在linux网络开发与运维排查中，套接字的状态变迁是定位连接超时、端口占用、半连接泄漏等问题的核心依据。linux提供了从基础查询到动态追踪的多套方案，可根据不同场景选择合适的方式查看状态变迁。

基础命令行工具：快速查询当前套接字状态

对于需要快速获取当前所有套接字状态的简单场景，最常用的是`ss`和`netstat`工具。其中`ss`作为netstat的替代工具，输出信息更丰富，执行效率更高。执行`ss -ti`命令即可输出所有tcp套接字的当前状态，包括连接的收发队列、对端、内核定时器信息等。如果需要过滤指定端口的连接，可以搭配`grep`命令，比如`ss -ti | grep :80`，就能直接查看80端口所有套接字的当前状态。如果需要观察状态变化，可以间隔一定时间重复执行命令，就能直观看到套接字从listen到syn-sent、syn-recv最终到established的完整变迁过程，适合简单场景下的快速排查。

动态追踪工具：实时监控全链路状态变更

如果需要完整记录每个套接字状态变迁的时间、所属进程和完整过程，动态追踪工具是最优选择。一方面可以通过tcpdump抓包分析，根据tcp包的标志位推导对应状态：收到syn包对应listen转syn-recv，发送syn+ack后等待对端ack，对端ack到达后转为established，四次挥手的不同包对应fin-wait、time-wait等状态，执行`tcpdump -i any port 443`就能完整捕获握手挥手过程，推导完整状态变迁，能清晰记录每一次状态变更的时机，帮助定位连接卡顿问题。另一方面，基于ebpf的bcc工具包提供了`tcpstates`工具，可以直接在内核层面挂载钩子捕获tcp状态变更事件，自动输出格式化的状态变迁日志，内容包含时间戳、进程id、本地/对端、旧状态、新状态，无需手动推导，非常适合复杂问题的调试。

/proc文件系统：原生接口的轻量查看方案

在没有安装额外工具的最小化linux系统中，可以通过内核原生开放的/proc文件系统获取套接字状态信息。所有tcp套接字的状态都存储在`/proc/net/tcp`（ipv4）和`/proc/net/tcp6`（ipv6）文件中，其中st字段用数字编码表示套接字状态：1对应established、2对应syn-sent、3对应syn-recv，通过定期读取该文件对比同一套接字的状态变化，就能得到完整的变迁过程，同时每个套接字对应的inode信息还可以关联到具体进程，帮助定位问题进程，是无额外工具环境下的可靠方案。

不同查看方案适用于不同场景，快速排查用基础命令，完整追踪用动态工具，最小系统用proc文件，灵活选择就能高效定位各类网络连接问题。（全文约741字）