Mrežno opterećenje: iftop, nload, ss

Protok na svakoj mašini je do 500 Mbps. To je skoro uvek dovoljno, ali kanal je ponekad zauzet pogrešnom stvari: tuđim botom za preuzimanje, zaboravljenim deljenjem fajlova, saobraćajem zaraženog procesa. Ispod su tri alata koji odgovaraju na pitanja "koliko", "gde" i "ko".

nload: koliko upravo sada

apt install -y nload && nload
dnf install -y nload && nload

Prikazuje dolazni i odlazni saobraćaj po interfejsu, sa grafikonom i brojačem po sesiji. Menjaj interfejse strelicama, izađi sa q. Ovo je najbrži način da utvrdiš da li je kanal zasićen ili ne.

Jednokratno, bez instaliranja:

cat /proc/net/dev
vnstat -l           # if vnstat is installed, shows a live counter

iftop: gde saobraćaj ide

apt install -y iftop && iftop -nNP -i eth0

Opcije: -n ne razrešava adrese, -N ne razrešava portove, -P prikazuje portove. Videćeš listu parova "tvoja adresa — udaljena adresa" sa trakom za 2, 10 i 40 sekundi. Ako jedna linija pojede sve, imaš izvorišnu ili odredišnu adresu — onda odlučuješ da li da je blokiraš ili da se pozabaviš aplikacijom.

Ime interfejsa potraži u ip -br a — obično je eth0 ili ens18.

ss: ko drži konekcije

ss dolazi uz sistem, nema šta da se instalira.

ss -tulpn                     # which ports are listening and which processes
ss -tn state established      # active connections
ss -tn state established | awk '{print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

Poslednja komanda broji konekcije po adresi — tako uočavaš jednog klijenta koji je otvorio stotine njih. To je tipična slika tokom SSH brute-force napada na lozinke ili primitivnog napada na sajt.

ss -tulpn ti pomaže i da proveriš da li port zaista sluša spolja, a ne samo na localhost-u: adresa 127.0.0.1:5432 je dostupna samo sa same mašine, 0.0.0.0:5432 — sa celog interneta.

Grafikoni za prošlost

Alati uživo ne odgovaraju na pitanje "šta se dešavalo noću". Za to služe:

• grafikon saobraćaja na kartici "Overview" u panelu /hosting/vds/m/<id> — za sat, dan, nedelju i mesec, pogledaj Grafikoni u panelu;
• vnstat unutar mašine — dnevna i mesečna statistika: apt install -y vnstat, zatim vnstat -d i vnstat -m;
• Netdata ako ti trebaju metrike po sekundi sa istorijom.

Česte greške

• Gledanje iftop-a na pogrešnom interfejsu. Na lo vidiš samo lokalnu razmenu, pravi saobraćaj će te zaobići.
• Tretiranje dolaznog saobraćaja kao napada samo zato što je porastao. Prvo pogledaj ko je izvor i na koji port udara: često je to indeksirajući robot ili tvoj sopstveni bekup.
• Zatvaranje porta na nivou aplikacije. Ako servis sluša na 0.0.0.0, jedina pouzdana zaštita je filter. Podesi ga prema članku o firewall-u i ostavi izloženo samo ono što ti treba.
• Zaboravljanje odlaznog saobraćaja. Zaražena mašina obično ne prima, nego servira: oštar skok odlaznog saobraćaja dok je sajt miran razlog je da proveriš procese sa ss -tnp.

Protok od 500 Mbps deli se između svih tvojih servisa na mašini. Jedan proces koji preuzima punom brzinom usporiće i sajt i SSH — ograniči preuzimanja u pozadini, na primer sa rsync --bwlimit ili wget --limit-rate.