Qualquer soquete "ESTABLISHED" significa que existe uma conexão feita atualmente.
Qualquer "LISTEN" significa que o socket está esperando por uma conexão.
Ambas são portas abertas, mas uma aguarda a conexão, enquanto a outra já tem uma conexão.
Você pode imaginar isso da seguinte forma:
O protocolo HTTP (normalmente a porta 80) está no modo LISTEN até que alguém realmente vá para o servidor. No momento em que alguém visitar a página, ela estará no modo ESTABELECIDO.
O mesmo se aplica ao MySQL 3306. Quando ninguém está usando o serviço, ele está no modo LISTEN. Quando alguém realmente o usa, nesse momento estará no modo ESTABELECIDO.
Para mais informações, veja algumas páginas man que são úteis:
man nmap em man netstat em man arp em man lsof
Basicamente, com isso, você verá como as portas funcionam, como elas são tratadas e, provavelmente, mais informações sobre soquetes e seus estados. E sim, como declarado ESTABLISHED & amp; LISTEN são ambos Open Ports, mas ESTABLISHED significa que está conectado enquanto LISTEN está esperando para ser conectado.