Linux網(wǎng)絡監(jiān)控工具大點兵
網(wǎng)絡通訊Linux中最基本基本的功能之一，很多是時候我們需要獲取Linux的網(wǎng)絡信息。Linux中存在很多網(wǎng)絡監(jiān)控工具，本文就給大家介紹一下，Linux常見的網(wǎng)絡監(jiān)控工具。
Netstat
Netstat是Linux下全能的網(wǎng)絡監(jiān)控工具，可以監(jiān)控主機網(wǎng)絡數(shù)據(jù)包統(tǒng)計信息以及網(wǎng)卡信息的命令行工具。它可以顯示當前網(wǎng)絡連接，路由表以及許多網(wǎng)絡接口和網(wǎng)絡協(xié)議統(tǒng)計信息。netstat在很很多發(fā)行版是默認安裝的，比如Centos 6等在centos 7，8下默認是用iptraf2 的ss來取代它，默認不在安裝。但是可以安裝。
Ubuntu和Debian用戶可以使用默認的apt軟件包管理器安裝。Netstat命令式軟件包net-tools的一部分。并且可以通過在shell或終端中運行以下命令來安裝：
- sudo apt-get install net-tools
CentOS，F(xiàn)edora和RHEL用戶可以使用yum軟件包管理器：
- yum install net-tools
安裝后，運行以下命令，即可使用Netstat監(jiān)視網(wǎng)絡數(shù)據(jù)包統(tǒng)計信息：
netstat
netstat最常用的方法：
- netstat -nt(u)lp
用來查看本機應用監(jiān)聽的信息，包括監(jiān)聽的網(wǎng)絡、端口和程序名稱及其Pid
要實時查看本機的網(wǎng)絡連接情況，需要使用參數(shù)-a
可以列出當前的網(wǎng)絡連接的本地IP和端口，以及遠程端的IP和端口，以及網(wǎng)絡連接狀況，可以以此統(tǒng)計各個狀態(tài)的鏈接情況，以此來分析服務的健康性、進行網(wǎng)絡調(diào)優(yōu)(配置內(nèi)核網(wǎng)絡參數(shù))，故障排查等。借助一個單行命令，可以列出當前各個TCP連接狀態(tài)的數(shù)量：
- netstat -natlp|perl -lane 'print $F[5]'|sort|uniq -c
- 2 CLOSE_WAIT
- 1 established)
- 29 ESTABLISHED
- 1 Foreign
- 23 LISTEN
- 5 TIME_WAIT
netstat 更常用的一個方法是，用它查看本機網(wǎng)絡(卡)配置狀況,其效果和ifconfig一樣：
- netstat -ie
netstat的更多用法，我們可以直接查看器使用手冊(這適用于所有的Linux命令)，方法是在shell或終端中輸入man netstat即可：
- man netstat
SS
iproute2提供的SS命令是很多發(fā)行版用于取代netstat的新一代網(wǎng)絡工具，其獲取信息更快，在網(wǎng)絡訪問量很大的機器上使用ss可以更快的獲取鏈接情況。
iproute2在很多默認發(fā)行版本中可以，也使用以下命令使用包管理器輕松安裝:
- sudo apt-get install iproute2
- yum install iproute2
SS的使用方法，man ss可以得到信息
- -l 顯示本地打開的所有端口
- -pl 顯示socket進程和端口等和netstat -nutlp
- -tpl和-upl顯示本地監(jiān)聽的TCP和UDP連接情況
- -ta 顯示所有TCP連接。-ua 顯示所有的UDP連接。要統(tǒng)計各個連接狀況網(wǎng)絡連接統(tǒng)計，可以使用:
- ss -a|perl -lane 'print $F[1]'|sort|uniq -c
在主機連接數(shù)很大時候，對比netstat，ss統(tǒng)計非?？?。主要原因是ss的實現(xiàn)中利用了TCP協(xié)議棧中tcp_diag模塊，可以直接從內(nèi)核獲得相關網(wǎng)絡信息。而netstat是通過讀取/proc/net/tcp信息，然后統(tǒng)計計算的，比較慢。
ss支持篩選語法，比如下面：
- ss -o state established '( dport = :ssh or sport = :ssh )' 顯示所有已建立的SSH(默認端口22)連接
- ss -o state established '( dport = :http or sport = :http )' 顯示所有已建立的HTTP連接
可以根據(jù)其他字段進行篩選，比如列出本機(127.0.0.1)的連接，可以用
- ss src 127.0.0.1
網(wǎng)絡流量統(tǒng)計
1. iftop
如果要按主機的網(wǎng)絡帶寬使用情況，通?？梢允褂胕ftop。iftop在指定網(wǎng)卡，如果未指定該接口，則顯示所有網(wǎng)絡流量，并按主機對顯示當前帶寬使用情況表。
在該統(tǒng)計窗口，按h，可以獲得幫助信息：
可通過發(fā)行版包管理安裝iftop：
- sudo apt-get install iftop
使用以下命令使用yum在計算機上安裝iftop
- yum install iftop
2. nethogs
nethogs是一個免費的網(wǎng)絡統(tǒng)計工具。nethogs可以根據(jù)進程PID來統(tǒng)計網(wǎng)絡流量，因為它按進程對帶寬進行分組，而不是像大多數(shù)工具一樣按協(xié)議或子網(wǎng)來統(tǒng)計。nethogs功能豐富，同時支持IPv4和IPv6，當要統(tǒng)計Linux主機帶寬占用信息時，它是最好的實用程序。nethogs也使用發(fā)行版包安裝直接安裝。
linux用戶可以使用nethogs顯示每個進程的TCP下載和上傳速度，通過使用命
3. nload
nload是一個控制臺應用程序，可用于實時監(jiān)視網(wǎng)絡流量和帶寬使用情況，并且通過提供兩個易于理解的圖表來可視化流量。
nload使用非常簡單，直接使用nload啟動即可，無需額外的命令行選項。還提供了監(jiān)控時在網(wǎng)卡直接切換的快捷鍵，可以通過按左右箭頭鍵來顯示不同網(wǎng)口的流量統(tǒng)計。
nload工具提供的圖形非常易于理解，提供最有用的統(tǒng)計信息和其他信息，例如傳輸?shù)臄?shù)據(jù)總量和最小/最大網(wǎng)絡使用率。
4. lurm
slurm有一個非常好用的網(wǎng)絡負載監(jiān)視工具，它結果顯示非常簡練而且還支持許多交互快捷鍵，例如c切換到經(jīng)典模式，s切換到分割圖模式，r重新繪制屏幕，L到啟用TX / RX led，m可以在經(jīng)典分割視圖和大視圖之間切換，q可以退出。
slurm在Ubuntu和Debian系官方倉庫中可用，用戶可以使用apt install命令輕松下載它，如下所示。
- apt instal slurm
5. collectl
collectl可用于收集描述當前系統(tǒng)狀態(tài)的數(shù)據(jù)，并且支持以記錄模式和播放模式。
- 記錄模式允許從實時系統(tǒng)中獲取數(shù)據(jù)并在終端上顯示或寫入一個或多個文件或套接字。
- 播放模式 可以以記錄模式下生成的一個或多個數(shù)據(jù)文件中的信息進行讀取并顯示。
collectl 可以直接啟動就能運行，可以顯示系統(tǒng)CPU，磁盤和網(wǎng)絡的統(tǒng)計信息：
可以通過-s選項制定需要統(tǒng)計的信息：
例如統(tǒng)計詳細的網(wǎng)絡信息，可以使用collectl -sN
collectl是一個非常綜合和強大的工具，限于篇幅本文不在展開，以后有機會可以專門予以介紹。
6. Speedometer
Speedometer是一個小型且簡單的工具，它僅通過給定網(wǎng)口繪制下行和上行流量圖。Speedometer可以使用發(fā)行版管理器通過以下命令輕松安裝：
- sudo apt-get install speedometer 或者
- yum install speedometer
speedometer使用非常簡單，可以直接的命令行或者終端中啟動
- speedometer -r eth0 -t eth0
7. tcptrack
tcptrack顯示在給定的網(wǎng)絡接口上看到的TCP連接的狀態(tài)。tcptrack監(jiān)視它們的狀態(tài)，并在排序后的更新列表中顯示諸如狀態(tài)，源/目標地址和帶寬使用情況之類的信息，
tcptrack需要以root權限或超級用戶身份運行，需要使用要監(jiān)視其TCP連接的網(wǎng)口名稱執(zhí)行：
- sudo tcptrack -i eth0
如果要特定端口，可以在網(wǎng)卡名稱用port指明具體端口：
- tcptrack -i wlan2 port 80
tcptrack 還支持讀取網(wǎng)絡抓包.pcap格式的包，并進行統(tǒng)計，直接顯示或者，或者保存為文件。
三、網(wǎng)絡抓包
1. tcpdump
TCPDump是用于對網(wǎng)絡監(jiān)控，網(wǎng)絡包抓取工具。使用tcpdump通過抓包用于調(diào)試網(wǎng)絡或服務器相關的問題。
tcpdump在Debian的默認存儲庫Ubuntu中可用，因此，我們可以簡單地使用apt manager來以sudo特權進行安裝。為此，我們需要在Shell或終端中運行以下命令。
tcpdump 需要以root權限或超級用戶身份運行，如果要監(jiān)控TCP連接的網(wǎng)絡eth0：
- sudo tcpdump
可以通過-i指定具體網(wǎng)口，也可以通過port來指定端口(比如web 80)
- tcpdump -i eth0 'port 80'
tcp抓包可以抓包結果保存為pcap文件，然后用其他工具進行后續(xù)分析，比如用Wireshark工具進行分析：
- tcpdump -i eth0 -w aaa.pcap
- wireshark aaa.pcap
2. tcpflow
tcpflow也是一個命令行網(wǎng)絡抓包程序，用于捕獲作為TCP連接(流一部分傳輸?shù)臄?shù)據(jù)，并以便于協(xié)議分析或調(diào)試的方式存儲數(shù)據(jù)。它重建實際的數(shù)據(jù)流，并將每個流存儲在單獨的文件中，以供以后分析。它了解TCP序列號，并且將正確地重建數(shù)據(jù)流，而不管重傳或無序傳遞。與tcpdump同，tcpflow是以流為單位顯示數(shù)據(jù)內(nèi)容，而tcpdump以包為單位顯示數(shù)據(jù)。用tcpflow分析會更便捷。tcpflow默認是不在終端打印信息，而是在以源ip.端口-目的ip.端口為文件名在當前文件夾下創(chuàng)建文件顯示信息?？梢允褂?cp直接的終端打印包信息。
- tcpflow -cp
可以用-i制定特定網(wǎng)口 port制定特定端口,比如：
- sudo tcpflow -i eth0 port 80
3. wireshark和tshark
wireshark圖形界面工具估計很多同學都熟悉，限于篇幅，我們不再介紹。而要介紹的是wireshark的命令行兄弟tshark：
tshark安裝可以使用發(fā)行版包管理器安裝：
- sudo apt install tshark
- yum install wireshark
tshark使用很簡單，直接用命令啟動即可：
tshark和tcpdump一樣具有很強大的功能和各種過濾選項，本文不在詳細介紹，此處列出兩個常用的例子供大家參考：
抓包http協(xié)議流：
- tshark -s 512 -i eth0 -n -f 'tcp dst port 80' -R 'http.host and http.request.uri' -T fields -e http.host -e http.request.uri
解釋：
- -s: 捕獲前512字節(jié)的信息;
- -i: 捕獲eth0網(wǎng)卡;
- -n: 不對網(wǎng)絡對象進行轉義解釋;
- -f: 制定規(guī)則捕獲協(xié)議為tcp,目標端口80;
- -R: 篩選http.host和http.request.uri字段;
- -e:打印這兩個字段;
捕捉數(shù)據(jù)庫服務器上的，sql查詢語句，可以用來做數(shù)據(jù)庫審計：
- tshark -s 512 -i eth0 -n -f 'tcp dst port 3306' -R 'mysql.query' -T fields -e mysql.query
解釋：
- -R 'mysql.query':篩選出mysql.query字段
- -T fields -e mysql.query :打印該字段
Nagios網(wǎng)絡監(jiān)控
Nagios是領先的開源功能強大的監(jiān)控告警系統(tǒng)，可讓網(wǎng)絡/系統(tǒng)管理員在影響主要業(yè)務流程之前識別和解決與服務器相關的問題。使用Nagios系統(tǒng)，管理員可以在一個窗口中監(jiān)視遠程Linux，Windows，交換機，路由器和打印機。根據(jù)設置的閾值，對超標的主機和監(jiān)控項目進行告警，然后針對具體問題進行排查。。
Nagios有一個Web界面，其中有活動的圖形監(jiān)視器。界面 。如果在遠程計算機上，請用您的IP地址替換localhost。然后輸入用戶名并通過，然后，我們將看到如下所示的信息。
結論
本文蟲蟲給大家介紹了Linux在下的網(wǎng)絡監(jiān)控工具，每個工具都有其特定的功能和選項，要了解網(wǎng)絡信息、系統(tǒng)配置和網(wǎng)絡鏈接情況可以使用Netstat和SS，要了解哪個進程在消耗網(wǎng)絡帶寬，可以使用nethogs，而iftop可以顯示每個Socket連接的帶寬，nload等工具可以統(tǒng)計整體帶寬的使用情況，tcpdump、tcpflow和tshark可用來抓包分析。
