【总结】云服务器ECS Centos/Linux服务器带宽流量异常

朱雀 2022-02-20 10:11 563阅读 0赞

## 问题现象 ##

云服务器 ECS Linux 服务器带宽跑满，影响正常业务提供服务。

## 问题原因 ##

可能是恶意程序问题，或者是部分 IP 恶意访问导致，亦可能是服务遭到了CC攻击

## 处理办法 ##

>  *  使用 iftop 工具排查
>  *  使用 nethogs 进行排查

首先需要确定是哪一张网卡的带宽跑满，可以通过sar -n DEV 1 5 命令来获取网卡级别的流量图，命令中 1 5 表示每一秒钟取 1 次值，一共取 5 次。

命令执行后会列出每个网卡这 5 次取值的平均数据，根据实际情况来确定带宽跑满的网卡名称，默认情况下 eth0 为内网网卡，eth1 为外网网卡。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbWluMTAwMw_size_16_color_FFFFFF_t_70][]

## 使用 iftop 工具排查 ##

1、服务器内部安装 iftop 流量监控工具：

yum install iftop -y

2、.服务器外网带宽被占满时，如果通过远程无法登陆，可通过阿里云终端管理进入到服务器内部，运行下面命令查看流量占用情况：

iftop -i eth1 -P

注：-P 参数会将请求服务的端口显示出来，也就是说是通过服务器哪个端口建立的连接，看内网流量执行 iftop -i eth0 -P 命令。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbWluMTAwMw_size_16_color_FFFFFF_t_70 1][]

如上面示例图，通过分析发现最耗流量的是服务器上 53139 端口和 115.205.150.235 地址建立的连接，产生了大量入网流量。执行 netstat 命令反查 53139 端口对应进程。

netstat -tunlp |grep 53139

![20190413125316948.png][]

3、最终定位出来是服务器上 vsftpd 服务产生大量流量，这时可以通过停止服务或使用iptables服务来对指定地址进行处理，如屏蔽 IP 地址，限速，以保证服务器带宽能够正常使用。

## 使用 nethogs 进行排查 ##

1、服务器内部安装 nethogs 流量监控工具：

yum install nethogs -y

2、通过 nethogs 工具来查看某一网卡上进程级流量信息，若未安装可以通过 yum、apt-get 等方式安装。

假定当前 eth1 网卡跑满，则执行命令 *nethogs eth1*，在右边的红框中可以看到每个进程的网络带宽情况，左边红框显示了进程对应的 PID，在此可以确定到底是什么进程占用了系统的带宽。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbWluMTAwMw_size_16_color_FFFFFF_t_70 2][]

3、如果确定是恶意程序，可以通过 *kill -TERM <PID>  *来终止程序。

如是 Web 服务程序，则可以使用 iftop 等工具来查询具体 IP 来源，然后分析 Web 访问日志是否为正常流量，日志分析也可以使用 logwatch 或 awstats 等工具进行分析，若确定是正常的流量，则可以考虑升级服务器的带宽。

参考资料：

[1. 云服务器 ECS Linux 服务器带宽异常跑满分析解决][1._ ECS Linux]

\------------------------------------------------------

[关于我][Link 1]（个人域名）

[我的开源项目集Github][Github]

期望和大家***一起学习，一起成长***，共勉，O(∩\_∩)O谢谢

欢迎交流问题，可加个人QQ 469580884，

或者，加我的群号 **751925591**，一起探讨交流问题

不讲虚的，只做实干家

Talk is cheap，show me the code

![20180411181545874][]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbWluMTAwMw_size_16_color_FFFFFF_t_70]: /images/20220220/e7378e17fc154cf2931f358f59d5b21d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbWluMTAwMw_size_16_color_FFFFFF_t_70 1]: /images/20220220/c90cbe03cd714d72b70bb71f6834767f.png
[20190413125316948.png]: /images/20220220/938e8f88942c4866b1fd965054301700.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbWluMTAwMw_size_16_color_FFFFFF_t_70 2]: /images/20220220/164d943645854d0baf23f8842f7dfeb4.png
[1._ ECS Linux]: https://help.aliyun.com/knowledge_detail/41330.html?spm=5176.2020520165.120.d41330.43e97029rCv8QD#%E4%BD%BF%E7%94%A8iftop%E5%B7%A5%E5%85%B7%E6%8E%92%E6%9F%A5
[Link 1]: http://heminit.com/about/
[Github]: https://github.com/hemin1003
[20180411181545874]: /images/20220220/121492e652c545c1ad75dd5da25bdd42.png