在linux网络开发和运维排查中，套接字的情形变迁是定位连接超时、端口占用、半连接泄漏等难题的核心依据。linux提供了从基础查询到动态追踪的多套方法，可根据不同场景选择合适的方法查看情形变迁。

基础命令行工具：快速查询当前套接字情形

对于需要快速获取当前全部套接字情形的简单场景，最常用的是`ss`和`netstat`工具。其中`ss`作为netstat的替代工具，输出信息更丰盛，执行效率更高。执行`ss -ti`命令即可输出全部tcp套接字的当前情形，包括连接的收发队列、对端、内核定时器信息等。如果需要过滤指定端口的连接，可以组合`grep`命令，比如`ss -ti | grep :80`，就能直接查看80端口全部套接字的当前情形。如果需要观察情形变化，可以间隔一定时刻重复执行命令，就能直观看到套接字从listen到syn-sent、syn-recv最终到established的完整变迁经过，适合简单场景下的快速排查。

动态追踪工具：实时监控全链路情形变更

如果需要完整记录每个套接字情形变迁的时刻、所属进程和完整经过，动态追踪工具是最优选择。一方面可以通过tcpdump抓包解析，根据tcp包的标志位推导对应情形：收到syn包对应listen转syn-recv，发送syn+ack后等待对端ack，对端ack到达后转为established，四次挥手的不同包对应fin-wait、time-wait等情形，执行`tcpdump -i any port 443`就能完整捕获握手挥手经过，推导完整情形变迁，能清晰记录每一次情形变更的时机，帮助定位连接卡顿难题。另一方面，基于ebpf的bcc工具包提供了`tcpstates`工具，可以直接在内核层面挂载钩子捕获tcp情形变更事件，自动输出格式化的情形变迁日志，内容包含时刻戳、进程id、本地/对端、旧情形、新情形，无需手动推导，特别适合复杂难题的调试。

/proc文件体系：原生接口的轻量查看方法

在没有配置额外工具的最小化linux体系中，可以通过内核原生放开的/proc文件体系获取套接字情形信息。全部tcp套接字的情形都存储在`/proc/net/tcp`（ipv4）和`/proc/net/tcp6`（ipv6）文件中，其中st字段用数字编码表示套接字情形：1对应established、2对应syn-sent、3对应syn-recv，通过定期读取该文件对比同一套接字的情形变化，就能得到完整的变迁经过，同时每个套接字对应的inode信息还可以关联到具体进程，帮助定位难题进程，是无额外工具环境下的可靠方法。

不同查看方法适用于不同场景，快速排查用基础命令，完整追踪用动态工具，最小体系用proc文件，灵活选择就能高效定位各类网络连接难题。（全文约741字）