带宽跑满：先分清入站还是出站

带宽占用上来之后，先别急着升配置，要紧的是分清流量是进来的还是出去的。方向不同，原因和处置完全两样，看反了会白忙一场。 一、入站跑满多半是正常业务 入站大流量通常来自下载、同步和更新。网站挂了大文件、客户端在拉取镜像、服务器之间做数据同步、备份正在回传，都算这一类。这类流量有规律：时段集中、目标明确。iftop 以网卡为单位列出每条连接的实时速率，按 P 键按端口排序，配合 netstat -antp 很快能对上进程；vnstat 按天记录流量，回看历史很方便。常见误判是把自己的同步任务当成攻击，先查计划任务再下结论。 二、出站跑满要多留个心眼 出站异常主要有两类。一类是站点被爬虫或攻击方大量请求，响应数据把上行吃光，特征是连接数同步暴涨，访问日志里同一来源的请求密集，把日志按来源聚合统计一下，头部地址占用一目了然。另一类更麻烦：机器被入侵后向外发包，比如对外扫描，特征是流出速率持续顶格，本地却找不到对应的正常进程。出站被滥用的另一个信号是收到对端服务方的投诉通知，往往比自己发现得更早。遇到这类情况，先用 ss -antp 看连接去向，必要时在安全组临时收紧出站规则，再排查入侵痕迹。 三、日常观测怎么组合 建议养成三个习惯：vnstat 留流量历史，出问题有据可查；iftop 定位实时连接；sar -n DEV 1 看每块网卡的收发速率。观测要长期化，偶尔看一眼的图表在故障时靠不住。云控制台的带宽监控图通常分入站出站两条线，先看图确认方向，再上机定位进程，顺序不要反。 带宽方向判断错了，后面的排查全都会走偏。带宽长期贴着规格上限跑而业务确实在增长，升级带宽或换更大规格才是正解；属于异常流量的，就按上面的路子定位进程和来源。拿不准的时候，把监控截图和出问题的时间段整理好，在顺云官网提交工单，让售后协助看流量画像，比自己猜快得多。