Урок 68: Мониторинг сетевого трафика (iftop, nload)

Цель урока: Научиться видеть сетевую активность сервера в реальном времени. Мы поймем разницу между битами и байтами, научимся измерять общую загрузку канала и находить конкретных "виновников" (IP-адреса), которые забивают сеть.

Часть 1: Подготовка инструментов

Linux "из коробки" показывает только скучные цифры пакетов. Нам нужны наглядные инструменты.

Устанавливаем:

apt update
apt install -y nload iftop

Часть 2: Общий спидометр (nload)

Представьте, что вы едете в машине. Вам нужно знать вашу текущую скорость. Вам не важно, какая именно деталь двигателя потребляет бензин, вам нужна общая картина.
nload - это именно такой спидометр для сервера.

Запускаем:

nload

Интерфейс:

• Incoming: Входящий трафик (к нам).

• Outgoing: Исходящий трафик (от нас).

• Curr (Current): Текущая скорость прямо сейчас.

• График рисуется решетками (#).

Важное ограничение:
nload показывает только общую скорость. Он не покажет IP-адреса или сайты, которые создают трафик. Он отвечает только на вопрос: "Забит канал или свободен?".

(Навигация: Если у вас несколько сетевых карт, переключайтесь стрелками влево/вправо. Выход: F10 или q).

Часть 3: Детальный анализ (iftop)

nload показал, что сеть забита под 100%. Кто виноват?
Мы качаем обновление? Бэкап улетает в облако? Или нас атакуют?
Для этого нужен iftop.

Запускаем (флаг -P покажет порты, чтобы мы понимали тип трафика):

iftop -P

Интерфейс:

• Слева: Наш сервер.

• Справа: Удаленный компьютер (клиент или сайт).

• Стрелки (=> или <=): Направление потока данных.

• Три колонки цифр: Средняя скорость за 2, 10 и 40 секунд.

Критически важные нюансы:

1. Биты vs Байты:
   iftop (как и провайдеры) показывает скорость в битах (Mb/s), а не в байтах (MB/s).

   • 8 Мегабит (Mb) = 1 Мегабайт (MB).

   • Если iftop показывает 100Mb, это значит, что файл размером 100 Мегабайт будет качаться примерно 8-10 секунд, а не одну секунду.

2. Только "Здесь и Сейчас":
   iftop не сохраняет историю. Если вы закроете окно, статистика пропадет.

   • Совет: Если вам нужно знать, сколько трафика вы потратили за месяц, используйте другую утилиту - vnstat.

Часть 4: Практика. Генерируем трафик

Давайте создадим нагрузку, чтобы увидеть, как реагируют приборы.

Вам понадобятся два окна терминала.

Окно 1 (Монитор):
Запустите iftop -P. Обратите внимание на нижнюю шкалу.

Окно 2 (Генератор):
Мы скачаем официальный образ Ubuntu. Мы отправим его в /dev/null ("черную дыру"), чтобы не засорять диск.

wget -O /dev/null http://releases.ubuntu.com/22.04/ubuntu-22.04.4-live-server-amd64.iso

Что наблюдаем в Окне 1:

1. Вверху появится соединение с releases.ubuntu.com (или IP-адресом).

2. Вы увидите скорость загрузки.

3. Стрелки будут показывать интенсивный поток К нам (<=).

Прервите скачивание в Окне 2 комбинацией Ctrl+C.

Часть 5: Тревожные сигналы (Безопасность)

Почему важно иногда поглядывать в iftop?

Сценарий 1: Высокий Входящий трафик (Incoming)
Если вы ничего не качаете, а входящий канал забит - возможно, это DDoS-атака (вас заваливают мусором) или ваш сайт стал очень популярным.

Сценарий 2: Высокий Исходящий трафик (Outgoing)
А вот это намного страшнее. Если вы не делаете бэкап, а от вашего сервера уходят гигабайты данных:

1. Ваш сервер взломали и используют как прокси для атак на других.

2. Ваш сервер стал частью ботнета.

3. С вашего сервера крадут базу данных.

Если видите непонятный высокий Outgoing трафик на незнакомые IP - это повод срочно проверять логи и менять пароли.

Итоги урока

Теперь у вас есть "глаза", чтобы видеть сеть.

1. nload - простой спидометр. "Тормозит или нет?".

2. iftop - микроскоп. "Кто именно качает?".

3. Единицы измерения: В сети всё измеряется в битах (Mb). Делите на 8, чтобы получить привычные мегабайты.

4. Безопасность: Высокий исходящий трафик без вашего ведома - сигнал тревоги.

В Уроке 69 мы займемся тюнингом. Раз уж мы научились измерять сеть, давайте научимся её ускорять. Мы разберем файл /etc/sysctl.conf и настроим ядро Linux так, чтобы оно выдерживало большие нагрузки.

Перейти к просмотру - УРОК №69.