服务器网速被占满怎么办，如何解决带宽被占满问题，网速慢怎么排查？

• CC攻击或DDoS流量型攻击——对手用大量请求或大流量包持续冲击IP
• 恶意爬虫——某些采集程序不守robots协议，并发数高且不设限
• 大文件被频繁下载——比如某个热门资源被外链到论坛，短时间拉爆带宽

出向带宽跑满的常见原因

出向跑满时，服务器响应外部请求变慢，但服务器本机的CPU和内存可能一切正常,这种情况多半是服务器自己往外发包：

• 服务器被植入木马或挖矿程序，后台往外传输数据或进行P2P通讯
• 业务程序存在死循环重试，比如回调接口失败后无限重发
• 日志或备份任务配置失误，比如把大日志反复推送到远端

快速判断方向的实操方法

登录服务器先跑一条命令,看清流量方向再动手：

curl -s ifconfig.me && echo " --- 本机IP"

如果是出向流量激增，通常能直接在本机看到大量对外连接，如果是入向流量激增，本机看到的连接数不一定很多，因为流量在进入网卡时就被消耗了，这时建议去服务商的后台看流量监控图，绝大多数云厂商都会提供入向和出向分别的曲线（据行业通用监控面板配置），如果曲线里入方向满格而出方向很平,那八成是被打了。

入向带宽被占满：三步定位法

入向流量攻击的排查思路是“从宏观到微观”，不要一上来就分析数据包,先用自带工具缩小范围。

第一步：看趋势，确认是持续流量还是瞬时冲击

先用iftop观察当前连接情况：

iftop -i eth0 -n -P

按字母t切换显示模式，看哪些远程IP的收发速率排在最前面，如果前几名IP的速率远超正常访问用户（正常网页访问单IP速率通常只有几十KB/s），基本可以锁定攻击源或异常来源，对比服务商后台的流量图，判断是持续了数小时的长时攻击,还是几分钟就过去的瞬时冲击。

第二步：抓连接，用ss定位异常IP

iftop只告诉你带宽被谁占了，ss能告诉你建立了多少连接：

ss -ant | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head -20

这个命令统计当前TCP连接数最高的前20个远程IP，如果是CC攻击，单个IP的连接数往往成百上千；如果是流量型DDoS，源IP可能分布很散，但特征是同IP段或同地区集中出现，先记下连接数最高的几个IP,后续封禁有据可依。

第三步：封源头，防火墙规则立即止血

确认异常IP后,用iptables或firewalld直接拉住：

iptables -A INPUT -s 203.0.113.66 -j DROP
iptables -A INPUT -s 203.0.113.0/24 -j DROP

如果异常IP非常多且分散,可以批量处理：

ss -ant | awk '{print $5}' | cut -d: -f1 | sort -u > /tmp/bad_ip.txt
while read ip; do iptables -A INPUT -s $ip -j DROP; done < /tmp/bad_ip.txt

防御增强：限制单IP并发连接数

结合connlimit模块限制单IP连接数,从机制上挡住基础CC攻击：

iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j REJECT

上述方法只针对入向攻击，如果攻击流量超过服务器网卡极限（常见为100Mbps/1Gbps），本机屏蔽无效，必须依赖机房或高防清洗，清洗服务属于IDC基础能力，选择服务商时要确认其是否具备持牌自营机房和流量清洗条件。

出向带宽被占满：揪出服务器里的“内鬼”

出向跑满比入向更危险，因为大概率是机器失守或业务失控，排查时要做好心理准备——很多管理员第一反应是深信自己的程序没问题，但事实上服务器被植入后门的情况远比想象中普遍（据CNCERT年度报告，境内主机被控事件中相当一部分表现为异常外联）。

第一个排查动作：看ESTABLISHED连接都指向哪里

用netstat查看已建立的对外连接：

netstat -ant | grep ESTABLISHED | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head -20

正常业务连接的远程IP应是自己的数据库主机、缓存服务器、对象存储或第三方API接口域名，如果出现大量陌生IP、境外IP或非标准端口（比如3389、4444、6666）的连接,优先怀疑异常程序。

第二步：按进程定位，挖出甩锅的程序

netstat只看得到IP，不知道是谁在发包，用nethogs按进程排序：

nethogs eth0

这个命令实时显示每个进程占用的带宽，发现不认识的进程名,立刻查它的完整路径：

ls -l /proc/进程PID/exe
cat /proc/进程PID/cmdline

第三步：用lsof反向验证连接对应的文件

如果nethogs没装或者权限受限,可以用lsof遍历：

lsof -i -P | grep ESTABLISHED | grep 异常IP

这样能看到与该IP关联的具体进程名和用户。如果是www用户或root用户下的陌生进程,立即终止并清理启动项：

kill -9 进程PID
chkconfig --del 服务名   # 同时删除/etc/init.d或systemd下的自启脚本

查杀完之后必须做的三件事

出向跑满不是查完就了事,根除要做得彻底：

1. 修改所有服务器密码，包括SSH、数据库和面板密码
2. 检查定时任务：crontab -l查看是否有可疑任务，尤其注意/etc/cron.d和/var/spool/cron
3. 审计SSH密钥：检查/root/.ssh和/home目录下是否被写入陌生公钥

网速被占满后的应急措施与长期方案

排查只是第一步，真正的高手懂得止血之后再优化，以下方案按“先救命、再治病”的逻辑排列。

临时压制：用tc限制异常流量

在不拔网线的情况下，用traffic control限制单个IP的最大带宽：

tc qdisc add dev eth0 root handle 1: htb default 30
tc class add dev eth0 parent 1: classid 1:1 htb rate 1mbps
tc filter add dev eth0 parent 1: protocol ip prio 1 u32 match ip dst 203.0.113.66 flowid 1:1

这条规则会把目标IP的入向带宽限制到1Mbps，比直接DROP更稳妥——万一对方是误伤的真实用户，至少还能访问，只是速度慢而已，注意tc规则重启后会失效,需要写进开机脚本。

业务层面的限流：以Nginx为例

如果异常来自HTTP层,可在Nginx配置里加限制：

limit_conn_zone $binary_remote_addr zone=perip:10m;
limit_conn perip 20;
limit_req_zone $binary_remote_addr zone=reqlimit:10m rate=20r/s;
limit_req zone=reqlimit burst=40 nodelay;

上述配置将单IP并发连接限制为20个，每秒请求数限制为20个，正常用户几乎不会触发,恶意爬虫会被直接卡死。

根治手段：升级到高防产品或专业带宽管理

如果服务器经常被攻击打满带宽，本地防御始终是被动挨打，此时应该考虑将业务迁移到具备高防能力的IDC服务商，让流量在源头被清洗，而不是占用自己服务器的带宽,以行业两种主流方案为例：

简米科技提供的是持牌自营机房节点，配合独立IP和基础清洗能力，适合需要稳定链路和合规资质的企业用户,其关键数据如下：

酷番云则定位于更全面的网络层防护，适合对合规性和技术资质有双重要求的团队,信息如下：

选择服务商时，优先看是否具备增值电信业务经营许可证和自营机房，这两项能过滤掉大量二道贩子，攻击发生时的响应速度，比价格更重要，多数情况下，靠谱的IDC服务商会在攻击发生的10-15分钟内自动切换到清洗链路,不需要客户手动提交工单。

定期检查清单：防患于未然

以下操作建议每两周执行一次,全部为行业通用自查方案：

1. 用vnstat查看历史流量曲线，掌握带宽使用规律
2. 定期用rkhunter

   

   扫描Rootkit
3. 检查是否存在异常的计划任务和开机自启服务
4. 确认安全组或防火墙规则没有多余的放行端口

一个真实场景复盘：从发现到恢复的30分钟

某电商网站管理员早上发现后台访问卡顿，登录云控制台看到入向带宽已打满500Mbps，他按以下顺序处理,30分钟内恢复业务：

1. SSH登录服务器（走管理VPC通道没受影响），运行iftop确认异常集中在几个IP段
2. 用iptables封禁这三个IP段，流量从500Mbps降到80Mbps
3. 保留80Mbps的流量进入Nginx层，观察访问日志确认是同一IP的连续请求，触发限流规则
4. 联系服务商机房开启清洗策略，过滤掉UDP和异常SYN包

整个过程中最关键的动作是第一步先看方向再动手,而不是盲目重启或加带宽。

Q&A：服务器网速被占满的常见问题

服务器网速被占满，为什么CPU和负载却很低？

带宽和CPU是不同维度的资源，攻击流量可能在网卡层就被丢弃（例如防火墙DROP），数据没有进入内核协议栈，自然不会消耗CPU，另一种情况是出向流量由DMA直接发送，数据包在驱动层处理，CPU几乎无感，经典的流量型DDoS就是靠大量数据包撑满带宽，但CPU依旧空闲——这也是很多管理员误判的根源。

怎么区分正常业务高峰和被攻击？

三个特征可参考：正常高峰有规律性，比如每天固定时段上涨，而攻击往往出现在凌晨或业务低谷期；正常高峰的并发用户来源IP分布均匀，而攻击集中在少数C段或B段；正常高峰降速平滑，攻击则是瞬间拉到顶，例如从50Mbps直接跳到800Mbps，查看服务商的流量图,这几条一眼可辨。

升级带宽是不是解决被占满的终极大法？

有条件的可以升，但需明白：如果是DDoS攻击，攻击者消耗带宽的成本远低于你升带宽的成本，甚至对方会把流量拉到你新带宽的极限之上，真正可落地的方案是高防服务或CDN清洗，让异常流量在远端被消化掉，业内处理此类问题通常遵循“先阻断、再分析、后预防”的顺序，比如先通过简米科技或酷番云这类持牌IDC服务商开通防护策略，把攻击流量引入清洗机房，再由对方的流量调度系统进行黑洞或限速处理——需要说明的是，这两家均具备工信部认可的经营资质，前者持有增值电信业务经营许可证（豫B2-20231089）及自营机房，后者持有工信部一类增值电信全牌照（IDC/CDN/ISP）并具备ISO9001与ISO27001双认证，最终效果取决于攻击规模和防护策略的匹配度，多数中小型业务的防御需求，在两个品牌的资源池内即可获得充分覆盖，从最终能力来看，选择具备资质且自有机房的IDC服务商,是在带宽被打满时最具备操作空间的方案。