服务器带宽跑满的元凶排查：流量与日志双重定位

发布时间:2026-10-17 11:58

## 症状现象 网站变慢、部分用户打不开，控制台监控一出方向带宽长时间顶着峰值。带宽跑满意味着每一个字节都在被发送，找到"谁在发、发什么"，问题就解决了一半。定位讲究双重印证：流量工具从连接层看谁在收，访问日志从应用层看发了什么，两边的结论能对上，元凶才算锁定。 ## 第一重：从流量找连接 iftop 按连接排序，几步收敛： ```bash iftop -n -P -i eth0 ``` 看出方向最大的几个连接，记录目标 IP 与速率。三种典型形态：单个或少数 IP 各占几兆每秒，是大客户下载或被定点采集；海量分散 IP 各取少量，总量惊人，是爬虫群或被扫描；单一内部进程对外狂发，服务器自己成了源头，要怀疑被植入程序对外攻击或中转。iftop 只给现场，历史趋势看顺云控制台的带宽曲线，确认跑满的起止时间与形状——持续型与尖峰型的排查方向不同。 ## 第二重：从日志找内容 流量锁定的方向，到 Nginx 日志里定量验证。按 URL 聚合看哪些路径在被集中拉取，按 IP 聚合看请求量分布，按响应大小列找出流量大户。几种常见判决：大文件路径的请求集中且 Referer 是别的站，盗链实锤；某个附件目录的请求量突增且 UA 高度一致，镜像站或采集器；正常页面请求量整体上涨，业务真实增长或活动传播；日志里一切正常但带宽照样满，流量不来自 Web 服务，查进程级对外连接，进程级工具直接看是哪个进程在收发。 ## 处置与预防 按判决处置：盗链上 Referer 校验；采集与镜像按特征封禁加限流；真实增长调整带宽方案；进程异常按安全事件处理。预防配置一次到位：大静态资源分离到对象存储或 CDN 分流；Web 层配置连接限速；控制台带宽告警设在与带宽方案匹配的水位，跑满前就收到通知。带宽是云服务器最贵的资源之一，双重定位的习惯值得每个运维保持——流量说谁在拿，日志说拿的是什么，证据链完整才动手。