现有命令能看远端 IP 和本地端口，再补一层“连接状态 + 进程”会更快定位：`ss -tan | awk 'NR>1{n[$1]++} END{for(s in n) print s,n[s]}'` 看主要是 ESTAB、TIME-WAIT 还是 SYN-RECV，`sudo ss -tanp` 看由哪个进程持有。若 TIME-WAIT 居多，通常是大量短连接；SYN-RECV 居多再查入站扫描