नेटवर्क लोड: iftop, nload, ss

हर मशीन पर बैंडविड्थ 500 Mbps तक होती है। यह लगभग हमेशा काफ़ी होती है, लेकिन चैनल कभी-कभी गलत चीज़ में व्यस्त हो जाता है: किसी और का डाउनलोडिंग बॉट, भूला हुआ फ़ाइल शेयर, किसी संक्रमित प्रोसेस से आता ट्रैफ़िक। नीचे तीन टूल दिए गए हैं जो "कितना", "कहाँ" और "कौन" इन सवालों का जवाब देते हैं।

nload: अभी कितना

apt install -y nload && nload
dnf install -y nload && nload

यह हर इंटरफ़ेस पर इनबाउंड और आउटबाउंड ट्रैफ़िक को ग्राफ़ और प्रति-सेशन काउंटर के साथ दिखाता है। एरो कीज़ से इंटरफ़ेस बदलें, q से बाहर निकलें। चैनल भरा हुआ है या नहीं, यह पता लगाने का यह सबसे तेज़ तरीका है।

बिना इंस्टॉल किए, एक बार के लिए:

cat /proc/net/dev
vnstat -l           # if vnstat is installed, shows a live counter

iftop: ट्रैफ़िक कहाँ जाता है

apt install -y iftop && iftop -nNP -i eth0

फ़्लैग: -n एड्रेस रिज़ॉल्व न करें, -N पोर्ट रिज़ॉल्व न करें, -P पोर्ट दिखाएँ। आपको "आपका एड्रेस — रिमोट एड्रेस" जोड़ों की सूची दिखेगी, साथ में 2, 10 और 40 सेकंड के लिए बार। अगर कोई एक लाइन सब कुछ खा रही है, तो आपके पास सोर्स या डेस्टिनेशन एड्रेस है — फिर आप तय करें कि उसे ब्लॉक करना है या एप्लिकेशन में गहराई से देखना है।

इंटरफ़ेस का नाम ip -br a में देखें — आमतौर पर यह eth0 या ens18 होता है।

ss: कनेक्शन किसके पास हैं

ss सिस्टम के साथ आता है, कुछ इंस्टॉल नहीं करना है।

ss -tulpn                     # which ports are listening and which processes
ss -tn state established      # active connections
ss -tn state established | awk '{print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

आख़िरी कमांड एड्रेस के हिसाब से कनेक्शन गिनती है — इसी तरह आप उस एक क्लाइंट को पकड़ते हैं जिसने सैकड़ों कनेक्शन खोले हैं। SSH पासवर्ड ब्रूट-फ़ोर्सिंग या किसी वेबसाइट पर शुरुआती हमले के दौरान यही तस्वीर आम है।

ss -tulpn यह जाँचने में भी मदद करता है कि कोई पोर्ट वाक़ई बाहर से लिसन कर रहा है, सिर्फ़ localhost पर नहीं: एड्रेस 127.0.0.1:5432 सिर्फ़ मशीन से ही पहुँचा जा सकता है, 0.0.0.0:5432 — पूरे इंटरनेट से।

बीते समय के ग्राफ़

लाइव टूल "रात में क्या हुआ" इस सवाल का जवाब नहीं देते। उसके लिए:

• पैनल /hosting/vds/m/<id> के "Overview" टैब पर ट्रैफ़िक ग्राफ़ — एक घंटे, एक दिन, एक हफ़्ते और एक महीने के लिए, देखें पैनल में ग्राफ़;
• मशीन के अंदर vnstat — रोज़ाना और महीने की स्टैटिस्टिक्स: apt install -y vnstat, फिर vnstat -d और vnstat -m;
• Netdata अगर आपको हिस्ट्री के साथ प्रति-सेकंड मेट्रिक्स चाहिए।

आम गलतियाँ

• गलत इंटरफ़ेस पर iftop देखना। lo पर आपको सिर्फ़ लोकल आदान-प्रदान दिखता है, असली ट्रैफ़िक आपको बाईपास कर जाएगा।
• इनबाउंड ट्रैफ़िक बढ़ने भर से उसे हमला मान लेना। पहले देखें कि सोर्स कौन है और वह किस पोर्ट पर आ रहा है: अक्सर यह कोई इंडेक्सिंग रोबोट या आपका ही बैकअप होता है।
• एप्लिकेशन लेवल पर पोर्ट बंद करना। अगर कोई सर्विस 0.0.0.0 पर लिसन कर रही है, तो एकमात्र भरोसेमंद सुरक्षा फ़िल्टर है। इसे फ़ायरवॉल वाले लेख की मदद से सेट करें और सिर्फ़ वही खुला छोड़ें जो ज़रूरी है।
• आउटबाउंड ट्रैफ़िक भूल जाना। संक्रमित मशीन आमतौर पर रिसीव नहीं करती, वह सर्व करती है: साइट शांत रहते हुए आउटबाउंड में तेज़ उछाल ss -tnp से प्रोसेस जाँचने की वजह है।

500 Mbps बैंडविड्थ मशीन पर आपकी सभी सर्विसेज़ के बीच बँटी होती है। पूरी रफ़्तार से डाउनलोड करती एक प्रोसेस साइट और SSH दोनों को धीमा कर देगी — बैकग्राउंड डाउनलोड सीमित करें, जैसे rsync --bwlimit या wget --limit-rate से।