Beban jaringan: iftop, nload, ss

Bandwidth di setiap mesin mencapai 500 Mbps. Itu hampir selalu cukup, tetapi kanal terkadang sibuk oleh hal yang salah: bot pengunduh milik orang lain, berbagi file yang terlupakan, lalu lintas dari proses yang terinfeksi. Berikut tiga alat yang menjawab pertanyaan "berapa banyak", "ke mana" dan "siapa".

nload: berapa banyak saat ini

apt install -y nload && nload
dnf install -y nload && nload

Alat ini menampilkan lalu lintas masuk dan keluar per antarmuka dengan grafik dan penghitung per sesi. Ganti antarmuka dengan tombol panah, keluar dengan q. Ini cara tercepat untuk mengetahui apakah kanal jenuh atau tidak.

Sekali pakai, tanpa memasang:

cat /proc/net/dev
vnstat -l           # if vnstat is installed, shows a live counter

iftop: ke mana lalu lintas pergi

apt install -y iftop && iftop -nNP -i eth0

Flag: -n jangan selesaikan alamat, -N jangan selesaikan port, -P tampilkan port. Anda akan melihat daftar pasangan "alamat Anda — alamat jarak jauh" dengan batang untuk 2, 10 dan 40 detik. Jika satu baris memakan semuanya, Anda punya alamat sumber atau tujuan — selanjutnya Anda putuskan apakah akan memblokirnya atau menyelidiki aplikasinya.

Cari nama antarmuka di ip -br a — biasanya eth0 atau ens18.

ss: siapa yang memegang koneksi

ss sudah termasuk dalam sistem, tidak perlu memasang apa pun.

ss -tulpn                     # which ports are listening and which processes
ss -tn state established      # active connections
ss -tn state established | awk '{print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

Perintah terakhir menghitung koneksi berdasarkan alamat — begitulah cara Anda menemukan satu klien yang membuka ratusan koneksi. Ini gambaran khas saat brute-force kata sandi SSH atau serangan primitif pada situs web.

ss -tulpn juga membantu Anda memeriksa bahwa sebuah port benar-benar mendengarkan secara eksternal dan bukan hanya di localhost: alamat 127.0.0.1:5432 hanya dapat dijangkau dari mesin itu sendiri, 0.0.0.0:5432 — oleh seluruh internet.

Grafik untuk masa lalu

Alat live tidak menjawab pertanyaan "apa yang terjadi pada malam hari". Untuk itu:

• grafik lalu lintas pada tab "Overview" di panel /hosting/vds/m/<id> — untuk satu jam, satu hari, satu minggu dan satu bulan, lihat Grafik di panel;
• vnstat di dalam mesin — statistik harian dan bulanan: apt install -y vnstat, lalu vnstat -d dan vnstat -m;
• Netdata jika Anda memerlukan metrik per detik dengan riwayat.

Kesalahan umum

• Mengamati iftop pada antarmuka yang salah. Pada lo Anda hanya melihat pertukaran lokal, lalu lintas sebenarnya akan terlewat.
• Menganggap lalu lintas masuk sebagai serangan hanya karena meningkat. Pertama lihat siapa sumbernya dan port mana yang dituju: sering kali itu robot pengindeks atau cadangan Anda sendiri.
• Menutup port di tingkat aplikasi. Jika sebuah layanan mendengarkan di 0.0.0.0, satu-satunya perlindungan yang andal adalah filter. Atur menggunakan artikel firewall dan biarkan hanya yang perlu terekspos.
• Melupakan lalu lintas keluar. Mesin yang terinfeksi biasanya tidak menerima, melainkan melayani: lonjakan lalu lintas keluar yang tajam saat situs sepi adalah alasan untuk memeriksa proses dengan ss -tnp.

Bandwidth 500 Mbps dibagi di antara semua layanan Anda di mesin. Satu proses yang mengunduh dengan kecepatan penuh akan memperlambat situs maupun SSH — batasi unduhan latar belakang, misalnya dengan rsync --bwlimit atau wget --limit-rate.