verbraucher eingrenzen, die mehr als diesen Wert in kB an Swap belegen.

  THRESHOLD=5000
  for pid in `ls /proc`; do
    vmswap=`awk '/VmSwa/{print $2}' /proc/${pid}/status 2>/dev/null`;
    if [ ${vmswap} -gt ${THRESHOLD} ];then
      pName=`ps -ef|awk '$2=="'"${pid}"'" {print $8}'`;
      echo "PID ${pid}: ${vmswap} kB (${pName})";
    fi;
  done 2>/dev/null|sort -un -k3

Die Ausgabe sieht wie folgt aus:

  PID 123857: 7826 kB (/usr/bin/python)
  PID 768456: 9876 kB (/usr/bin/java)
  PID 6543: 11392 kB (/usr/bin/python)
  PID 367682: 12420 kB (/usr/bin/python)