Sieťová záťaž: iftop, nload, ss

Šírka pásma na každom stroji je až 500 Mbps. To takmer vždy stačí, ale kanál je niekedy zaneprázdnený nesprávnou vecou: sťahovacím botom niekoho iného, zabudnutým zdieľaním súborov, prevádzkou z infikovaného procesu. Nižšie sú tri nástroje, ktoré odpovedajú na otázky „koľko“, „kam“ a „kto“.

nload: koľko práve teraz

apt install -y nload && nload
dnf install -y nload && nload

Zobrazuje prichádzajúcu a odchádzajúcu prevádzku pre každé rozhranie s grafom a počítadlom pre reláciu. Rozhrania prepínaš šípkami, ukončíš pomocou q. Toto je najrýchlejší spôsob, ako zistiť, či je kanál nasýtený alebo nie.

Jednorazovo, bez inštalácie:

cat /proc/net/dev
vnstat -l           # if vnstat is installed, shows a live counter

iftop: kam prevádzka smeruje

apt install -y iftop && iftop -nNP -i eth0

Prepínače: -n nerozkladať adresy, -N nerozkladať porty, -P zobraziť porty. Uvidíš zoznam dvojíc „tvoja adresa — vzdialená adresa“ s pruhom za 2, 10 a 40 sekúnd. Ak jeden riadok zožerie všetko, máš zdrojovú alebo cieľovú adresu — potom sa rozhodneš, či ju zablokuješ alebo sa ponoríš do aplikácie.

Názov rozhrania nájdeš v ip -br a — zvyčajne je to eth0 alebo ens18.

ss: kto drží spojenia

ss je súčasťou systému, netreba nič inštalovať.

ss -tulpn                     # which ports are listening and which processes
ss -tn state established      # active connections
ss -tn state established | awk '{print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

Posledný príkaz počíta spojenia podľa adresy — tak odhalíš jedného klienta, ktorý ich otvoril stovky. To je typický obrázok pri brute-force útokoch na SSH heslá alebo pri primitívnom útoku na web.

ss -tulpn ti tiež pomôže overiť, že port naozaj počúva navonok a nie len na localhost: adresa 127.0.0.1:5432 je dostupná iba zo samotného stroja, 0.0.0.0:5432 — z celého internetu.

Grafy za minulosť

Živé nástroje neodpovedajú na otázku „čo sa stalo v noci“. Na to slúžia:

• graf prevádzky na karte „Overview“ v paneli /hosting/vds/m/<id> — za hodinu, deň, týždeň a mesiac, pozri Grafy v paneli;
• vnstat vnútri stroja — denná a mesačná štatistika: apt install -y vnstat, potom vnstat -d a vnstat -m;
• Netdata, ak potrebuješ metriky po sekundách s históriou.

Časté chyby

• Sledovanie iftop na nesprávnom rozhraní. Na lo vidíš len lokálnu výmenu, skutočná prevádzka ti unikne.
• Považovať prichádzajúcu prevádzku za útok len preto, že narástla. Najprv sa pozri, kto je zdrojom a na ktorý port mieri: často je to indexovací robot alebo tvoja vlastná záloha.
• Zatvorenie portu na úrovni aplikácie. Ak služba počúva na 0.0.0.0, jediná spoľahlivá ochrana je filter. Nastav ho podľa článku o firewalle a nechaj vystavené len to, čo potrebuješ.
• Zabudnutie na odchádzajúcu prevádzku. Infikovaný stroj zvyčajne neprijíma, ale obsluhuje: prudký nárast odchádzajúcej prevádzky, kým je web v pokoji, je dôvod skontrolovať procesy pomocou ss -tnp.

Šírka pásma 500 Mbps je zdieľaná medzi všetky tvoje služby na stroji. Jediný proces sťahujúci plnou rýchlosťou spomalí aj web, aj SSH — obmedz sťahovanie na pozadí, napríklad pomocou rsync --bwlimit alebo wget --limit-rate.