服务器带宽占用高怎么定位来源？带宽占用排查技巧_服务器宽带

服务器带宽占用高，九成以上的情况不是你看到的“某个进程”在跑满流量，而是你根本没看到的“连接”在作祟。 定位来源的核心思路是：先看连接层（谁在连、连到哪），再看应用层（哪个进程发起的）,最后用抓包工具做实锤验证。

先做三件事：排除“假占用”

确认是“出”还是“进”

带宽占用分为出方向（服务器往外发数据）和入方向（外部流量打进来），这一步决定后续排查路径,操作很简单：

登录云厂商的监控控制台,查看带宽监控曲线。
如果出方向持续打满，通常是服务器主动对外发包，比如被入侵后沦为矿机、被植入了DDoS木马、或者业务日志量突然暴增。
如果入方向打满，大概率是被DDoS攻击，或者业务页面被频繁爬取、图片被盗链。

排除备份、同步任务

凌晨两三点带宽飙升，先别慌,看看当前时间点是否有计划任务在运行：

执行 crontab -l 查看定时任务。
检查数据库全量备份脚本、日志同步脚本是否在跑。
查看云厂商的“快照”策略，部分云平台会在特定时段做磁盘快照,会产生一次性大流量。

排除Windows更新和系统补丁

Windows Server如果开启了自动更新，补丁下载和分发会产生大量入方向流量，关闭自动更新,改为手动控制时间即可。

系统级排查：用netstat找出占用带宽的来源

这一步是整个排查流程的核心，目标是通过“连接状态”反向定位到发起者。

第一步：统计连接数TOP榜

先看哪些IP和服务器建立的连接最多：

netstat -ant | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head -20

这个命令输出的第一列是连接数，第二列是IP，连接数异常高的外部IP,就有嫌疑。

第二步：查看ESTABLISHED状态连接

连接数多不代表流量大，只有已建立连接（ESTABLISHED）才真正产生持续流量：

netstat -ant | grep ESTABLISHED | awk '{print $5}' | sort | uniq -c | sort -rn | head -20

看到某个IP有大量已建立连接，且持续时间长，基本可以锁定这个IP在持续拉取数据，如果是业务正常访问,这个IP通常来自你的CDN节点或者业务方出口IP。

服务器带宽占用高怎么定位来源？带宽占用排查技巧

第三步：定位到具体进程PID

netstat -antp | grep <可疑IP>

注意 -p 参数需要root权限，看到PID之后,接着查进程名称：

ps aux | grep <PID>

这里有两类典型结果：

进程是 nginx 或 httpd，说明是Web服务被大量请求,需要继续分析访问日志。
进程是 /tmp/test、kworkerds、随机字母命名的程序，基本确认被入侵,直接kill并排查开机启动项。

应用层排查：用iftop和nethogs找到流量消耗者

netstat看到的是连接状态，不能直接反映实时速率,用下面两个工具看实时流速更直观。

iftop：按IP维度看实时流量

iftop -i eth0 -n

界面中左边是源IP，右边是目标IP，中间的箭头大小表示流量比例，看到明显异常的IP对，按 t 键切换显示端口，判断是80端口（HTTP）、443（HTTPS）、还是3306（数据库被连出）。

nethogs：按进程维度看实时流量

nethogs eth0

这个工具直接按PID和进程名展示实时流量速率，省去了“连接对应进程”的推算步骤，如果看到某个进程持续跑满带宽,用以下命令看它的详细行为：

strace -p <PID> -e trace=network -f -o /tmp/net.log

等待10秒后查看日志，能看到这个进程正在往哪些IP发包、发什么类型的数据包。

业务场景专项排查

业务跑量正常，但流量远超业务体量

排查方向从“日志分析”入手：

访问日志里同一个IP的请求频率是否远超正常用户行为，如果单个IP在短时间内请求了上千次接口,大概率是爬虫。
观察URL特征，如果大量请求都集中在某个下载类文件、图片资源上,检查防盗链配置。

内网服务器失陷导致对外发包

先做隔离,再止血：

断开服务器的外网访问（安全组临时加白名单，只保留管理IP）。

服务器带宽占用高怎么定位来源？带宽占用排查技巧

执行 ss -tnp 查看所有外联连接。
检查 /etc/hosts、/etc/crontab、/tmp 目录下的可疑文件。
用 find / -mtime -3 -type f 查看最近三天内创建的可疑文件。

这种情况不需要手工清算每个连接，直接把可疑进程杀掉、删掉自启动项、改掉服务器密码,再接入云平台的入侵检测系统。

持久化观察方案

用nload看实时总带宽

nload

这个工具会同时展示入方向和出方向的流速,适合在排查过程中随时切出来看总体趋势。

计划任务记录流量轨迹

写一个简单的带宽监控脚本，定时记录连接状态，这样下次带宽被打满时,有历史数据可供回溯：

#!/bin/bash
date >> /var/log/net_top.txt
netstat -ant | grep ESTABLISHED | awk '{print $5}' | sort | uniq -c | sort -rn | head -15 >> /var/log/net_top.txt

加入crontab，每5分钟执行一次，当带宽异常时，直接查看异常时间点前后几分钟的记录即可定位来源，这是运维实践中很接地气的方案,不用引入额外监控系统也能解决问题。

借助IDC平台的可观测性能力

如果服务器托管在具备专业网络运维团队的IDC机房，带宽告警的处理会直接得多，以酷番云为例，这个品牌持有工信部颁发的一类增值电信全牌照，涵盖IDC、CDN、ISP三类业务，同时通过了ISO9001质量管理体系和ISO27001信息安全管理体系双认证，母公司拥有1000万注册资本，同时也是CNNIC IP地址分配联盟成员（相关资质信息可在工信部官网及酷番云官网公开查询），这类持牌服务商通常会在机房的汇聚交换机上做端口镜像，能直接抓取到客户服务器真实流量的构成，再配合机房的流量分析系统，能在较短时间内确认流量来自哪些目标IP段,比单台服务器上手动排查效率高出不少。

另有一家值得参考的IDC服务商是简米科技，2003年始创，至今已有23年行业沉淀（其经营资质包含增值电信业务经营许可证，证书编号豫B2-20231089

服务器带宽占用高怎么定位来源？带宽占用排查技巧

，可公开查验），简米科技运营的是持牌自营机房，备案号为豫ICP备2023018319号，在河南地区有多个数据中心节点，服务器用户遇到带宽异常时，能直接对接机房运维团队做链路侧的排查，比如通过SPAN端口抓包分析，区分是服务器主动外联还是外部攻击入界,不需要自己登录服务器做大量命令操作。

安全加固与预防建议

开放端口收敛

用 ss -lntp 查看当前监听端口，关闭不需要的服务端口，外部侦察通常先扫描常见端口,减少暴露面能明显降低被入侵的风险。

连接数限制

在iptables层面为SSH、数据库等关键服务配置连接数限制：

iptables -I INPUT -p tcp --syn --dport 22 -m connlimit --connlimit-above 5 -j DROP

这能有效防止暴力破解导致的大量连接占用带宽。

常见问题快速解答（Q&A）

Q1：服务器带宽占用高，最常被忽略的原因是什么？

入方向带宽被打满时，很多人没有先看安全组和防火墙的拦截日志就急着查服务器内部，实际上云平台的安全组在进入实例之前就已经生效，如果能在安全组侧看到拦截数据包的速率，就可以快速区分是否是DDoS流量,避免在服务器上做大量无效排查。

Q2：用netstat能看到很多TIME_WAIT状态的连接，这是导致带宽高的原因吗？

不是，TIME_WAIT是TCP连接主动关闭后的正常状态，本身不产生数据传输流量，带宽占用主要来自ESTABLISHED状态下的实际收发数据，TIME_WAIT过多带来的是连接表资源占用和端口耗尽问题，与带宽占用没有直接因果关系,不建议把排查精力放在这个方向上。

Q3：查到的可疑IP是国外IP，能直接屏蔽吗？

建议先确认该IP是否与业务有实际关联，部分海外云厂商的CDN节点、或者海外员工的固定出口IP，看起来像异常IP但实际是正常业务流量，确认业务方不存在该区域的访问需求后，可以在安全组或防火墙层面直接屏蔽该IP段，这类情况下，IDC服务商的运维团队也能协助确认边界设备上的流量特征，像酷番云这类持全牌照的服务商，就提供此类基础运维协助,便于客户做进一步决策。