Linux服务器被疯狂访问？别慌，用iftop和tcpdump快速定位异常流量（附完整排查流程）
Linux服务器异常流量排查实战：从iftop监控到tcpdump取证实操指南
当服务器突然变得异常缓慢，响应时间大幅延长，很多运维人员的第一反应往往是检查系统资源使用情况。但有时候，即使CPU和内存使用率看起来正常，服务器依然表现不佳。这时候，网络流量很可能就是罪魁祸首。本文将带你深入理解如何快速识别和应对这类问题，特别适合那些没有专职安全团队的中小企业运维人员和个人站长。
1. 异常流量的早期识别与初步诊断
服务器性能下降往往不是突然发生的，而是有一个逐渐恶化的过程。敏锐的运维人员应该建立日常监控机制，在问题变得严重之前就能发现蛛丝马迹。以下是一些常见的异常流量征兆：
- 网络延迟明显增加：平时几十毫秒的响应时间突然变成几百毫秒甚至几秒
- 带宽使用率异常高：在没有业务增长的情况下，带宽使用率持续居高不下
- 连接数激增：
netstat -ant | wc -l命令显示的数字远超平常水平 - 特定服务响应缓慢：如SSH登录变慢，而其他服务相对正常
提示：建议运维人员建立日常检查清单，包括但不限于：带宽使用率、连接数统计、关键服务响应时间等指标。
当发现这些异常现象时，第一件事是确认是否真的存在异常流量。一个简单有效的方法是使用nload工具快速查看实时流量：
nload -u M eth0这个命令会显示指定网卡(这里是eth0)的实时流量，以MB为单位。如果发现入站或出站流量持续高于正常水平，就需要进一步分析了。
2. iftop深度使用：实时流量监控与分析
iftop是Linux下功能强大的实时流量监控工具，它能够直观地显示哪些IP地址在与你的服务器通信，以及通信的流量大小。安装方法很简单：
# 对于基于Debian的系统 sudo apt install iftop # 对于基于RHEL的系统 sudo yum install iftop2.1 iftop基础使用与关键参数
启动iftop的基本命令是：
sudo iftop -i eth0 -n -P各参数含义：
-i指定监控的网卡-n不进行DNS反向解析，加快显示速度-P显示端口号
在iftop的交互界面中，有几个关键信息需要特别关注：
- 顶部三行：显示带宽使用情况的刻度尺
- 中间部分：实时连接列表，显示主机对之间的流量
- 底部三行：各种统计信息
2.2 iftop高级用法与异常流量识别
要识别异常流量，可以关注以下几个方面：
- 单个IP的高流量：查看是否有某个IP占用了不成比例的大量带宽
- 异常端口通信：检查是否有非常用端口的通信
- 大量短时连接：可能是扫描或暴力破解尝试
iftop支持多种过滤和排序方式，例如只显示特定端口的流量：
sudo iftop -i eth0 -n -P -f 'port 80'或者按目标端口排序：
sudo iftop -i eth0 -n -P -o 2B3. tcpdump实战：高级流量捕获与分析
当iftop帮助我们定位到可疑IP或端口后，下一步就是使用tcpdump进行更深入的流量分析。tcpdump是网络故障排查和安全分析的瑞士军刀。
3.1 tcpdump基础捕获技巧
捕获特定IP的流量：
sudo tcpdump -i eth0 host 192.168.1.100 -w suspicious.pcap捕获特定端口的流量：
sudo tcpdump -i eth0 port 443 -w https_traffic.pcap捕获特定协议的数据包：
sudo tcpdump -i eth0 icmp -w ping.pcap3.2 高级过滤与捕获策略
tcpdump支持复杂的过滤表达式，可以精确捕获我们需要的数据：
# 捕获来自特定IP发往特定端口的数据 sudo tcpdump -i eth0 'src host 192.168.1.100 and dst port 80' -w attack.pcap # 捕获特定大小的数据包 sudo tcpdump -i eth0 'greater 1000' -w large_packets.pcap对于高流量环境，可以使用-c参数限制捕获的数据包数量，避免文件过大：
sudo tcpdump -i eth0 -c 1000 -w sample.pcap4. 完整排查流程与应急响应方案
结合上述工具，我们可以制定一套标准化的异常流量排查流程：
- 初步确认：使用
nload或vnstat确认是否存在异常流量 - 流量监控：使用
iftop识别可疑IP和端口 - 深度捕获：使用
tcpdump对可疑流量进行捕获 - 分析取证：使用
Wireshark或tshark分析捕获的数据包 - 应急响应：根据分析结果采取相应措施
4.1 常见异常流量类型及应对策略
| 流量类型 | 特征 | 应对措施 |
|---|---|---|
| DDoS攻击 | 大量IP发送请求 | 启用云厂商DDoS防护 |
| 暴力破解 | 同一IP多次尝试登录 | 封禁IP，修改默认端口 |
| 扫描探测 | 多个端口连接尝试 | 配置防火墙规则限制连接速率 |
| 数据外泄 | 异常出站流量 | 检查系统进程和开放端口 |
4.2 自动化监控与告警实现
为了更高效地监控网络流量，可以设置自动化脚本：
#!/bin/bash # 监控带宽使用率 bandwidth=$(vnstat -i eth0 --oneline | cut -d';' -f11) # 如果带宽使用超过90M，发送告警 if [ "$bandwidth" -gt 90 ]; then echo "High bandwidth usage detected: ${bandwidth}M" | mail -s "Bandwidth Alert" admin@example.com fi这个简单的脚本使用vnstat检查带宽使用情况，超过阈值时发送邮件告警。
5. 防御策略与系统加固建议
识别和应对异常流量只是第一步，更重要的是建立长期的防御机制。以下是一些有效的防御措施：
- 配置合理的防火墙规则：只开放必要的端口
- 启用SYN Cookie防护：防止SYN Flood攻击
- 限制连接速率：对特定服务设置连接速率限制
- 定期更新系统：修补已知漏洞
- 配置日志监控：集中收集和分析系统日志
对于Web应用，还可以考虑：
# 使用iptables限制单个IP的连接数 iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j DROP # 限制新建连接速率 iptables -A INPUT -p tcp --dport 80 -m limit --limit 50/minute --limit-burst 200 -j ACCEPT在实际运维工作中，我发现很多问题其实可以通过简单的配置调整来预防。比如修改SSH默认端口就能减少90%以上的暴力破解尝试，而合理的连接限制可以有效缓解小规模的DDoS攻击。