服务器带宽跑满如何处理呢

本文目录导读：

1. 第一步：紧急止血（避免服务完全瘫痪）
2. 第二步：快速诊断（定位根因）
3. 第三步：治本策略（长期解决方案）
4. 总结：一个清晰的行动清单（快速操作版）

服务器带宽跑满是一个常见的运维问题，会导致用户访问缓慢、丢包甚至服务中断，处理思路通常是先止血，再排查，最后治本。

以下是分步骤的处理方案：

第一步：紧急止血（避免服务完全瘫痪）

当带宽被瞬间打满时，不要盲目重启服务器,先做以下操作：

1. 临时限速（限流）

   • 登录服务器，使用 tc（traffic control，流量控制）命令限制特定端口或IP的带宽。

   • 对单IP限速（如限制下载速度为10Mbps）：

     tc qdisc add dev eth0 root handle 1: htb default 30
     tc class add dev eth0 parent 1: classid 1:1 htb rate 100mbit # 总带宽100M
     tc class add dev eth0 parent 1:1 classid 1:10 htb rate 10mbit ceil 10mbit # 限制单个IP 10M
     tc filter add dev eth0 parent 1:0 protocol ip prio 1 u32 match ip src 192.168.1.100 flowid 1:10

     或用更简单的工具如 wondershaper（即时生效，重启失效）。

   • 应用层限流： 在 Nginx 中设置 limit_rate 或 limit_conn,限制单位时间的请求数。

2. 切断异常流量（封禁IP）

   • 使用 iftop 或 nethogs 快速找到占用带宽最高的源IP。
   • 临时封禁：

     iptables -A INPUT -s 异常IP -j DROP   # 丢弃该IP数据包
     # 或使用更灵活的ipset:
     ipset create blacklist hash:ip
     ipset add blacklist 异常IP
     iptables -A INPUT -m set --match-set blacklist src -j DROP

3. 云服务器操作（如果使用云服务商）

   • 开启CDN或高防IP： 直接通过云厂商的控制台购买或启用DDoS高防服务,将攻击流量引流清洗。
   • 调整安全组： 在云控制台的安全组中，临时只允许自己办公的IP访问关键端口（如SSH、数据库）,拒绝其他所有流量。

第二步：快速诊断（定位根因）

止血后，需要查明是谁在消耗带宽（业务流量 vs 攻击流量 vs 误操作）。

1. 查看实时流量排行

   • iftop -i eth0 -P：按 1 或 2 键切换排序，按 Shift+P 显示端口。
   • nethogs eth0：按进程/程序名排序，能看出是 nginx、php 还是 python 进程在跑带宽。

2. 判断流量类型

   • 业务流量（正常峰值）： 流量集中在你的业务端口（如 80/443），来源IP分散，且符合用户访问规律（如晚高峰）。
   • CC攻击（应用层）：大量对同一个URL的请求，User-Agent异常,平均IP请求量极高。
   • DDoS攻击（网络层）：流量从多个源发向固定端口，通常是UDP洪水或SYN洪水（可使用 tcpdump 抓包查看）。
   • P2P或挖矿程序： 服务器被入侵植入恶意软件，进程隐藏在系统后台,流量持续且不规律。

3. 查看日志

   • 检查 nginx/access.log、apache/access_log 或云服务商的日志服务,找出请求频率最高的IP和URL路径。
   • tail -f /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -nr | head -20

第三步：治本策略（长期解决方案）

根据诊断结果,采取不同的解决方案：

一个清晰的行动清单（快速操作版）

1. 第一反应： 登录服务器，运行 iftop 看谁在吃带宽。
2. 紧急操作（根据结果）：
   • 如果是攻击：iptables -A INPUT -s 攻击IP -j DROP 或上云防火墙封堵IP段。
   • 如果是正常突发：立即开启CDN,或联系云服务商临时提升带宽。
3. 查日志： tail -100 /var/log/nginx/access.log | awk '{print $1}' 结合 sort 找出高频IP。
4. 检查进程： top 或 htop,看是否有不认识的进程在狂跑。
5. 长期预防：
   • 给服务器安装安全防护（如云厂商的云安全中心）。
   • 配置防火墙（仅开放业务所需端口）。
   • 为重要服务绑定高防IP。

最后提醒： 如果服务器已经无法远程登录（带宽耗尽导致SSH超时），可以尝试通过云服务商的控制面板的VNC（虚拟网络计算）控制台 或救援模式 进入，或者直接强制重启，如果重启后仍是满带宽，则大概率是系统已中毒或被持续攻击，建议直接重装系统并恢复数据。

标签： 故障排查