请教：关于使用ss网络工具比netstat快的本质原因？

nswcfd

netlink_dump遍历接口有些时候会比profs的遍历效率高一些。

比如10K的条目，每次read只能返回100，需要100次调用完成。

procfs的read是无状态的，前后两次read call没有直接因果关系，只能通过file offset来间接关联。
这样的话，第一次read 100，offset+=100，fs内部只有offset这么一个状态。
第二次读的时候，首先需要把offset=100转换为object，由于不存在直接的从offset到object的映射关系（内部结构通常不是线性数组），又需要从0开始遍历，
这样时间复杂度实际是O（N^2）的。
无论是rt_cache还是arp表、tcp socket表，很多功能的seq_file都有个XXX_first函数来完成这个从0开始的遍历。

相反的，netlink_dump接口，有专门的cb参数，记录了上一次遍历到什么位置，这样效率就要好很多。

简单的可以理解为支持断点续传和不支持断点续传的区别。（严格说不是那么确切的比喻）

nswcfd

哦，这个比喻果然引起的歧义更大一些。

本意不是指在两次ss或netstat之间的“续传”，而是指一次ss/netstat内部不同的sys_read或者sys_recv之间的“续传”。