حمل الشبكة: iftop وnload وss

يصل عرض النطاق الترددي على كل جهاز إلى 500 Mbps. هذا كافٍ في الغالب، لكن القناة تكون أحيانًا مشغولة بالشيء الخطأ: روبوت تنزيل يخص شخصًا آخر، أو مشاركة ملفات منسية، أو حركة مرور من عملية مصابة. فيما يلي ثلاث أدوات تجيب عن الأسئلة «كم»، و«إلى أين»، و«من».

nload: كم الآن

apt install -y nload && nload
dnf install -y nload && nload

يعرض حركة المرور الواردة والصادرة لكل واجهة مع رسم بياني وعدّاد لكل جلسة. بدّل بين الواجهات بمفاتيح الأسهم، واخرج بـ q. هذه أسرع طريقة لمعرفة ما إذا كانت القناة مشبعة أم لا.

مرة واحدة، دون تثبيت:

cat /proc/net/dev
vnstat -l           # if vnstat is installed, shows a live counter

iftop: إلى أين تذهب حركة المرور

apt install -y iftop && iftop -nNP -i eth0

المعلمات: -n لا تحلّل العناوين، -N لا تحلّل المنافذ، -P اعرض المنافذ. سترى قائمة بأزواج «عنوانك — العنوان البعيد» مع شريط لمدة 2 و10 و40 ثانية. إذا كان سطر واحد يلتهم كل شيء، فلديك عنوان المصدر أو الوجهة — عندها تقرر ما إذا كنت ستحظره أم تتعمق في التطبيق.

ابحث عن اسم الواجهة في ip -br a — عادةً يكون eth0 أو ens18.

ss: من يحتفظ بالاتصالات

ss يأتي مع النظام، لا شيء لتثبيته.

ss -tulpn                     # which ports are listening and which processes
ss -tn state established      # active connections
ss -tn state established | awk '{print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

يعدّ الأمر الأخير الاتصالات حسب العنوان — وهكذا ترصد عميلًا واحدًا فتح مئات منها. هذه صورة نموذجية أثناء تخمين كلمات مرور SSH بالقوة الغاشمة أو هجوم بدائي على موقع ويب.

يساعدك ss -tulpn أيضًا في التحقق من أن منفذًا يستمع فعليًا من الخارج وليس على localhost فقط: العنوان 127.0.0.1:5432 يمكن الوصول إليه من الجهاز نفسه فقط، أما 0.0.0.0:5432 — فمن الإنترنت بأكمله.

رسوم بيانية للماضي

لا تجيب الأدوات الحية عن سؤال «ماذا حدث في الليل». لذلك:

• الرسم البياني لحركة المرور في تبويب «نظرة عامة» في اللوحة /hosting/vds/m/<id> — لمدة ساعة ويوم وأسبوع وشهر، انظر الرسوم البيانية في اللوحة؛
• vnstat داخل الجهاز — إحصاءات يومية وشهرية: apt install -y vnstat، ثم vnstat -d وvnstat -m؛
• Netdata إذا كنت بحاجة إلى مقاييس لكل ثانية مع سجل زمني.

أخطاء شائعة

• مراقبة iftop على الواجهة الخطأ. على lo ترى التبادل المحلي فقط، وستفوتك حركة المرور الحقيقية.
• اعتبار حركة المرور الواردة هجومًا لمجرد أنها زادت. انظر أولًا إلى من هو المصدر وإلى أي منفذ يتجه: غالبًا ما يكون روبوت فهرسة أو نسختك الاحتياطية.
• إغلاق منفذ على مستوى التطبيق. إذا كانت خدمة تستمع على 0.0.0.0، فالحماية الموثوقة الوحيدة هي الفلترة. أعدّها باستخدام مقال الجدار الناري واترك مكشوفًا ما تحتاجه فقط.
• نسيان حركة المرور الصادرة. الجهاز المصاب عادةً لا يستقبل، بل يخدم: ارتفاع حاد في حركة المرور الصادرة بينما الموقع هادئ سبب لفحص العمليات بـ ss -tnp.

عرض النطاق الترددي 500 Mbps مشترك بين جميع خدماتك على الجهاز. عملية واحدة تنزّل بالسرعة الكاملة ستبطئ الموقع وSSH معًا — حدّ من التنزيلات في الخلفية، مثلًا بـ rsync --bwlimit أو wget --limit-rate.