Мережеве навантаження: iftop, nload, ss

Пропускна здатність на кожній машині — до 500 Мбіт/с. Цього майже завжди достатньо, але канал іноді зайнятий не тим: чужий бот для завантажень, забутий файлообмінник, трафік від зараженого процесу. Нижче — три інструменти, які відповідають на питання «скільки», «куди» і «хто».

nload: скільки прямо зараз

apt install -y nload && nload
dnf install -y nload && nload

Показує вхідний і вихідний трафік за інтерфейсом із графіком і лічильником за сесію. Перемикайте інтерфейси стрілками, виходьте через q. Це найшвидший спосіб зрозуміти, насичений канал чи ні.

Одноразово, без встановлення:

cat /proc/net/dev
vnstat -l           # if vnstat is installed, shows a live counter

iftop: куди йде трафік

apt install -y iftop && iftop -nNP -i eth0

Прапорці: -n не розв'язувати адреси, -N не розв'язувати порти, -P показувати порти. Ви побачите список пар «ваша адреса — віддалена адреса» зі смужкою за 2, 10 і 40 секунд. Якщо один рядок з'їдає все, у вас є адреса джерела або призначення — далі вирішуйте, блокувати її чи розбиратися із застосунком.

Назву інтерфейсу дивіться в ip -br a — зазвичай це eth0 або ens18.

ss: хто тримає з'єднання

ss іде в комплекті із системою, встановлювати нічого не треба.

ss -tulpn                     # which ports are listening and which processes
ss -tn state established      # active connections
ss -tn state established | awk '{print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

Остання команда рахує з'єднання за адресою — так ви помітите одного клієнта, який відкрив сотні з'єднань. Це типова картина під час SSH-брутфорсу паролів або примітивної атаки на сайт.

ss -tulpn також допомагає перевірити, що порт справді слухає назовні, а не лише на localhost: адреса 127.0.0.1:5432 доступна тільки з самої машини, 0.0.0.0:5432 — з усього інтернету.

Графіки за минулий час

Живі інструменти не відповідають на питання «що сталося вночі». Для цього:

• графік трафіку на вкладці «Огляд» у панелі /hosting/vds/m/<id> — за годину, добу, тиждень і місяць, дивіться Графіки в панелі;
• vnstat усередині машини — добова й місячна статистика: apt install -y vnstat, далі vnstat -d і vnstat -m;
• Netdata, якщо потрібні метрики за секунду з історією.

Типові помилки

• Дивитися iftop не на тому інтерфейсі. На lo ви бачите лише локальний обмін, реальний трафік пройде повз вас.
• Вважати вхідний трафік атакою лише тому, що він зріс. Спершу подивіться, хто джерело і на який порт він іде: часто це робот-індексатор або ваш власний бекап.
• Закривати порт на рівні застосунку. Якщо сервіс слухає на 0.0.0.0, єдиний надійний захист — фільтр. Налаштуйте його за статтею про фаєрвол і залиште відкритим лише те, що потрібно.
• Забувати про вихідний трафік. Заражена машина зазвичай не приймає, а роздає: різкий стрибок вихідного трафіку, коли сайт спокійний, — привід перевірити процеси через ss -tnp.

Пропускна здатність 500 Мбіт/с ділиться між усіма вашими сервісами на машині. Один процес, що завантажує на повній швидкості, сповільнить і сайт, і SSH — обмежуйте фонові завантаження, наприклад через rsync --bwlimit або wget --limit-rate.