Linux ss -o timer 怎样读取 TCP 重传计时器

如果想看 Linux TCP 连接当前有没有活动计时器，最小命令是：

# 只看 TCP 连接，并显示 socket 的活动计时器
ss -tno state established

其中 -t 限定 TCP，-n 保留数字地址和端口，-o 打开计时器信息，state established 则把观察范围收窄到已建立连接。输出里的 timer:(on,expire_time,retrans) 才是本文要读的核心：它分别对应计时器类型、距离到期的时间和已经发生的重传次数。注意，on 表示 TCP 重传计时器、早期重传计时器或尾部丢包探测计时器中的一种，不能仅凭这个词断言“已经重传了一次”。

先用 -tno 看见 TCP 的 timer 字段

ss -o 的职责是显示 timer 信息。对 TCP 来说，常见结构可以按下面这张静态说明图理解：

一个连接行中如果出现类似 timer:(on,42ms,1) 的字段，可以这样拆开：

• on：当前活动计时器属于 TCP 重传、早期重传或尾部丢包探测这一组。
• 42ms：按照 ss 的输出语义，表示距离这个计时器到期还有多久。
• 1：当前计时器相关的重传次数，不是应用层重试次数。

示例中的数值只是字段阅读示意，不代表某台机器的真实采样结果。若某个连接没有显示 timer，不要直接把它当成故障；先确认过滤条件、连接状态和采样时刻，再判断是否存在当前可展示的活动计时器。

用状态和端口把观察范围缩小

排查重传时，最容易犯的错误是把监听 socket、UDP 或大量无关连接混在一起。先按状态筛选，再按端口筛选，输出会更适合人工阅读。

# 只观察已建立的 TCP 连接；-o 显示 timer，-n 避免端口被翻译成服务名
ss -tn -o state established

# 只看目标端口为 443 的已建立连接；括号保留过滤表达式边界
ss -tn -o state established '( dport = :443 )'

这里的 state established 是范围条件，dport = :443 是端口表达式。两者一起使用时，读者看到的是更窄的 TCP 连接集合；它们不会改变内核的重传策略，也不会主动触发探测。

如果需要观察某个服务的出站连接，可以把条件改成 sport = :443，或者用 or 组合源端口与目标端口。筛选语法本身只是查询边界，不能把“查不到连接”解释成“没有网络问题”。

不要把 on 和其它 timer 名称混为一谈

ss(8) 还定义了几类计时器名称。把它们分开，才能避免看到一个 timer 字段就下结论：

因此，文章标题中的“读取 TCP 重传计时器”更准确的做法是：先在 TCP 连接范围内找 timer:(on,...)，再结合其它字段和复查动作判断语义，而不是只匹配字符串 on。

用 -i 把 timer 与 RTO 放在一起看

-o 解决的是“当前有什么活动计时器、它多久到期、相关重传计数是多少”；-i 则补充 TCP 内部信息，例如 RTO、退避次数和 RTT。两组信息有关联，但不是同一个字段。

# 在同一类已建立 TCP 连接上补充内部 TCP 信息
ss -tni state established

如果输出中出现 rto:...，它表示 TCP 重传超时值，单位是毫秒；backoff:... 表示指数退避相关的次数，实际重传超时会受退避计算影响；rtt:.../... 则是平均往返时间与偏差。它们适合解释“为什么下一次超时不是固定值”，但不能把 rto 直接当成 timer 当前剩余时间。

空结果和异常读法的速查清单

1. 没有 TCP 行：先去掉端口条件，确认 state established 是否过窄，再确认当前用户能看到目标 socket。
2. 有 TCP 行但没有 timer：把它当作一次采样结果，结合连接状态和重复采样判断，不要凭空补出重传结论。
3. 看到 on：记录完整的三个字段，并用 -i 查看 rto/backoff/rtt，不要只保存计时器名称。
4. 看到 timewait 或 persist：按对应计时器语义分析，不能套用普通 TCP 重传的解释。

把命令选项、过滤表达式、完整 timer 三元组和采样时刻一起记录，通常比只复制一段连接地址更容易复盘。也要记住，ss 展示的是 socket 诊断信息，不等于抓包结果；若需要确认具体报文是否重传，还要使用适合的网络观测手段。

相关问题

为什么 ss -o 有时看不到 timer？

可能是当前连接没有可展示的活动计时器，也可能是状态、端口或权限筛选把目标排除了。先扩大筛选范围，再对同一连接做连续采样。

timer:(on,...) 能证明网络已经丢包吗？

不能。on 只说明处于 TCP 重传、早期重传或尾部丢包探测计时器这一类；它需要结合 retrans、rto、backoff 和其它证据解释。

参考：https://www.man7.org/linux/man-pages/man8/ss.8.html