服务器流量异常排查

1. 执行以下命令，安装 iftop 工具（iftop 工具为 Linux 服务器下的流量监控小工具）。
   
    

   yum install iftop -y

   说明

   如果是 Ubuntu 系统，请执行 apt-get install iftop -y 命令。

2. 执行以下命令，安装 lsof。
   
    

   yum install lsof -y

3. 执行以下命令，运行 iftop。如下图所示：
   
    

   iftop 然后按S显示端口号（更多命令:https://baike.baidu.com/item/iftop/7940472）

   
   • <=、=> 表示流量的方向
   • TX 表示发送流量
   • RX 表示接收流量
   • TOTAL 表示总流量
   • Cum 表示运行 iftop 到目前时间的总流量
   • peak 表示流量峰值
   • rates 分别表示过去2s、10s和40s的平均流量
4. 根据 iftop 中消耗流量的 IP，执行以下命令，查看连接该 IP 的进程。
   
    

   lsof -i | grep IP

   例如，消耗流量的 IP 为201.205.141.123，则执行以下命令：
   
    

   lsof -i | grep 201.205.141.123

   根据返回的如下结果，得知此服务器带宽主要由 SSH 进程消耗。
   
    

   sshd       12145    root    3u  IPV4  3294018       0t0   TCP 10.144.90.86:ssh->203.205.141.123:58614(ESTABLISHED)
   sshd       12179  ubuntu    3u  IPV4  3294018       0t0   TCP 10.144.90.86:ssh->203.205.141.123:58614(ESTABLISHED)

5. 查看消耗带宽的进程，判断此进程是否正常。
   • 如果消耗带宽较多的进程为业务进程，则需要分析是否由于访问量变化引起，是否需要优化空间或者 升级服务器配置。
   • 如果消耗带宽较多的进程为异常进程，可能是病毒或木马导致，您可以自行终止进程或者使用安全软件进行查杀，也可以对数据备份后，重装系统。