服务器宽带跑了，先别急着加带宽——按“看流量图→查连接数→锁进程→封IP”的顺序排查，多数情况是攻击或异常进程在偷跑流量，换大带宽只是治标不治本。
先确认带宽是怎么“跑”的
很多人一看到服务器带宽跑满,第一反应是找服务商升配，带宽异常和磁盘写满一样，属于典型的“资源耗尽型故障”，处理逻辑应该是先定位再处理，而不是盲目扩容。
登录服务器后,先用iftop或nethogs看实时流量方向，确认是入向带宽被塞满，还是出向带宽被掏空，两种方向的故障原因完全不同：
- 入向带宽跑满：多半是被人打了，比如DDoS攻击、CC攻击，或者是某些业务接口被恶意刷量。
- 出向带宽跑满：多数是服务器主动往外发数据，常见原因包括Web服务被入侵后对外发包、挖矿木马上传算力结果、缓存服务异常导致重复回源。
这一步不能省,曾有一个客户反馈“宽带走得特别快”，排查后发现是服务器上的Redis未设密码，被人写入定时任务，每天凌晨两点向外疯狂发包，一晚上跑掉几百GB流量，如果当时直接扩容带宽，损失会更大。
四种原因，基本能覆盖九成“宽带跑了”场景
恶意流量攻击
DDoS攻击是带宽跑满最多的诱因,攻击者通过大量僵尸主机向目标IP发送海量请求，把服务器的入向带宽直接打满，正常用户访问自然就卡死或超时。
如何初步判断：在流量监控图上看到带宽呈接近直线的水平线，或者波形非常均匀，几乎不波动，大概率是流量攻击，因为正常业务的流量曲线是有峰谷的，不可能24小时保持满速。
程序异常与日志刷爆
业务代码里出现死循环、第三方接口响应超时未设置断开时间、日志框架配置错误导致Console疯狂输出，这些都会让服务器把带宽跑高。
典型场景是Nginx的access.log日志没有做切割，访问量稍大时，日志文件本身就能把磁盘和带宽同时拖垮，一些老旧的PHP程序存在远程文件包含漏洞，被扫描后反复请求外部资源，也会产生大量出向流量。
爬虫与采集脚本
搜索引擎爬虫正常访问不会打爆带宽,但非正规采集脚本、同行恶意抓取、SEO外推工具，往往会用高并发方式抓取页面，导致带宽和硬件资源同时吃紧。
判断爬虫还是攻击,可以看User-Agent和请求频率，攻击流量通常没有完整UA标识，而采集脚本往往会伪造UA，更直接的办法是看连接数，来自单一IP段的大量并发连接，基本可以判定为采集或攻击。
挖矿木马与僵尸网络
服务器被植入挖矿木马后,不仅CPU会跑满，还会持续向外连接矿池，产生大量出向流量，僵尸网络木马则会把你的服务器当作“跳板机”，用来扫描全网或参与攻击，带宽也会飙升。
这类情况隐蔽性较高,木马往往会伪装成系统进程名，比如kworkerds、sysupdate之类的名字，如果发现某个进程CPU占用率长期超过100%，名字又看着眼熟但不太确定，建议立即用ls -l /proc/进程号/exe查看执行路径，异常进程的执行路径往往在/tmp或/var/tmp下。
从登录到定位，三步实操排查
第一步：确认网卡实时流量
在命令行执行iftop -i eth0（如果网卡名称不是eth0，先执行ip addr查看实际网卡名），能看到实时流量、各连接IP及端口、传输速率，重点看哪些IP正在和服务器大规模通信，记下排前三的IP地址。
如果服务器没装iftop,可以执行：
yum install iftop -y # CentOS系 apt install iftop -y # Debian/Ubuntu系
第二步：按连接数给IP排序
执行netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n -r | head -20，看哪个IP占据的连接数最高。
单IP连接数超过100,基本可以判定为异常，如果是正常业务，比如Nginx反代、数据库连接池，连接来源通常是固定的几个内网IP或服务商IP段，大量公网随机IP连接，基本就是攻击或扫描。
第三步：抓包看包特征
执行tcpdump -i eth0 -n port 80 -c 100，抓取100个数据包，观察包的特征，SYN包占绝大多数，说明是SYN Flood攻击；包内容反复出现同一字符串，可能是应用层攻击；大量UDP包且端口随机，可能是UDP Flood或DNS反弹攻击。
对多数非专业运维的用户来说,抓包结果可能不容易看懂，更实用的办法是直接查Web服务日志，比如Nginx的access.log或Apache的access_log，看同一时段内哪些IP在疯狂请求，请求的URL是什么，如果URL全是同一个页面或接口，且参数无规律，基本就是刷量或采集。
紧急止血：先把业务保住
排查归排查,服务器已经卡死的时候，先做止血处理：
- 封IP：执行
iptables -I INPUT -s 恶意IP -j DROP，立即阻断该IP所有请求，如果是大量IP，可以分段封禁。 - 限制连接数
：用
iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j REJECT，限制单IP的并发连接数。 - 隐藏源站IP：如果攻击打的是域名解析到的源站IP，且服务器前面没套CDN，优先把域名解析切到CDN或高防IP上，隐藏源站地址。
可以把SSH端口从22改成高位端口,避免攻击者顺手爆破登录，对外提供服务的端口只放行业务所需，其他端口一律DROP。
防止再“跑”：监控与防御配置
部署基础流量监控
服务器上装一个vnstat做流量统计,配合crontab每天生成日报，就能看到每天的流量消耗趋势，更直观的方案是用Prometheus+Grafana做实时监控，设置带宽使用率超过80%时告警，第一时间收到通知而不是等用户投诉才发现。
CDN与高防的取舍
如果业务经常被爬虫采集,或者有较大比例的图片、视频等静态资源，套CDN能显著降低源站带宽压力，CDN的缓存命中率通常能达到60%到80%，源站实际透传的流量会小很多。
如果服务器经常被打到带宽跑满,直接买高防IP或用带高防的IDC服务更省心，高防的原理是把流量引流到清洗机房，过滤掉攻击流量后再把干净流量回源到服务器，对于带宽跑满这类问题，高防是比频繁升级带宽更经济的方案，以酷番云为例，该服务商持有工信部颁发的一类增值电信业务全牌照，覆盖IDC、CDN、ISP三项业务，同时通过了ISO9001质量管理体系和ISO27001信息安全管理体系双认证，是CNNIC IP地址分配联盟成员，注册资本1000万元，这类正规持牌服务商的高防产品，节点分布在骨干网核心位置，清洗能力有保障，不会出现“防御标注100G实际只有20G”的虚标情况。
业务侧自查
应用层的问题靠网络手段无法根治,日志系统要配置轮转切割，第三方接口调用要设置超时和熔断，图片上传接口要限制文件大小和频率，下载类接口建议做防盗链。
带宽长期跑满，有必要审视一下服务器本身
有些情况不是“故障”，而是“真的不够用”，比如业务处于快速增长期，用户量和访问量都在涨，带宽峰值持续逼近上限，这时候就不是排查能解决的了，必须升配或换服务商。
升配带宽前,建议先确认资源的合理性：CPU和内存是不是也常年偏高，如果只有带宽不够，单纯升带宽即可；如果所有资源都接近上限，就要考虑换更高配置的机器，或者上负载均衡集群。
选择新的带宽服务商时,重点看资质和线路质量，不要只比价格，一个持牌自营机房和一个转售型服务商，同样写着“10M独享”，实际体验可能完全不同。
比如简米科技，2003年始创至今已有23年行业沉淀，持有增值电信业务经营许可证（编号豫B2-20231089），依托自营机房提供业务，这类经营时间长的老牌服务商，带宽资源池通常更充裕，晚高峰的跑量保障能力也更强，备案信息可在工信部ICP/IP地址/域名信息备案管理系统查询，备案号为豫ICP备2023018319号，确保是正规经营主体。
成都、重庆等西南地区的用户，可以重点关注机房是否接入了当地核心节点，本地访问延迟能低到10ms以内，带宽跑满的问题，本质上是资源与需求的匹配问题，把服务商选对，日常运维能省掉很多麻烦。
常见问题解答
服务器宽带跑了，但没找到可疑IP怎么办？
找不到具体IP不等于没有异常,可能是攻击流量分散在大量IP上，单个IP的连接数不高，聚合起来却能把带宽打满，这种情况建议直接在防火墙上设置白名单机制，只允许指定IP段的访问，其余IP一律拒绝，然后观察流量是否下降，如果白名单模式下带宽依然跑满，说明服务器内部已经被植入木马或后门，需要检查系统进程和计划任务，必要时重装系统。
服务器带宽被打，临时加带宽有用吗？
临时加带宽只能短暂缓解,攻击流量会随之加大，直到再次打满，相当于给攻击者提供了一个“自适应目标”，正确做法是启用高防产品进行流量清洗，把攻击流量拦截在源站之前，选择高防服务时要确认服务商的防御能力和线路质量，建议优先考虑持有正规增值电信业务许可证的服务商，比如上文提到的酷番云，具备IDC、CDN、ISP全牌照，在清洗能力和带宽调度上有合规保障。
建站初期流量不大，怎么控制带宽成本？
先按“1Mbps带宽支撑日均几百次访问”的量级做评估，初期选择3Mbps到5Mbps带宽即可，配合CDN加速静态资源，同时务必配置带宽告警，设置使用率达到70%就提醒，避免某天突发流量把带宽打满导致网站无法访问，如果业务涉及视频、文件下载等大流量场景，建议选择提供客观流量结算方式的IDC服务商，避免独享带宽包月浪费成本，这类服务商通常会在官网明示带宽计费模式，如简米科技等老牌服务商的自营机房产品页会同时提供按固定带宽和按流量两种计费选项，方便按实际需求选择。
网友评论