流量使用：如何查看以及它去了哪里
在哪里查看流量图表、如何按接口和按进程统计用量，以及如果服务器突然开始下载数 GB 数据该怎么办。
更新于 2026年8月23日
流量是唯一会在您不参与的情况下自行增长的指标：更新、机器人、扫描器、他人的请求。通常每月只有几 GB，但如果数字暴涨几十倍，那要么是配置错误，要么是有人在您的机器上活动。
控制面板中的图表
在 /hosting/vds/m/<id> 的“概览”中有一张流量图表，支持小时、天、周和月四种时间尺度。这是了解用量形态最快的方式：
- 全天平坦的高原——有东西在持续下载，真实用户不会这样；
- 某个特定时段出现尖峰——计划任务、导出、更新；
- 出站流量增长而入站为零——危险信号，请参阅入侵迹象。
顺便也值得看看 CPU 和内存图表：它们有助于区分是更新还是外来进程。
系统内部的计数器
快速查看：
cat /proc/net/dev
ip -s link show eth0
按天和按月累计的统计：
apt install -y vnstat
systemctl enable --now vnstat
vnstat -d
vnstat -m
vnstat -l
vnstat 从安装那一刻开始计数——请立即安装，这样以后才有可对比的数据。
连接和进程的实时画面：
apt install -y iftop nethogs
iftop -i eth0
nethogs eth0
ss -tnp state established
nethogs 按进程显示用量——当问题变成“到底是谁在下载”时，这正是您需要的。
通常是什么在消耗流量
| 来源 | 数量级 |
|---|---|
| 系统更新 | 每月数百 MB |
| Docker 镜像 | 每次构建数百 MB |
| 扫描器和密码爆破 | 几 MB，但连接数成千上万 |
| 网站服务 | 取决于访问量 |
| 备份同步 | 与数据量完全相同 |
| 发送到外部收集器的日志 | 不易察觉，但全天不停 |
带宽上限为 500 Mbps，这是速度上限；在带宽上限 500 Mbps 一文中有单独说明。
如果用量激增
- 看“概览”中图表的形态：是高原还是尖峰。
nethogs——是哪个进程。ss -tnp state established——连接都去了哪里。- 与您自己的任务对照：cron、构建、同步。
- 如果进程很陌生，请视为机器已被入侵，并按入侵迹象处理。
他人的出站流量几乎总是意味着三种情况之一：发送垃圾信息、参与攻击或挖矿。这些行为都违反使用条款，并会导致机器被限制。
减少用量
apt clean
docker image prune
在 nginx 中压缩响应可以节省相当一部分出站流量：
gzip on;
gzip_types text/plain text/css application/json application/javascript;
访问日志也要控制好——使用 logrotate 按周轮转。
每周至少查看一次流量图表。出站流量突然且无法解释的增长，是最早、最诚实的信号，说明机器上运行的不只是您的代码。