Charge réseau : iftop, nload, ss

La bande passante sur chaque machine va jusqu'à 500 Mbps. C'est presque toujours suffisant, mais le canal est parfois occupé par ce qu'il ne faut pas : le bot de téléchargement d'un autre, un partage de fichiers oublié, le trafic d'un processus infecté. Voici trois outils qui répondent aux questions « combien », « vers où » et « qui ».

nload : combien, là, maintenant

apt install -y nload && nload
dnf install -y nload && nload

Il affiche le trafic entrant et sortant par interface avec un graphique et un compteur par session. Changez d'interface avec les flèches, quittez avec q. C'est le moyen le plus rapide de savoir si le canal est saturé ou non.

Ponctuellement, sans installation :

cat /proc/net/dev
vnstat -l           # if vnstat is installed, shows a live counter

iftop : où va le trafic

apt install -y iftop && iftop -nNP -i eth0

Options : -n ne pas résoudre les adresses, -N ne pas résoudre les ports, -P afficher les ports. Vous verrez une liste de paires « votre adresse — adresse distante » avec une barre pour 2, 10 et 40 secondes. Si une seule ligne mange tout, vous avez l'adresse source ou de destination — à vous de décider si vous la bloquez ou si vous creusez du côté de l'application.

Retrouvez le nom de l'interface dans ip -br a — c'est généralement eth0 ou ens18.

ss : qui détient les connexions

ss est fourni avec le système, rien à installer.

ss -tulpn                     # which ports are listening and which processes
ss -tn state established      # active connections
ss -tn state established | awk '{print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

La dernière commande compte les connexions par adresse — c'est ainsi que vous repérez un seul client qui en a ouvert des centaines. C'est une image typique lors d'une attaque par force brute sur le mot de passe SSH ou d'une attaque primitive sur un site web.

ss -tulpn vous aide aussi à vérifier qu'un port écoute réellement vers l'extérieur et pas seulement sur localhost : l'adresse 127.0.0.1:5432 n'est joignable que depuis la machine elle-même, 0.0.0.0:5432 — par tout Internet.

Des graphiques pour le passé

Les outils en direct ne répondent pas à la question « que s'est-il passé cette nuit ». Pour cela :

• le graphique de trafic dans l'onglet « Aperçu » du panneau /hosting/vds/m/<id> — sur une heure, un jour, une semaine et un mois, voir Graphiques dans le panneau ;
• vnstat à l'intérieur de la machine — statistiques journalières et mensuelles : apt install -y vnstat, puis vnstat -d et vnstat -m ;
• Netdata si vous avez besoin de métriques à la seconde avec historique.

Erreurs courantes

• Observer iftop sur la mauvaise interface. Sur lo, vous ne voyez que les échanges locaux, le vrai trafic vous échappe.
• Prendre le trafic entrant pour une attaque simplement parce qu'il a augmenté. Regardez d'abord qui est la source et sur quel port cela arrive : souvent c'est un robot d'indexation ou votre propre sauvegarde.
• Fermer un port au niveau de l'application. Si un service écoute sur 0.0.0.0, la seule protection fiable est un filtre. Configurez-le à l'aide de l'article sur le pare-feu et n'exposez que ce dont vous avez besoin.
• Oublier le trafic sortant. Une machine infectée ne reçoit généralement pas, elle sert : un pic sortant brutal alors que le site est calme est une raison de vérifier les processus avec ss -tnp.

La bande passante de 500 Mbps est partagée entre tous vos services sur la machine. Un seul processus qui télécharge à pleine vitesse ralentira à la fois le site et SSH — limitez les téléchargements en arrière-plan, par exemple avec rsync --bwlimit ou wget --limit-rate.