查看 Linux 系统网络流量负载情况

2023-09-21 07:51:39

Linux 系统中有各种查看网络流量的工具，比如 sar、iftop、nethogs 等，它们可以从不同的纬度来分析系统中流量信息，在 Linux 系统的使用过程中，经常会遇到带宽过高的情况，这时需要排查定位具体问题，进而找到影响带宽使用率过高的具体进程。可以使用 sar、iftop、nethogs 等工具定位具体进程。

排查影响带宽使用率过高的进程是否正常，并分类进行处理。
对于正常进程：您需要对服务器的带宽进行升级。具体操作，请参见包年包月实例修改带宽或按量付费实例修改带宽。
对于异常进程：您可以手动对进程进行查杀，也可以使用第三方安全工具进行查杀。

一、sar 工具的使用

sar（System Activity Reporter系统活动情况报告）是目前 Linux 上最为全面的系统性能分析工具之一，可以从多方面对系统的活动进行报告。sar 可以从网络接口层面来分析数据包的收发情况、错误信息等。

sar命令：监控网络流量。

语法：sar -n DEV [interval] [count]
说明：

[interval]表示统计间隔
[count]表示统计次数。

实例：

执行如下命令，使用sar每1秒统计一次网络接口的活动状况，连续统计5次。

# sar -n DEV 1 5

命令执行后会列出每个网卡5次的平均数据取值，根据实际情况来确定带宽跑满的网卡名称，对于ECS实例来说，通常内网网卡为eth0，外网网卡为eth1。根据系统显示，确认是流量较大的网络接口。

显示结果主要字段说明

IFACE：网络接口名称。
rxpck/s、txpck/s：每秒接收或发送的数据包数量。
rxkB/s、txkB/s：每秒接收或发送的字节数，以kB/s为单位。
rxcmp/s、txcmp/s：每秒接收或发送的压缩过的数据包数量。
rxmcst/s：每秒接收到的多播数据包。

二、iftop 工具

iftop是Linux系统中一个免费的网卡实时流量监控工具，可以监控包括指定网卡的实时流量、端口连接信息、反向解析IP等信息。

语法：iftop [-i interface]
interface表示网络接口名，比如eth0、eth1等。如果不通过 -i 参数指定接口名，则默认检测第一块网卡的使用情况。

实例：

1、如果未安装 iftop 流量监控工具，可以通过下面的类似命令进行安装。

# yum install iftop -y

2、执行如下命令，查看详细端口流量占用情况。

# iftop -i eth0 -P

说明 -P参数会显示请求端口。

3、执行如下命令，查看端口对应的进程。

netstat -tunlp |grep [$Port]

说明：[$Port]为上一步查看的端口。

4、确认对应服务后，您可以通过停止服务或使用 iptables 服务来对指定地址进行处理。如屏蔽IP地址或限速，以保证服务器带宽能够正常使用。

显示结果主要字段说明

最上面显示带宽使用情况。
中间部分是外部连接列表，即记录了哪些IP正在和本机的网络连接。
中间右侧部分是实时流量信息，分别是该访问IP连接到本机2秒、10秒和40秒的平均流量。
=>表示发送数据，<=表示接收数据。
底部信息如下：
- 第一列：TX表示发送流量，RX表示接收流量，TOTAL表示总流量。
- 第二列cum：表示第一列各种情况的总流量。
- 第三列peak：表示第一列各种情况的流量峰值。
- 第四列rates：表示第一列各种情况2秒、10秒、40秒内的平均流量。

常见操作命令参数说明

进入iftop界面后，可以通过按下相应的字母快捷按键，来对显示结果进行调整。

h：切换是否显示帮助。
n：切换显示本机的IP或主机名。
s：切换是否显示本机的host信息。
d：切换是否显示远端目标主机的host信息。
t：切换显示格式为2行、1行、只显示发送流量或只显示接收流量。
N：切换显示端口号或端口服务名称。
S：切换是否显示本机的端口信息。
D：切换是否显示远端目标主机的端口信息。
p：切换是否显示端口信息。
P：切换暂停或继续显示。
b：切换是否显示平均流量图形条。
B：切换计算2秒或10秒或40秒内的平均流量。
T：切换是否显示每个连接的总流量。
l：打开屏幕过滤功能，输入要过滤的字符。比如输入相应IP地址，回车后，屏幕就只显示这个IP相关的流量信息。
L：切换显示画面上边的刻度，刻度不同，流量图形条会有变化。
j或k：向上或向下滚动屏幕显示的连接记录。
1或2或3：根据右侧显示的三列流量数据进行排序。
<：根据左边的本机名或IP排序。
>：根据远端目标主机的主机名或IP排序。
o：切换是否固定只显示当前的连接。
f：编辑过滤代码。
!：调用Shell命令。
q：退出。

三、Nethogs工具

Nethogs 是一款开源的网络流量监控工具，可用于显示每个进程的带宽占用情况。这样可以更直观定位异常流量的来源。Nethogs 支持 IPv4 和 IPv6 协议，支持本地网卡及PPP连接。Nethogs工具的安装方法请参阅其官方帮助文档，本文不再详述。安装完毕，直接输入nethogs启动工具即可。不带任何参数时，Nethogs 默认监控 eth0。用户可以通过 ifconfig 等指令核实具体哪个网络接口（eth1、eth0）对应公网网卡。

语法：nethogs [-i interface]
interface表示网络接口名，比如eth0、eth1等。如果不通过 -i 参数指定接口名，则默认检测第一块网卡的使用情况。

实例：

1、如果未安装工具，执行如下命令，安装 nethogs 流量监控工具。

# yum install nethogs -y

2、执行如下命令，查看网卡上进程级的流量信息。

# nethogs eth1

说明 nethogs默认的监控间隔是1秒，您可以通过-d参数来设定监控间隔。例如执行如下nethogs eth1 -d 5命令，设定监控间隔为5秒。
系统显示类似如下。

3、若确定进程是恶意程序，可以通过执行如下命令，终止进程。

# kill -TERM [$Port1]

说明：如果是Web服务程序，您可以使用iftop等工具来查询具体IP来源，然后分析Web访问日志是否为正常流量。日志分析可以使用 logwatch 或 awstats 等工具进行。
显示结果说明

排序：
在 nethogs 监控界面，按下相应键

s 可以按照 Sent 列进行排序
r 可以按照 Received 列进行排序
m 可以切换不同的统计单位显示，例如kb/s、kb、b、mb

PID列表示相应流量关联程序的进程号。
USER列表示相应进程的所属用户。
PROGRAM列表示程序的具体执行路径。
DEV列当前监控的网络接口名称。
Sent列表示相应进程已经发送的数据流量。
Received列表示程序已经接收的数据流量。