Troubleshoot high network bandwidth on a Linux instance - - Alibaba Cloud Dokümantasyon Merkezi

Belirtiler

Hizmet erişim sorunları: Hizmet yanıt süresi önemli ölçüde artar; bu durum istek zaman aşımlarına veya hizmete erişilememesine neden olur.
Yüksek izleme ölçümleri: ECS konsolunda veya CloudMonitor'da, örneğinizin giden İnternet bant genişliği kullanımı tutarlı olarak %80'in üzerine çıkar ve bant genişliği sınırına yaklaşır veya ulaşır. Ağ bağlantısı sayısında ani bir artış da fark edebilirsiniz.
İzleme uyarıları: Ağ bant genişliği kullanımının yapılandırılan uyarı eşiğini aştığını bildiren bir SMS veya e-posta alırsınız.

Nedenler

Anormal işlemler veya kötü amaçlı programlar: Örnek kripto para madenciliği programları veya truva atları ile enfekte olmuş olabilir veya bir DDoS saldırısında bot olarak hareket ediyor olabilir. Bu kötü amaçlı programlar büyük miktarda anormal ağ trafiği üretir.
Ağ saldırıları: Örneğin genel internete açık bağlantı noktaları, uygulama katmanı CC saldırıları, DDoS saldırıları veya kaba kuvvet saldırıları gibi kötü amaçlı erişim denemelerinin hedefi olabilir. Bu saldırılar, gelen bant genişliğini geçersiz isteklerle doyurabilir.
Yetersiz örnek ağ kapasitesi: İşletmeniz büyüdükçe, örneğe yapılandırılan bant genişliği normal hizmet trafiğini artık karşılayamaz ve ağ performansı darboğazı oluşur.

Çözüm

Öncelikle, sar aracını kullanarak anormal trafiğe sahip ağ arayüzünü belirleyin. Ardından, bant genişliğini tüketen eş IP adresini tespit etmek için iftop aracını veya yüksek trafikli işlemi belirlemek için nethogs aracını kullanarak NIC trafiğini analiz edin. Son olarak, işlemin ve IP adresinin niteliğine göre uygun adımları atın.

1. Adım: Yüksek trafikli NIC'i belirleme

Yüksek trafikli NIC'i tanımlamak ve sorun giderme hedefini belirlemek için sar aracını kullanın.

VNC bağlantısı kullanarak bir ECS örneğinde oturum açın.
1. ECS konsolu - Örnekler sayfasına gidin. Sol üst köşede, hedef örnek için bölgeyi ve kaynak grubunu seçin.
2. Hedef örneğin ayrıntılar sayfasına gidin. Connect seçeneğine tıklayın ve VNC seçeneğini belirleyin. ECS örneğinde oturum açmak için kimlik bilgilerinizi girin.

Ağ arabirimi istatistiklerini toplayın.

# -n DEV: Reports network device statistics
# 1 5: Samples every 1 second for a total of 5 times
sudo sar -n DEV 1 5

Yüksek trafikli NIC'i belirleyin.

txkB/s (ortalama giden bant genişliği) değerinin Average sütununa odaklanın. Değerleri karşılaştırarak en yüksek değere sahip IFACE (NIC adı) öğesini bulun.

rxkB/s ortalama gelen bant genişliği oranını temsil eder.

Linux 5.10.134-19.1.al8.x86_64 (iZbp1e5xxx)                    11/14/2025      _x86_64_        (2 CPU)
04:11:13 PM     IFACE   rxpck/s   txpck/s    rxkB/s    txkB/s   rxcmp/s   txcmp/s  rxmcst/s   %ifutil
04:11:14 PM        lo      0.00      0.00      0.00      0.00      0.00      0.00      0.00      0.00
04:11:14 PM      eth0    317.00    580.00     21.36    933.00      0.00      0.00      0.00      0.00
04:11:14 PM      eth1      0.00      0.00      0.00      0.00      0.00      0.00      0.00      0.00
04:11:14 PM     IFACE   rxpck/s   txpck/s    rxkB/s    txkB/s   rxcmp/s   txcmp/s  rxmcst/s   %ifutil
04:11:15 PM        lo      0.00      0.00      0.00      0.00      0.00      0.00      0.00      0.00
04:11:15 PM      eth0    328.00    582.00     22.34    943.08      0.00      0.00      0.00      0.00
04:11:15 PM      eth1      0.00      0.00      0.00      0.00      0.00      0.00      0.00      0.00
04:11:15 PM     IFACE   rxpck/s   txpck/s    rxkB/s    txkB/s   rxcmp/s   txcmp/s  rxmcst/s   %ifutil
04:11:16 PM        lo      0.00      0.00      0.00      0.00      0.00      0.00      0.00      0.00
04:11:16 PM      eth0    352.00    595.00     24.08    935.58      0.00      0.00      0.00      0.00
04:11:16 PM      eth1      1.00      1.00      0.04      0.04      0.00      0.00      0.00      0.00
04:11:16 PM     IFACE   rxpck/s   txpck/s    rxkB/s    txkB/s   rxcmp/s   txcmp/s  rxmcst/s   %ifutil
04:11:17 PM        lo      0.00      0.00      0.00      0.00      0.00      0.00      0.00      0.00
04:11:17 PM      eth0    347.00    581.00     23.58    943.02      0.00      0.00      0.00      0.00
04:11:17 PM      eth1      0.00      0.00      0.00      0.00      0.00      0.00      0.00      0.00
04:11:17 PM     IFACE   rxpck/s   txpck/s    rxkB/s    txkB/s   rxcmp/s   txcmp/s  rxmcst/s   %ifutil
04:11:18 PM        lo      0.00      0.00      0.00      0.00      0.00      0.00      0.00      0.00
04:11:18 PM      eth0    367.00    623.00     24.98    952.79      0.00      0.00      0.00      0.00
04:11:18 PM      eth1      0.00      0.00      0.00      0.00      0.00      0.00      0.00      0.00
Average:        IFACE   rxpck/s   txpck/s    rxkB/s    txkB/s   rxcmp/s   txcmp/s  rxmcst/s   %ifutil
Average:           lo      0.00      0.00      0.00      0.00      0.00      0.00      0.00      0.00
Average:         eth0    342.20    592.20     23.27    941.49      0.00      0.00      0.00      0.00
Average:         eth1      0.20      0.20      0.01      0.01      0.00      0.00      0.00      0.00

Bu örnekte, eth0 NIC'i en yüksek txkB/s değerine sahiptir. Bu nedenle, eth0 yüksek trafikli NIC'tir.

2. Adım: Yüksek trafik sorununu analiz etme ve çözme

NIC üzerindeki trafiği analiz edin.

iftop: NIC trafiğini bağlantı perspektifinden izler. Örneğinizle en çok trafiği oluşturan IP adreslerini ve bağlantı noktalarını belirler.

Web hizmetleri için, iftop kullanarak yüksek trafikli IP adreslerini bulabilir ve web günlüklerini analiz ederek trafiğin meşru olup olmadığını belirlemek için logwatch gibi araçlarla birlikte kullanabilirsiniz.
nethogs: NIC trafiğini işlem perspektifinden izler. En çok ağ bant genişliğini tüketen işlemi belirler.

iftop

iftop aracını yükleyin.
- Alibaba Cloud Linux ve CentOS için:
```
sudo yum install -y iftop
```
- Ubuntu ve Debian için:
```
sudo apt update
sudo apt install -y iftop
```
Yüksek trafikli NIC'i izleyin.

<IFACE> yerine, 1. Adım bölümünde belirlediğiniz yüksek trafikli NIC'in adını yazın.
```
# -i <IFACE>: Specifies the NIC to monitor.
# -P: Displays port numbers.
sudo iftop -i <IFACE> -P
```
Örneğin, yüksek trafikli NIC eth0 ise, sudo iftop -i eth0 -P komutunu çalıştırın.

Bant genişliğini tüketen eş IP adresini bulmak için NIC trafiğini analiz edin.

19.1Mb             38.1Mb             57.2Mb             76.3Mb             95.4Mb
iZbp1e5w04k4l xxx                  => 140.205.11 xxx                         4.32Mb  3.17Mb  1.06Mb
                                   &lt;=                                        62.9Kb  47.7Kb  15.1Kb
iZbp1e5w04k4l xxx                  => 140.xxx                                    0b   164Kb  41.1Kb
                                   &lt;=                                            0b  4.97Kb  1.30Kb
iZbp1e5w04k4l xxx                  => 140.xxx                                 796Kb   159Kb  40.1Kb
                                   &lt;=                                         15.5Kb  3.10Kb   804b
iZbp1e5w04k4l xxx                  => 140.xxx                                    0b  89.9Kb  29.2Kb
                                   &lt;=                                            0b  2.97Kb   882b
iZbp1e5w04k4l xxx                  => 140.xxx                                    0b  83.9Kb  46.4Kb
                                   &lt;=                                            0b  2.55Kb  1.25Kb
iZbp1e5w04k4l xxx                  => 140.xxx                                    0b  78.9Kb  50.7Kb
                                   &lt;=                                            0b  2.50Kb  1.52Kb
iZbp1e5w04k4l xxx                  => 140.xxx                                    0b  71.0Kb  89.6Kb
                                   &lt;=                                            0b  2.51Kb  2.85Kb
iZbp1e5w04k4l xxx                  => 140.xxx                                    0b  66.1Kb  26.2Kb
                                   &lt;=                                            0b  2.29Kb   822b
iZbp1e5w04k4lv xxx                 => 140.xxx                                    0b  65.6Kb  16.4Kb
                                   &lt;=                                            0b  1.62Kb   416b
iZbp1e5w04k4l xxx                  => 140.xxx                                    0b  61.1Kb  23.2Kb
                                   &lt;=                                            0b  1.77Kb   656b
iZbp1e5w04k4l xxx                  => 140.xxx                                    0b  56.2Kb  55.6Kb
                                   &lt;=                                            0b  1.53Kb  1.54Kb
iZbp1e5w04k4lv xxx                 => 140.xxx                                    0b  52.1Kb  75.3Kb
                                   &lt;=                                            0b  1.65Kb  2.40Kb
iZbp1e5w04k4l xxx                  => 140.xxx                                    0b  52.0Kb  13.0Kb
                                   <=                                            0b  1.42Kb   363b
─────────────────────────────────────────────────────────────────────────────────────────────────────
TX:           cum:   80.9MB   peak:  14.3Mb                          rates:  7.15Mb  6.52Mb  11.2Mb
RX:                  1.91MB           440Kb                                   146Kb   154Kb   276Kb
TOTAL:               82.8MB          14.6Mb                                  7.30Mb  6.67Mb  11.4Mb

Çıktı, gerçek zamanlı trafik bilgilerini azalan sırada listeler. => sembolü, örneğinizin bir eş IP adresine veri gönderme oranını gösterir. Bu örnekte, örneğin son 2 saniye içinde 140.205.11.x IP adresine olan ortalama giden trafik oranı 4.32Mb/s değerindedir.

iftop arayüzünden çıkmak için q tuşuna basın.

Bağlantı noktasına karşılık gelen işlemi görüntüleyin.

<PEER_IP_ADDRESS> yerine, önceki adımda elde ettiğiniz eş IP adresini yazın.

sudo netstat -antp | grep <PEER_IP_ADDRESS>

Aşağıdaki örnek bir çıktı göstermektedir.

tcp    0    172.16.0.xxx    xxx    140.205.11.xxx    xxx    ESTABLISHED    2282/nginx: worker
tcp    0    172.16.0.xxx    xxx    140.205.11.xxx    xxx    ESTABLISHED    2282/nginx: worker
tcp    0    172.16.0.xxx    xxx    140.205.11.xxx    xxx    ESTABLISHED    2282/nginx: worker
tcp    0    172.16.0.xxx    xxx    140.205.11.xxx    xxx    ESTABLISHED    2282/nginx: worker
tcp    0    172.16.0.xxx    xxx    140.205.11.xxx    xxx    ESTABLISHED    2282/nginx: worker
tcp    0    172.16.0.xxx    xxx    140.205.11.xxx    xxx    ESTABLISHED    2282/nginx: worker

Bu örnekte, yerel IP adresi 172.16.0.x, eş IP adresi 140.205.11.x, karşılık gelen işlem nginx: worker ve PID 2282 değerindedir.

nethogs

Örnek

nethogs aracını yükleyin.
- Alibaba Cloud Linux ve CentOS için:
```
sudo yum install -y nethogs
```
- Ubuntu ve Debian için:
```
sudo apt update
sudo apt install -y nethogs
```
Yüksek trafikli NIC'i izleyin.

<IFACE> yerine, 1. Adım bölümünde belirlediğiniz yüksek trafikli NIC'in adını yazın.
```
# The default monitoring interval is 1 second. You can use -d to specify the monitoring interval.
sudo nethogs <IFACE>
```
Örneğin, yüksek trafikli NIC eth0 ise, sudo nethogs eth0 komutunu çalıştırın.

NIC trafiğini analiz edin.

NetHogs version 0.8.5
  PID USER     PROGRAM                                                        DEV        SENT      RECEIVED
 2282 nginx    nginx: worker process                                                   696.898    19.289 KB/sec
15823 root     sshd: root@pts/3                                                         0.773     0.231 KB/sec
    ? root     172.16.xxx.54.137:80                                                     0.000     0.000 KB/sec
    ? root     172.16.xxx.26.209:80                                                     0.000     0.000 KB/sec
    ? root     172.16.xxx.45.106:80                                                     0.000     0.000 KB/sec
    ? root     172.16.xxx.4.191:80                                                      0.000     0.000 KB/sec
    ? root     172.16.xxx.154.78:80                                                     0.000     0.000 KB/sec
 1749 root     /usr/local/cloudmonitor/bin/argusagent                                    0.000     0.000 KB/sec
    ? root     172.16.xxx.54.135:80                                                     0.000     0.000 KB/sec
    ? root     172.16.xxx.26.207:80                                                     0.000     0.000 KB/sec
    ? root     172.16.xxx.4.217:80                                                      0.000     0.000 KB/sec
    ? root     172.16.xxx.89.115:80                                                     0.000     0.000 KB/sec
 6215 root     /opt/aliyun-security/ilogtail/ilogtail-aliyun-security                    0.000     0.000 KB/sec
    ? root     172.16.xxx.154.78:80                                                     0.000     0.000 KB/sec
    ? root     172.16.xxx.83.69:80                                                      0.000     0.000 KB/sec
    ? root     172.16.xxx.54.132:80                                                     0.000     0.000 KB/sec
    ? root     172.16.xxx.26.210:80                                                     0.000     0.000 KB/sec
    ? root     172.16.xxx.4.217:80                                                      0.000     0.000 KB/sec
    ? root     172.16.xxx.89.113:80                                                     0.000     0.000 KB/sec
    ? root     172.16.xxx.154.78:80                                                     0.000     0.000 KB/sec
 1806 root     /usr/local/aegis/aegis_client/aegis_12_61/AliYunDun                       0.000     0.000 KB/sec
 2810 root     /usr/local/aegis/alihips/AliHips                                         0.000     0.000 KB/sec
 6172 root     /opt/aliyun-security/rapt-daemon/rapt-daemon                              0.000     0.000 KB/sec
    ? root     unknown TCP                                                               0.000     0.000 KB/sec

SENT sütunu, örneğinizin alıcıya (eş IP adresine) veri gönderme oranını gösterir. Bu örnekte, en çok trafiği tüketen işlem nginx: worker process olup, giden trafik oranı yaklaşık 696 KB/s ve işlem kimliği (PID) 2282 değerindedir. Aracın arayüzünden çıkmak için q tuşuna basın.

Belirlenen işlem veya eş IP adresine göre bir çözüm seçin.
- Belirlenen işlem (wget veya curl gibi bir indirme aracı ya da bilinmeyen bir program) şüpheli davranıyorsa veya kötü amaçlı bir eş IP adresiyle iletişim kuruyorsa:
  - Anormal işlemi sonlandırın: sudo kill -15 <PID> komutunu çalıştırın. <PID> yerine, belirlenen yüksek trafikli işlemin PID'sini yazın.
    
    Önemli
    Bir işlemi sonlandırmadan önce, hizmet kesintilerini önlemek için bunun kritik bir iş süreci olmadığından emin olun.
  - Kötü amaçlı IP adresini engelleyin: Bilinen kötü amaçlı IP adreslerini engellemek için güvenlik grubu kurallarını kullanın. Kaynak IP adreslerinin geniş bir dağılıma sahip olduğu uygulama katmanı CC saldırısı yaşıyorsanız, güvenlik grubu kuralları daha az etkili olur. Bu durumda, özel koruma sağlamak için bir web uygulama güvenlik duvarı (WAF) dağıtmanızı öneririz. Daha fazla bilgi için bkz. CC saldırılarına karşı korunmak için ECS örneğini WAF'ye ekleme.
  - Kötü amaçlı programları tarayın ve kaldırın: Security Center'daki virüs algılama ve kaldırma özelliğini etkinleştirerek örneğin tam taramasını yapın ve tespit edilen tüm kötü amaçlı programları kaldırın.
  - Yüksek frekanslı DDoS saldırılarına yanıt verin: Yüksek frekanslı DDoS veya CC saldırıları sırasında, pik trafik Anti-DDoS Origin'in karadelik eşiğini aşabilir. Bu durum, cloud hizmetinizin karadelik durumuna girmesine ve erişilemez hale gelmesine neden olabilir. Bu senaryoda, hizmet kullanılabilirliğini sağlamak için Anti-DDoS Pro ve Anti-DDoS Premium'u etkinleştirmeniz gerekir.
- Meşru bir iş süreci yüksek trafik oluşturuyorsa, bu durum muhtemelen normal iş talebinden kaynaklanır:
  - Bant genişliğini yükseltin: Örneğin mevcut ağ kapasitesi bir darboğaz oluşturur. Örnek bant genişliğini yükseltmelisiniz.
  - Uygulamayı optimize edin: Gereksiz veri aktarımlarını azaltma, önbellekleme ekleme veya verileri sıkıştırma gibi potansiyel optimizasyonlar için uygulama kodunuzu gözden geçirin.
  - Trafik hızını sınırlayın: Hizmetiniz izin veriyorsa, belirli IP adresleri veya bağlantı noktaları için trafik hızını sınırlamak üzere iptables gibi araçları kullanabilirsiniz. Bu, tek bir kullanıcının veya hizmetin mevcut tüm bant genişliğini tüketmesini önler.
- Anormal bant genişliği tüketen herhangi bir işlem bulamıyorsanız ancak genel kullanım yüksek kalıyorsa, toplam hizmet trafiği muhtemelen örneğin ağ kapasitesini aşmıştır. Bu durumda, örnek bant genişliğini yükseltmelisiniz.

Sonraki adımlar

Sürekli analiz için sistem ölçümlerini periyodik olarak toplamanızı öneririz. Daha fazla bilgi için bkz. Linux sistem ölçümlerini izlemek için atop aracını kullanma.
Gelecekteki riskler ve anormallikler hakkında bildirim almak için örnek izleme ve uyarıyı yapılandırın.