نیٹ ورک لوڈ: iftop، nload، ss

ہر مشین پر بینڈوتھ 500 Mbps تک ہے۔ یہ تقریباً ہمیشہ کافی ہوتی ہے، لیکن چینل کبھی کبھی غلط کام میں مصروف ہو جاتا ہے: کسی اور کا ڈاؤن لوڈنگ بوٹ، کوئی بھولا ہوا فائل شیئر، کسی متاثرہ پروسیس کا ٹریفک۔ نیچے تین ٹولز دیے گئے ہیں جو "کتنا"، "کہاں" اور "کون" کے سوالات کا جواب دیتے ہیں۔

nload: اس وقت کتنا

apt install -y nload && nload
dnf install -y nload && nload

یہ ہر انٹرفیس کا ان باؤنڈ اور آؤٹ باؤنڈ ٹریفک گراف اور فی سیشن کاؤنٹر کے ساتھ دکھاتا ہے۔ انٹرفیسز کو ایرو کیز سے تبدیل کریں، q سے باہر نکلیں۔ چینل بھرا ہوا ہے یا نہیں، یہ جاننے کا یہ تیز ترین طریقہ ہے۔

ایک بار کے لیے، بغیر انسٹال کیے:

cat /proc/net/dev
vnstat -l           # if vnstat is installed, shows a live counter

iftop: ٹریفک کہاں جا رہا ہے

apt install -y iftop && iftop -nNP -i eth0

فلیگز: -n ایڈریسز resolve نہ کریں، -N پورٹس resolve نہ کریں، -P پورٹس دکھائیں۔ آپ کو "آپ کا ایڈریس — ریموٹ ایڈریس" کے جوڑوں کی فہرست نظر آئے گی، ساتھ 2، 10 اور 40 سیکنڈ کے بار۔ اگر ایک ہی لائن سب کچھ کھا رہی ہو تو آپ کے پاس ماخذ یا منزل کا ایڈریس موجود ہے — پھر آپ فیصلہ کریں کہ اسے بلاک کرنا ہے یا ایپلیکیشن میں جھانکنا ہے۔

انٹرفیس کا نام ip -br a میں دیکھیں — عام طور پر یہ eth0 یا ens18 ہوتا ہے۔

ss: کنکشنز کس کے پاس ہیں

ss سسٹم کے ساتھ آتا ہے، کچھ انسٹال کرنے کی ضرورت نہیں۔

ss -tulpn                     # which ports are listening and which processes
ss -tn state established      # active connections
ss -tn state established | awk '{print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

آخری کمانڈ ایڈریس کے حساب سے کنکشنز گنتی ہے — اسی طرح آپ اس واحد کلائنٹ کو پکڑتے ہیں جس نے سینکڑوں کنکشنز کھول رکھے ہیں۔ SSH پاس ورڈ بروٹ فورسنگ یا ویب سائٹ پر کسی ابتدائی حملے کے دوران یہی عام منظر ہوتا ہے۔

ss -tulpn یہ چیک کرنے میں بھی مدد کرتا ہے کہ کوئی پورٹ واقعی باہر سے سن رہا ہے، نہ کہ صرف localhost پر: ایڈریس 127.0.0.1:5432 صرف مشین سے ہی قابل رسائی ہے، 0.0.0.0:5432 — پوری انٹرنیٹ سے۔

ماضی کے گراف

لائیو ٹولز "رات کو کیا ہوا" کے سوال کا جواب نہیں دیتے۔ اس کے لیے:

• پینل /hosting/vds/m/<id> کے "Overview" ٹیب پر ٹریفک گراف — ایک گھنٹے، ایک دن، ایک ہفتے اور ایک مہینے کے لیے، دیکھیں پینل میں گراف؛
• مشین کے اندر vnstat — روزانہ اور ماہانہ اعداد و شمار: apt install -y vnstat، پھر vnstat -d اور vnstat -m؛
• Netdata اگر آپ کو تاریخ کے ساتھ فی سیکنڈ میٹرکس چاہیے۔

عام غلطیاں

• iftop غلط انٹرفیس پر دیکھنا۔ lo پر آپ صرف مقامی تبادلہ دیکھتے ہیں، اصل ٹریفک آپ سے گزر کر آگے نکل جائے گا۔
• ان باؤنڈ ٹریفک کو محض بڑھنے کی وجہ سے حملہ سمجھ لینا۔ پہلے دیکھیں کہ ماخذ کون ہے اور یہ کس پورٹ پر آ رہا ہے: اکثر یہ کوئی انڈیکسنگ روبوٹ یا آپ ہی کا بیک اپ ہوتا ہے۔
• ایپلیکیشن کی سطح پر پورٹ بند کرنا۔ اگر کوئی سروس 0.0.0.0 پر سن رہی ہے تو واحد قابل اعتماد تحفظ فلٹر ہے۔ اسے فائر وال کے مضمون کے مطابق سیٹ کریں اور صرف وہی کھلا رکھیں جس کی ضرورت ہے۔
• آؤٹ باؤنڈ ٹریفک کو بھول جانا۔ متاثرہ مشین عام طور پر وصول نہیں کرتی، بلکہ پیش کرتی ہے: سائٹ پرسکون ہونے کے باوجود آؤٹ باؤنڈ میں اچانک اضافہ ss -tnp سے پروسیسز چیک کرنے کی وجہ ہے۔

500 Mbps بینڈوتھ مشین پر آپ کی تمام سروسز کے درمیان مشترک ہے۔ مکمل رفتار سے ڈاؤن لوڈ کرنے والا ایک ہی پروسیس سائٹ اور SSH دونوں کو سست کر دے گا — پس منظر میں ہونے والے ڈاؤن لوڈز کو محدود کریں، مثلاً rsync --bwlimit یا wget --limit-rate کے ساتھ۔