1. 为什么“纯IP信息”在Linux运维中是个高频刚需你有没有遇到过这样的场景凌晨两点线上服务突然告警监控显示某台服务器响应延迟飙升。你火速登录跳板机想快速确认是哪台后端节点出了问题——但netstat -tuln或者ss -tuln输出的全是带端口、带协议、带状态的混合信息比如tcp6 0 0 :::8080 :::* LISTEN或者更糟tcp 0 0 192.168.1.100:3306 10.20.30.40:54321 ESTABLISHED。这时候你真正需要的只是那个干净利落的192.168.1.100或者10.20.30.40而不是一整行裹着格式糖衣的“营养餐”。这就是“纯IP信息”的真实战场。它不是教科书里的练习题而是每天在终端里真实发生的“时间就是生命”的操作。所谓“纯”核心就三点无协议头tcp/udp、无端口号:8080、无状态标识LISTEN/ESTABLISHED。它要的是IP地址本身一个能直接复制粘贴进ping、curl、ssh甚至防火墙规则里的字符串。而grep、sed、awk和正则表达式就是我们手边最趁手、最无需额外安装、最能在任何一台老旧或精简版Linux服务器上立刻开干的“瑞士军刀”。很多人误以为这只是一个简单的文本过滤问题随手敲个grep -oE ([0-9]{1,3}\.){3}[0-9]{1,3}就完事了。但实操中你会发现这个命令在ifconfig输出里可能把MAC地址的00:1a:2b:3c:4d:5e也当成IP匹配出来在ss -tuln里它会把::1IPv6回环和0.0.0.0通配符都抓出来而这两者在绝大多数排查场景下毫无意义甚至会误导判断。真正的“纯”是带着业务语境的纯——它必须精准对应你当前要解决的那个具体问题是查本机所有活跃网卡的IPv4地址是提取所有对外建立连接的远端IP还是从日志里捞出被拒绝访问的恶意IP段每一个场景对“纯”的定义都不同。所以这篇文章不讲泛泛的正则语法只讲在真实运维现场如何用这四件套一击命中你真正需要的那个IP。提示本文所有命令均在CentOS 7/8、Ubuntu 20.04/22.04及Alpine Linux 3.18环境下实测验证。所用工具均为系统默认安装无需apt install或yum install确保你在任何受限环境里都能立刻复现。2.ifconfig与ip addr获取本机网卡IP的底层逻辑差异当你要查“本机IP”时第一个分水岭就出现了用ifconfig还是ip addr这绝非个人喜好问题而是关系到结果纯净度的根本差异。ifconfig是经典的net-tools套件成员输出格式高度固定每块网卡以设备名开头如eth0:接着是inet addr:字段后面紧跟着IP地址。它的结构像一张填好的表格非常规整。而ip addr是现代iproute2套件的主力输出是树状结构同一块网卡的信息分散在多行IP地址藏在inet或inet6关键字之后且前面可能有缩进空格、scope global等干扰信息。这种结构差异直接决定了后续grep/sed/awk的处理策略。我们先看ifconfig的典型输出片段eth0: flags4163UP,BROADCAST,RUNNING,MULTICAST mtu 1500 inet 192.168.1.100 netmask 255.255.255.0 broadcast 192.168.1.255 inet6 fe80::20c:29ff:fe1a:2b3c prefixlen 64 scopeid 0x20link ether 00:0c:29:1a:2b:3c txqueuelen 1000 (Ethernet)这里inet后面紧跟的就是我们要的IPv4地址。一个看似完美的grep命令是ifconfig | grep inet | grep -v 127.0.0.1 | awk {print $2}它先用grep inet 抓所有含inet的行注意空格避免匹配到inet6再用grep -v 127.0.0.1排除本地回环最后用awk {print $2}打印第二列。看起来很完美对吧但问题来了ifconfig在某些发行版如较新版本的Ubuntu中已被默认移除且其输出在不同内核版本下inet字段后的空格数可能不一致。更致命的是inet后面除了IP还可能跟addr:旧版或直接跟IP新版导致$2不稳定。我曾在某次紧急故障中用这个命令在一台Debian 11服务器上拿到了netmask而不是IP因为那台机器的ifconfig输出是inet addr:192.168.1.100$2就成了addr:192.168.1.100。所以更鲁棒的做法是放弃依赖列号转而用sed做模式替换ifconfig | sed -n s/.*inet \([0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}\).*/\1/p | grep -v ^127\.0\.0\.1$这个命令的核心是s/.*inet \([0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}\).*/\1/p。它用.*inet匹配任意字符加inet前缀然后用\(...\)捕获一个标准的IPv4地址每个字节1-3位数字用点分隔最后用.*匹配剩余所有字符并将整个行替换成捕获到的IP\1。-n参数让sed只打印被成功替换的行p标志触发打印。这样无论inet后面是空格还是addr:只要IP地址格式正确就能稳稳抓出来。再来看ip addr。它的输出更“现代”但也更“散”。典型片段如下2: eth0: BROADCAST,MULTICAST,UP,LOWER_UP mtu 1500 qdisc pfifo_fast state UP group default qlen 1000 inet 192.168.1.100/24 brd 192.168.1.255 scope global dynamic eth0 valid_lft 86399sec preferred_lft 86399sec inet6 fe80::20c:29ff:fe1a:2b3c/64 scope link valid_lft forever preferred_lft forever这里IPv4地址是192.168.1.100/24带了子网掩码。我们的目标是去掉/24。awk在这里大显身手因为它可以按空格和/同时分割字段ip addr show | awk /inet / !/127.0.0.1/ {split($2, a, /); print a[1]}这条命令首先用/inet /匹配含inet的行 !/127.0.0.1/排除回环然后对第二列$2即192.168.1.100/24用split函数以/为分隔符拆成数组aa[1]就是IP部分。split是awk的内置函数比用sed两次替换更高效、更易读。注意ip addr show比ip addr更明确避免了ip addr在某些精简系统中因别名缺失而报错的风险。这是我在某次容器化部署中踩过的坑——基础镜像里ip addr是软链接指向一个不存在的路径而ip addr show是硬编码的完整命令永远可靠。3.ss与netstat从网络连接中精准提取远端IP的实战陷阱如果说查本机IP是“静态快照”那么从ss或netstat中提取IP就是一场“动态狩猎”。你的目标不再是固定的网卡地址而是那些正在与你的服务器发生数据交换的、千变万化的远端IP。这里的挑战陡然升级你需要区分LISTEN监听、ESTABLISHED已建立、TIME_WAIT等待关闭等状态并且要准确识别出哪一列是“远端”Peer Address哪一列是“本地”Local Address。先看ss -tuln的输出结构-tTCP,-uUDP,-llistening,-nnumericState Recv-Q Send-Q Local Address:Port Peer Address:Port LISTEN 0 128 *:22 *:* LISTEN 0 128 *:80 *:* ESTAB 0 0 192.168.1.100:22 10.20.30.40:54321 ESTAB 0 0 192.168.1.100:8080 203.208.60.1:443关键点在于对于ESTAB状态的连接Peer Address:Port列第四列才是我们要的远端IP。但ss的列宽是动态的用awk {print $4}在*:*这种短字段和10.20.30.40:54321这种长字段混排时会因空格数量不一致而错位。我曾在一个高并发Web服务器上用$4拿到了*:*而不是真实的客户端IP导致整个流量分析完全跑偏。正确的解法是放弃列号拥抱正则。ss的输出有一个稳定特征Peer Address:Port总是出现在Local Address:Port之后且两者之间由至少两个空格分隔。我们可以用awk的match函数来定位ss -tun | awk $1 ~ /^ESTAB$/ {match($0, / [^ ]:[0-9]$/); if (RSTART 0) {ip_port substr($0, RSTART1, RLENGTH-1); split(ip_port, a, :); print a[1]}}这段代码逻辑清晰先用$1 ~ /^ESTAB$/筛选第一列为ESTAB的行然后用match($0, / [^ ]:[0-9]$/)在整个行中匹配“一个空格开头后面跟着非空格字符、一个冒号、若干数字且位于行尾”的模式这正是Peer Address:Port的特征RSTART和RLENGTH是match函数返回的匹配起始位置和长度substr提取出匹配到的字符串如10.20.30.40:54321split再以:为界拆分a[1]就是纯IP。相比之下netstat -tun的输出列更“友好”但同样有陷阱。它的标准列是Proto Recv-Q Send-Q Local Address Foreign Address State tcp 0 0 192.168.1.100:22 10.20.30.40:54321 ESTABLISHED这里Foreign Address是第三列。但问题在于netstat在某些系统上尤其是容器内可能不显示Foreign Address标题行或者标题行被截断。一个更安全的通用方案是netstat -tun | awk NR2 $6 ESTABLISHED {split($5, a, :); print a[1]}NR2跳过前两行标题行和可能的空行$6 ESTABLISHED确保只处理已建立的连接$5是Foreign Address列split($5, a, :)将其按:分割a[1]即IP。这个方案不依赖标题行是否存在只依赖数据行的结构鲁棒性极高。实战心得在生产环境中我几乎从不单独使用ss或netstat来提取IP而是先用ss -tun state establishedss的state子命令直接过滤出已建立的连接再进行后续处理。这比在awk里用$1 ~ /^ESTAB$/或$6 ESTABLISHED更高效因为过滤工作交给了ss内核态减少了用户态的数据传输量。这是我在一次处理百万级连接的数据库代理服务时总结出的关键优化。4. 正则表达式的“精确打击”从宽松匹配到业务语义的跃迁正则表达式是所有文本处理的灵魂但也是最容易“画蛇添足”的地方。初学者常犯的错误是追求“能匹配”而资深运维追求的是“只匹配”。一个能匹配192.168.1.100的正则如果也能匹配999.999.999.999或123.45.67.890那它就是一把钝刀。标准的IPv4地址正则([0-9]{1,3}\.){3}[0-9]{1,3}看似无懈可击实则漏洞百出。它会匹配999.999.999.999因为[0-9]{1,3}只限制了数字个数没限制数值范围0-255。更隐蔽的陷阱是它会把192.168.1.100.123一个带多余数字的字符串的前四组也匹配出来造成误判。真正的“精确”正则必须逐段校验\b(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\b这个正则的精髓在于对每个字节的三重约束25[0-5]匹配250-2552[0-4][0-9]匹配200-249[01]?[0-9][0-9]?匹配0-199[01]?表示0或1可选[0-9][0-9]?表示1-2位数字。[01]?[0-9][0-9]?这个写法尤其巧妙。它覆盖了所有可能性0一位、5一位、10两位、99两位、100三位但不会匹配200因为200会被前面的2[0-4][0-9]捕获。2[0-4][0-9]确保了200-24925[0-5]确保了250-255剩下的0-199就交给[01]?[0-9][0-9]?。三个部分用|或连接形成完整的0-255覆盖。但光有精确匹配还不够业务语境才是最终裁决者。例如在分析Nginx访问日志时你想要的是“真实客户端IP”而非X-Forwarded-For头里的代理链。日志格式通常是10.20.30.40 - - [10/Jan/2024:12:34:56 0000] GET /api/v1/users HTTP/1.1 200 1234 - curl/7.68.0这里10.20.30.40是直接连接的IP但如果你的Nginx前面有CDN或负载均衡器这个IP其实是它们的出口IP真正的用户IP在X-Forwarded-For头里而这个头在日志中是作为$http_x_forwarded_for变量记录的位置不固定。此时一个更高级的技巧是结合awk的条件判断和正则awk {if ($1 ~ /^([0-9]{1,3}\.){3}[0-9]{1,3}$/ $1 !~ /^127\.|^10\.|^172\.(1[6-9]|2[0-9]|3[0-1])\.|^192\.168\./) print $1} access.log这个命令做了三件事$1 ~ /^([0-9]{1,3}\.){3}[0-9]{1,3}$/先用宽松正则确认第一列是IP格式$1 !~ /^127\.|^10\.|^172\.(1[6-9]|2[0-9]|3[0-1])\.|^192\.168\./再用否定正则排除所有私有IP段127.0.0.0/8, 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16只有同时满足“是IP”且“不是私有IP”的行才打印$1。这实际上是在用正则实现了一次轻量级的IP地理属性判断直指业务核心——我们通常只关心公网IP。踩坑实录我在某次安全审计中用grep -oE ([0-9]{1,3}\.){3}[0-9]{1,3} access.log | sort | uniq -c | sort -nr | head -20生成了TOP20攻击IP列表。结果发现排名第一的10.10.10.10是一个内部测试机的IP它因为自动化脚本缺陷疯狂刷接口污染了整个榜单。后来我加入了awk !/^10\.|^172\.|^192\.168\./的过滤榜单立刻变得真实可信。这个教训让我明白正则的威力不在于它能“抓得多”而在于它能“筛得准”。5.awk的终极武器多维状态机与字段动态解析当grep和sed在处理复杂、嵌套、多状态的文本时开始力不从心awk就亮出了它的终极形态——基于行的状态机和动态字段解析。这不是简单的“打印第几列”而是让awk像一个微型程序一样记住上下文、判断状态、并根据不同的状态执行不同的逻辑。一个经典案例是解析lsof -iTCP的输出它用于查看所有TCP连接及其关联的进程。输出格式如下COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME sshd 1234 root 3u IPv4 12345 0t0 TCP *:22 (LISTEN) sshd 1234 root 4u IPv4 67890 0t0 TCP 192.168.1.100:22-10.20.30.40:54321 (ESTABLISHED) curl 5678 user 3u IPv4 24680 0t0 TCP 192.168.1.100:45678-203.208.60.1:443 (ESTABLISHED)我们的目标是提取所有ESTABLISHED状态的远端IP并且附带发起该连接的COMMAND和PID以便快速定位是哪个进程在“打电话”。难点在于NAME列最后一列的内容极其不规则*表示通配-表示连接方向(和)包裹状态。用awk {print $9}会得到*:22、192.168.1.100:22-10.20.30.40:54321、192.168.1.100:45678-203.208.60.1:443格式完全不统一。awk的解决方案是先用正则匹配整行再用sub和gsub函数在匹配到的字段内进行二次清洗。lsof -iTCP | awk $1 ! COMMAND $9 ~ /-/ $9 ~ /\(ESTABLISHED\)/ { # 提取 - 右侧的部分即远端地址:端口 remote_full $9 sub(/^.*-/, , remote_full) # 删除 - 左侧所有内容 sub(/\(.*$/, , remote_full) # 删除 ( 及右侧所有内容留下 10.20.30.40:54321 split(remote_full, a, :) # 按 : 分割 if (length(a) 2) { print $1, $2, a[1] # COMMAND, PID, 远端IP } }这个脚本的精妙之处在于状态的分层处理第一层状态$1 ! COMMAND跳过标题行$9 ~ /-/确保是双向连接排除LISTEN$9 ~ /\(ESTABLISHED\)/确保是已建立状态。第二层状态对$9字段本身进行两次sub操作第一次剥离左侧第二次剥离右侧将一个混乱的字符串“手术式”地切出我们需要的部分。第三层状态split后检查length(a) 2确保分割后至少有两个元素IP和端口避免因正则失效而产生空值。这种“状态机”思维是awk区别于其他工具的核心竞争力。它让文本处理从“线性流水线”升级为“智能决策树”。另一个体现是处理多行日志。例如Java应用的异常堆栈日志错误信息在第一行堆栈在后续多行且以at开头java.lang.NullPointerException at com.example.MyClass.doSomething(MyClass.java:42) at com.example.MyClass.main(MyClass.java:10)要提取所有at行中的类名和方法名awk可以这样写awk /java\.lang\./ {error $0; next} /^ at / {gsub(/^ at /, , $0); gsub(/\(.*/, , $0); print error, $0} app.log这里/java\.lang\./匹配错误行将其存入变量error并用next跳过后续处理/^ at /匹配堆栈行gsub两次清洗最终输出“错误类型 类名.方法名”。这已经是一个小型的、有状态的日志分析器了。经验之谈awk的BEGIN和END块是隐藏的宝藏。BEGIN块在处理任何输入行之前执行适合初始化变量或打印表头END块在所有输入行处理完毕后执行适合做汇总统计。例如要统计ss -tun中每个远端IP的连接数可以这样写ss -tun | awk NR1 $1 ~ /^ESTAB$/ {match($0, / [^ ]:[0-9]$/); if (RSTART 0) {ip_port substr($0, RSTART1, RLENGTH-1); split(ip_port, a, :); ip_count[a[1]]}} END {for (ip in ip_count) print ip, ip_count[ip] | sort -k2 -nr}这个命令在END块中遍历ip_count关联数组并通过管道| sort -k2 -nr进行降序排序一行代码完成“计数排序”效率远超用sort | uniq -c | sort的组合。6. 综合实战构建一个可复用的IP提取函数库纸上得来终觉浅绝知此事要躬行。前面所有的技巧最终都要落地为一个能随时调用、可维护、可扩展的函数库。下面我将分享一个我在日常工作中实际使用的、经过上百次生产环境验证的ip-utils.sh函数库。它不是一个简单的命令集合而是一个遵循Unix哲学——“做一件事并做好它”的模块化设计。#!/bin/bash # 函数get_local_ipv4 # 功能获取本机所有非回环、非私有的IPv4地址用于对外服务 # 参数无 # 返回一行一个纯IPv4地址 get_local_ipv4() { # 优先尝试 iproute2 (现代标准) if command -v ip /dev/null 21; then ip addr show | awk /inet / !/127\.0\.0\.1/ !/^ *inet6/ {split($2, a, /); if (a[1] !~ /^10\.|^172\.(1[6-9]|2[0-9]|3[0-1])\.|^192\.168\./) print a[1]} # 兜底尝试 net-tools (老旧系统) elif command -v ifconfig /dev/null 21; then ifconfig | sed -n s/.*inet \([0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}\).*/\1/p | grep -v ^127\.0\.0\.1$ | awk !/^10\.|^172\.(1[6-9]|2[0-9]|3[0-1])\.|^192\.168\./ else echo Error: Neither ip nor ifconfig command found. 2 return 1 fi } # 函数get_established_remote_ips # 功能获取所有ESTABLISHED状态的远端IPv4地址用于流量分析 # 参数$1 - 可选指定协议 (tcp/udp)默认为tcp # 返回一行一个纯IPv4地址 get_established_remote_ips() { local proto${1:-tcp} if [[ $proto tcp ]]; then ss -tun state established 2/dev/null | awk { match($0, / [^ ]:[0-9]$/); if (RSTART 0) { ip_port substr($0, RSTART1, RLENGTH-1); split(ip_port, a, :); if (a[1] ~ /^([0-9]{1,3}\.){3}[0-9]{1,3}$/ a[1] !~ /^127\.|^10\.|^172\.(1[6-9]|2[0-9]|3[0-1])\.|^192\.168\./) print a[1] } } | sort -u elif [[ $proto udp ]]; then ss -un state connected 2/dev/null | awk { match($0, / [^ ]:[0-9]$/); if (RSTART 0) { ip_port substr($0, RSTART1, RLENGTH-1); split(ip_port, a, :); if (a[1] ~ /^([0-9]{1,3}\.){3}[0-9]{1,3}$/ a[1] !~ /^127\.|^10\.|^172\.(1[6-9]|2[0-9]|3[0-1])\.|^192\.168\./) print a[1] } } | sort -u else echo Usage: get_established_remote_ips [tcp|udp] 2 return 1 fi } # 函数extract_ips_from_log # 功能从指定日志文件中提取所有公网IPv4地址 # 参数$1 - 日志文件路径 # 返回一行一个纯IPv4地址去重 extract_ips_from_log() { if [[ ! -f $1 ]]; then echo Error: Log file $1 not found. 2 return 1 fi # 使用 GNU grep 的 -oP (PCRE) 进行最精确匹配若不可用则降级 if grep -oP \b(?:(?:25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.){3}(?:25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\b $1 2/dev/null | \ grep -vE ^(127\.|10\.|172\.(1[6-9]|2[0-9]|3[0-1])\.|192\.168\.) | sort -u; then : else # 降级方案使用基本正则 grep -oE ([0-9]{1,3}\.){3}[0-9]{1,3} $1 2/dev/null | \ grep -vE ^(127\.|10\.|172\.(1[6-9]|2[0-9]|3[0-1])\.|192\.168\.) | sort -u fi }这个函数库的设计哲学体现在三个细节上优雅降级Graceful Degradationget_local_ipv4函数首先检查ip命令是否存在存在则用不存在则检查ifconfig再用都不存在则报错。这保证了脚本在从CentOS 6到Ubuntu 24.04的所有主流发行版上都能运行无需手动修改。防御性编程Defensive Programming所有函数都包含输入校验如[[ ! -f $1 ]]和错误输出2并且在失败时返回非零退出码return 1。这使得它可以被安全地集成到更大的自动化流程中上游脚本可以通过$?判断成败。单一职责Single Responsibility每个函数只做一件事。get_local_ipv4只负责获取本机IPget_established_remote_ips只负责获取远端IPextract_ips_from_log只负责从日志提取。它们之间没有耦合可以独立测试、独立复用。例如你可以这样在Zabbix自定义监控项中使用# Zabbix agent item key: custom.ip.established.count # Command to run: /path/to/ip-utils.sh source /path/to/ip-utils.sh get_established_remote_ips tcp | wc -l最后一个小技巧将这个函数库保存为/usr/local/bin/ip-utils.sh然后在/etc/profile.d/ip-utils.sh中添加source /usr/local/bin/ip-utils.sh。这样所有新打开的shell都会自动加载这些函数让你的get_local_ipv4就像ls一样成为系统的一部分。这是我从某位老运维导师那里学来的他说“最好的工具是让你感觉不到它存在的工具。”