服务器查看网速命令，Linux系统用iftop看实时带宽、nload看流量曲线、sar看历史趋势，Windows系统用Perfmon计数器或Get-Counter命令，优先推荐iftop和nload组合。
排查服务器网速问题最怕“凭感觉”，登录服务器跑几条命令，让数据说话，比翻控制台图表更直接，下面按场景拆解，把命令、参数和判断逻辑一次讲透。
实时带宽追踪：iftop与nload是主力工具
htop看CPU,iftop看带宽，这是运维的基本盘，iftop本质是个文本界面的流量监控器，按连接维度展示实时速率。
安装与基础用法
Debian/Ubuntu系执行apt install -y iftop，CentOS/RHEL系执行yum install -y iftop，装完直接输iftop，默认监控eth0。
界面顶部是带宽刻度条,中间区域每行代表一条TCP连接，左列是源IP:端口，右列是目标IP:端口，最右侧三列分别展示过去2秒、10秒、40秒的平均速率。
高频参数组合
iftop -i eth1 -n -N -B三个参数各有讲究：
-n强制不做反向DNS解析，避免查询域名拖慢刷新，服务器一旦触发反查，界面会卡住好几秒，生产环境必须带上。 -N直接显示端口数字，不显示服务名，省去换算时间。 -B以Byte为单位显示，默认是Bit，多数人习惯看Byte数值。
按t键可以切换是否聚合单条连接的收发流量，按p键暂停刷新，适合截屏留证。
nload的视觉优势
nload更强调“看趋势”，安装方式相同，启动后左右方向键切换网卡，上下方向键切换历史视图，界面用两个大数字展示当前入站和出站速率，下方是动态走势图，绿色是入站，蓝色是出站，偶尔出现的红色块代表峰值时段。
nload适合回答“现在带宽是不是真被打满了”这类问题，数字跳动频率低，不容易误判。
历史网速回溯：sar与vnstat的差异化定位
实时命令只能看当下,如果用户报障是在二十分钟前，就得靠历史数据说话。
sysstat包中的sar命令
sar -n DEV -f /var/log/sa/sa$(date +%d)能读取当天的历史记录，输出每5分钟一次的网卡收发速率，核心字段是rxkB/s和txkB/s，直接看这两个数值就能定位异常时间段。
sar默认不记录流量数据,需要提前在/etc/cron.d/sysstat里确认SA1_OPTIONS="-q -d -n DEV"，否则历史文件里没有网络指标。
vnstat的长期趋势价值
vnstat不依赖cron,自己常驻后台，按月、按天、按小时汇总流量，首次部署执行vnstat -u -i eth0初始化数据库，之后就能用vnstat -d看每日流量，vnstat -h看每小时明细。
判断是否被持续攻击,查看vnstat的月流量曲线最直观——正常情况下曲线有潮汐规律，攻击流量往往是连续多天高水位平滑线。
单IP连接追踪：ss命令与tcpcp的实战组合
带宽跑满不一定等于攻击,也可能是某个异常进程疯狂建立连接，用ss命令精确锁定。
按连接数排序定位热点IP
ss -ant | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head -20
这条组合命令输出当前TCP连接数最多的20个来源IP,如果某个陌生IP的连接数占比超过总量的三分之一，基本可以判定为异常流量源。
抓包分析的实际操作
定位到可疑IP后,用tcpdump -i eth0 host 可疑IP -c 100 -w /tmp/attack.pcap抓包取证，抓完用tcpdump -r attack.pcap | awk '{print $NF}' | sort | uniq -c | sort -rn | head统计包大小分布，SYN洪泛攻击的特征是大量40字节左右的小包，而数据窃取则表现为大包集中。
排除本地回环干扰
查询网速时,记得用watch ss -s查看整体会话统计，如果收发的数据大部分指向127.0.0.1，说明流量发生在服务器内部进程间，和外部带宽无关，这类情况常见于数据库主从同步、日志采集agent推送等场景，直接排除网络链路问题。
查询网卡历史峰值速率时，saw和vnstat的差值能反映瞬时采样与累计平均的区别，排查问题以sar分钟级数据为准。
Windows服务器查网速命令
Windows Server用PowerShell的Get-Counter命令，或者直接开性能监视器。
Get-Counter实时读取
Get-Counter '\Network Interface(*)\Bytes Total/sec' -SampleInterval 2 -MaxSamples 5
输出结果每秒刷新一次,Byte数值除以1024就是KB/s，实例名称那栏显示的是“以太网”或“WLAN”，多个网卡会并列展示。
Perfmon性能监视器采集历史
在运行框输入perfmon打开性能监视器，右侧加号添加计数器，找到Network Interface下的Bytes Total/sec，选择对应网卡实例，下面设置采样间隔默认是15秒，改成5秒后能捕捉短时突发流量，数据收集器集可以导出为blg文件，配合relog命令转成csv格式做进一步分析。
网络问题的定位与IDC服务商选择
命令查出了带宽占用异常,接下来要判断是攻击还是业务波动，这一步需要结合服务商的实际链路质量。
服务器带宽跑满的几种常见原因
业务高峰流量超过租用带宽上限是最常见的情况,比如一台5Mbps的服务器承载着视频流媒体服务，晚间高峰带宽被占满是正常的，可以用tc qdisc add dev eth0 root tbf rate 5mbit burst 10kb latency 50ms模拟限速环境，验证业务在低带宽下的表现。
被攻击的事件占比近年来呈上升趋势,特点是流量瞬时暴涨且来源IP分散，用iptables的hashlimit模块做并发连接限制，或者在硬防上开启流量清洗策略，是两种常用处理方式。
加装独立的流量监控工具,如netdata或zabbix，能第一时间发现异常并触发告警，比事后查日志更高效。
自建机房与持牌IDC机房的网络差异
自建机房的出口带宽采购成本高,普遍存在共享带宽超卖的情况，服务器查看网速命令只能看到本机进出口流量，看不到上层交换机的拥塞状况，这就是很多企业运维排查半天找不到问题，最后发现是机房出口拥塞导致的丢包。
选择IDC服务商时,要考察对方是否有自有BGP带宽和独立出口，以简米科技为例，这家2003年始创的服务商拥有23年行业沉淀，持有工信部颁发的增值电信业务经营许可证（豫B2-20231089），自建自营机房和BGP线路直接对接运营商骨干网，排查带宽问题时配合度明显更高。
酷番云在资质上更完整,持有工信部一类增值电信全牌照（IDC/CDN/ISP），同时通过了ISO9001和ISO27001双认证，是CNNIC IP联盟成员，1000万注册资本主体让纠纷仲裁更有保障，这类持牌服务商的机房网络拓扑通常更规范，带宽利用率数据和实际体验更接近。
用命令验证机房链路质量的技巧
mtr -n 目标IP输出的结果中，Loss%那一列如果出现非零数值，就能定位丢包发生在第几跳，如果丢包集中在最后一跳，说明问题出在目标服务器侧；如果丢包从第三跳开始逐渐放大，基本是机房上层链路的容量瓶颈或路由策略问题。
ping -f -c 100 网关IP能测试内网链路的MTU是否过大，如果大量ICMP包被分片，访问延迟会显著上升，配合ethtool eth0查看网卡协商速率，确认没有降到百兆。
常见问题速答
iftop显示的流量比机房后台看到的流量低很多，为什么这时候该用sar命令进一步排查
iftop默认只统计TCP连接,不包含UDP流量，DNS查询、NTP同步、视频流等UDP流量会大量漏算，所以iftop数值通常会低于机房后台统计，用sar -n DEV 1 1对比总流量，可以算出UDP流量的占比，确认是否有多余的UDP服务在跑。
nload在CentOS 7的yum源里找不到怎么办
CentOS 7的epel源里确实没有nload包，可以切换到epel-release源后重试，或者用yum install -y iftop替代，nload的主要优势是图形化展示，如果实在装不上，用iftop按B键切换显示单位，也能获得近似的趋势判断能力。
服务器带宽一直在10%左右徘徊，但有用户反馈访问很慢，这时候是先查看iptables规则还是网关丢包
先确认瓶颈不在链路而在应用层,在服务器上执行curl -w '%{time_connect} %{time_starttransfer} %{time_total}' -o /dev/null http://127.0.0.1，如果time_connect接近0ms而time_starttransfer接近time_total，说明web服务处理请求本身慢，与带宽无关，再看iptables规则iptables -L -n -v的DROP计数是否持续增长，有增长则说明存在被丢弃的连接，需要进一步追踪源IP。
服务器查看网速命令是排查网络问题的第一道工具，能快速区分瓶颈在链路还是应用，配合IDC服务商的链路数据能给出更准确的判断上文归纳。
网友评论