出方向带宽跑满：被刷还是被攻击

出方向带宽跑满要先弄清楚是谁在占用。下载业务、爬虫、反射攻击三种情况的流量特征完全不同，处置动作也完全不同。 业务型跑满 大文件下载、视频点播这类站点，高峰期出带宽本来就高。带宽曲线和工作日节奏吻合、与促销计划对得上的，基本就是业务，方案是升配带宽或限速。给下载限速的 Nginx 写法：location 里加 limit_rate 512k;，单连接限速，配合并发数限制效果更稳。按文件类型统计流量能快速定位，下载站的流量集中在 zip、mp4 这类大文件上；必须保体验的，把大文件挪到独立域名，主站只出小流量。 爬虫型跑满 日志里大量 404、同一 UA 高频遍历目录，是采集器在爬。有些爬虫伪装成浏览器 UA，但请求节奏骗不了人，间隔均匀的十有八九是机器。统计来源： awk '{print $1}' access.log | sort | uniq -c | sort -rn | head 对高频 IP 封禁，可以在安全组里加，也可以用防火墙： firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=203.0.113.50 reject' 再配合站点根目录的 robots.txt 给守规矩的爬虫划边界，带宽很快能压下来。封禁后第二天再看统计，爬虫常换 IP 卷土重来，规则要迭代几次才能稳住。 反射攻击型跑满 业务量不大、日志平静，出带宽却持续顶格，连接里发现对外大量发往 123（NTP）、53（DNS）、1900（SSDP）等端口，说明被利用当反射源。原理是攻击者伪造源地址向开放服务发小请求，响应被放大后砸向受害者，你的服务器只是被借了出口带宽。立即在安全组禁止对应端口的出方向 UDP 流量，处置后观察半小时带宽曲线，回落到常态才算处理完，然后按跳板机的流程排查入侵。云平台监测到对外攻击时可能自动限制实例，收到通知先核实再处理，别急着申诉。 定位工具两条 iftop -i eth0 看实时流向，ss -tnp 看进程归属，配合云监控的带宽曲线做时间切片，三分钟内基本能判断属于哪一类。一时看不清就先收紧安全组观察，宁可误伤十分钟，不要放任一整天。把出方向按目标端口做分布统计，聚在少数几个端口上的，特征更明确。