Tải mạng: iftop, nload, ss

Băng thông trên mọi máy đều lên tới 500 Mbps. Con số này gần như luôn đủ, nhưng kênh truyền đôi khi bị chiếm bởi những thứ không mong muốn: bot tải xuống của người khác, một chia sẻ tệp bị bỏ quên, lưu lượng từ tiến trình bị nhiễm mã độc. Dưới đây là ba công cụ trả lời các câu hỏi "bao nhiêu", "đi đâu" và "ai".

nload: hiện tại là bao nhiêu

apt install -y nload && nload
dnf install -y nload && nload

Công cụ hiển thị lưu lượng vào và ra theo từng interface kèm biểu đồ và bộ đếm theo phiên. Dùng phím mũi tên để chuyển interface, nhấn q để thoát. Đây là cách nhanh nhất để biết kênh truyền có bị bão hòa hay không.

Chạy một lần, không cần cài đặt:

cat /proc/net/dev
vnstat -l           # if vnstat is installed, shows a live counter

iftop: lưu lượng đi đâu

apt install -y iftop && iftop -nNP -i eth0

Các cờ: -n không phân giải địa chỉ, -N không phân giải cổng, -P hiển thị cổng. Bạn sẽ thấy danh sách các cặp "địa chỉ của bạn — địa chỉ từ xa" kèm thanh biểu đồ cho 2, 10 và 40 giây. Nếu một dòng duy nhất ngốn hết băng thông, bạn đã có địa chỉ nguồn hoặc đích — từ đó quyết định chặn hay tìm hiểu sâu vào ứng dụng.

Tra tên interface bằng ip -br a — thường là eth0 hoặc ens18.

ss: ai đang giữ các kết nối

ss có sẵn trong hệ thống, không cần cài gì.

ss -tulpn                     # which ports are listening and which processes
ss -tn state established      # active connections
ss -tn state established | awk '{print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

Lệnh cuối đếm số kết nối theo địa chỉ — đây là cách phát hiện một client duy nhất đã mở hàng trăm kết nối. Đây là hình ảnh điển hình khi bị brute-force mật khẩu SSH hoặc bị tấn công thô sơ vào website.

ss -tulpn cũng giúp bạn kiểm tra xem một cổng có thực sự đang lắng nghe từ bên ngoài hay chỉ trên localhost: địa chỉ 127.0.0.1:5432 chỉ truy cập được từ chính máy đó, còn 0.0.0.0:5432 — từ toàn bộ internet.

Biểu đồ cho quá khứ

Các công cụ trực tiếp không trả lời được câu hỏi "đêm qua đã xảy ra chuyện gì". Để làm điều đó:

• biểu đồ lưu lượng trên tab "Overview" trong bảng điều khiển /hosting/vds/m/<id> — cho một giờ, một ngày, một tuần và một tháng, xem Biểu đồ trong bảng điều khiển;
• vnstat bên trong máy — thống kê theo ngày và theo tháng: apt install -y vnstat, sau đó vnstat -d và vnstat -m;
• Netdata nếu bạn cần số liệu theo từng giây kèm lịch sử.

Lỗi thường gặp

• Xem iftop trên sai interface. Trên lo bạn chỉ thấy lưu lượng trao đổi nội bộ, lưu lượng thật sẽ trôi qua mà bạn không hay.
• Coi lưu lượng vào là tấn công chỉ vì nó tăng. Trước tiên hãy xem nguồn là ai và nó đánh vào cổng nào: thường đó là robot lập chỉ mục hoặc bản sao lưu của chính bạn.
• Đóng cổng ở tầng ứng dụng. Nếu một dịch vụ lắng nghe trên 0.0.0.0, biện pháp bảo vệ đáng tin cậy duy nhất là bộ lọc. Hãy thiết lập theo bài viết về tường lửa và chỉ để lộ những gì bạn cần.
• Quên lưu lượng ra. Một máy bị nhiễm mã độc thường không nhận mà phục vụ: lưu lượng ra tăng vọt trong khi website yên ắng là lý do để kiểm tra tiến trình bằng ss -tnp.

Băng thông 500 Mbps được chia sẻ giữa tất cả dịch vụ của bạn trên máy. Một tiến trình tải xuống hết tốc độ sẽ làm chậm cả website lẫn SSH — hãy giới hạn các tải xuống chạy nền, ví dụ bằng rsync --bwlimit hoặc wget --limit-rate.