مقدمه

مصرف ترافیک یکی از مهم‌ترین مواردی است که مدیران سرورهای لینوکسی باید آن را زیر نظر داشته باشند. اگر ترافیک یک سرور به‌صورت ناگهانی افزایش پیدا کند، ممکن است هزینه سرویس افزایش یابد، سرعت شبکه کاهش پیدا کند یا حتی نشانه‌ای از وجود یک مشکل امنیتی باشد.

برای مثال، فرض کنید یک سرور لینوکسی دارید که روی آن یک سایت، سرویس دانلود یا چند ماشین مجازی اجرا می‌شود. اگر متوجه شوید سرور در یک روز چند صد گیگابایت ترافیک مصرف کرده است، اولین سؤال این است که این ترافیک از کجا آمده و کدام سرویس بیشترین مصرف را داشته است.

خوشبختانه لینوکس ابزارهای مختلفی برای بررسی مصرف ترافیک دارد. با استفاده از ابزارهایی مانند ip، ss و vnstat می‌توان مقدار ترافیک ورودی و خروجی، وضعیت کارت شبکه، اتصال‌های فعال و مصرف ترافیک در بازه‌های زمانی مختلف را بررسی کرد. هسته لینوکس نیز آمار دریافت و ارسال اطلاعات را برای رابط‌های شبکه در اختیار سیستم قرار می‌دهد.

در این مقاله روش‌های کاربردی بررسی مصرف ترافیک در سرور لینوکسی را به زبان ساده بررسی می‌کنیم.

ترافیک سرور لینوکسی چیست؟

هر اطلاعاتی که از طریق شبکه وارد سرور یا از آن خارج می‌شود، بخشی از ترافیک شبکه محسوب می‌شود.

ترافیک معمولاً به دو بخش اصلی تقسیم می‌شود:

ترافیک ورودی (RX): اطلاعاتی که از شبکه وارد سرور می‌شود.

ترافیک خروجی (TX): اطلاعاتی که سرور به شبکه ارسال می‌کند.

برای مثال، وقتی یک کاربر یک فایل 1 گیگابایتی را از سرور دانلود می‌کند، تقریباً 1 گیگابایت ترافیک خروجی برای سرور ایجاد می‌شود.

در مقابل، زمانی که کاربر فایلی را روی سرور آپلود می‌کند، اطلاعات وارد سرور شده و ترافیک ورودی ایجاد می‌شود.

البته در عمل مقدار واقعی مصرف ممکن است به دلیل سربار پروتکل‌های شبکه و نحوه محاسبه شرکت ارائه‌دهنده سرور با مقدار فایل دقیقاً یکسان نباشد.

چرا باید مصرف ترافیک سرور را بررسی کنیم؟

بررسی ترافیک فقط برای اطلاع از میزان مصرف اینترنت نیست. این کار می‌تواند به شناسایی مشکلات مختلف کمک کند.

برای مثال، افزایش ناگهانی ترافیک ممکن است به دلیل موارد زیر باشد:

• افزایش بازدید سایت
• دانلود یا آپلود فایل‌های حجیم
• پشتیبان‌گیری از سرور
• انتقال اطلاعات بین سرورها
• استفاده زیاد کاربران از یک سرویس
• ارسال یا دریافت اطلاعات توسط Docker
• فعالیت ماشین‌های مجازی
• حملات شبکه‌ای
• وجود بدافزار یا سرویس ناشناس
• تنظیمات اشتباه یک برنامه
• ایجاد یک حلقه یا ارتباط غیرعادی بین سرویس‌ها

بنابراین بهتر است مصرف ترافیک سرور به‌صورت منظم بررسی و ثبت شود.

مشاهده مصرف ترافیک با دستور ip

یکی از ساده‌ترین روش‌ها برای مشاهده آمار کارت‌های شبکه در لینوکس استفاده از دستور ip است.

ابتدا می‌توان رابط‌های شبکه سرور را مشاهده کرد:

ip link

ممکن است خروجی چیزی شبیه موارد زیر باشد:

lo
ens18
eth0

نام کارت شبکه در هر سرور می‌تواند متفاوت باشد.

برای مشاهده آمار دریافت و ارسال اطلاعات یک کارت شبکه می‌توان از دستور زیر استفاده کرد:

ip -s link show ens18

در خروجی معمولاً بخش‌هایی با عنوان RX و TX مشاهده می‌شود.

RX مربوط به اطلاعات دریافتی و TX مربوط به اطلاعات ارسالی است. آمار رابط‌های شبکه لینوکس شامل تعداد بایت‌ها، تعداد بسته‌ها، خطاها و موارد دیگری است که توسط کرنل نگهداری می‌شوند.

برای مشاهده اطلاعات کامل‌تر نیز می‌توان از دستور زیر استفاده کرد:

ip -s -s link show ens18

اگر نام کارت شبکه سرور شما eth0 باشد، دستور به شکل زیر خواهد بود:

ip -s -s link show eth0

این روش برای بررسی سریع وضعیت فعلی و مجموع آمار کارت شبکه بسیار مناسب است.

بررسی اطلاعات از /proc/net/dev

لینوکس اطلاعات آماری رابط‌های شبکه را در فایل /proc/net/dev نیز در اختیار سیستم قرار می‌دهد. این فایل شامل اطلاعاتی مانند تعداد بایت‌ها و بسته‌های دریافت‌شده و ارسال‌شده و برخی خطاهای شبکه است.

برای مشاهده آن کافی است اجرا کنید:

cat /proc/net/dev

نمونه ساده خروجی:

Inter-| Receive | Transmit
 face |bytes packets|bytes packets
eth0: 125000000 10000 980000000 12000

در این مثال:

• مقدار Receive bytes مقدار اطلاعات دریافت‌شده است.
• مقدار Transmit bytes مقدار اطلاعات ارسال‌شده است.
• packets تعداد بسته‌های شبکه را نشان می‌دهد.

این روش برای بررسی مستقیم آمار ثبت‌شده توسط سیستم بسیار ساده و سریع است.

بررسی مصرف ترافیک به‌صورت روزانه و ماهانه با vnStat

اگر فقط بخواهیم بدانیم در همین لحظه چه مقدار اطلاعات در حال انتقال است، دستور ip کافی است.

اما اگر بخواهیم بدانیم سرور در یک روز، هفته یا ماه چه مقدار ترافیک مصرف کرده است، استفاده از vnStat بسیار کاربردی‌تر است.

vnStat یک ابزار مانیتورینگ ترافیک شبکه است که اطلاعات مصرف ترافیک را به‌صورت ساعتی، روزانه و ماهانه ثبت می‌کند. این ابزار برای بررسی تاریخچه مصرف ترافیک طراحی شده و برخلاف Packet Snifferها برای مشاهده محتوای بسته‌ها استفاده نمی‌شود.

در سیستم‌های مبتنی بر Debian و Ubuntu می‌توان آن را با دستور زیر نصب کرد:

apt update
apt install vnstat

در سیستم‌های مبتنی بر RHEL، AlmaLinux و Rocky Linux معمولاً می‌توان از مدیر بسته سیستم برای نصب آن استفاده کرد.

پس از نصب، ابتدا رابط‌های شبکه موجود را بررسی کنید:

vnstat --iflist

فرض کنیم رابط موردنظر eth0 است.

برای مشاهده اطلاعات آن:

vnstat -i eth0

برای مشاهده مصرف روزانه:

vnstat -d -i eth0

برای مشاهده مصرف ماهانه:

vnstat -m -i eth0

و برای مشاهده مصرف ساعتی:

vnstat -h -i eth0

این اطلاعات برای مدیران سرور بسیار ارزشمند است؛ زیرا به جای مشاهده یک عدد لحظه‌ای، می‌توان روند مصرف ترافیک را در طول زمان بررسی کرد.

تفاوت مصرف لحظه‌ای و مصرف کلی ترافیک

یکی از نکات مهم در بررسی ترافیک این است که سرعت انتقال اطلاعات را با حجم مصرفی اشتباه نگیریم.

برای مثال:

100 Mbps

نشان‌دهنده سرعت انتقال اطلاعات است.

اما:

100 GB

نشان‌دهنده حجم اطلاعات منتقل‌شده است.

ممکن است یک سرور در یک لحظه سرعت بسیار بالایی داشته باشد، اما در پایان ماه مصرف کلی آن پایین باشد.

همچنین ممکن است یک سرور با سرعت متوسط، به دلیل فعالیت مداوم در تمام شبانه‌روز، حجم بسیار زیادی ترافیک مصرف کند.

مشاهده اتصال‌های فعال با ss

اگر مصرف ترافیک سرور افزایش پیدا کرده باشد، فقط دانستن مقدار مصرف کافی نیست. باید بررسی کنیم چه اتصال‌هایی روی سرور فعال هستند.

ابزار ss برای بررسی Socketها و اتصال‌های شبکه در لینوکس استفاده می‌شود و اطلاعاتی درباره اتصال‌های TCP و سایر Socketها ارائه می‌کند.

برای مشاهده اتصال‌های فعال می‌توان از دستور زیر استفاده کرد:

ss -tunap

گزینه‌های این دستور به‌طور خلاصه عبارت‌اند از:

• t برای TCP
• u برای UDP
• n برای نمایش عددی آدرس‌ها و پورت‌ها
• a برای نمایش اتصال‌های فعال و در حال Listen
• p برای نمایش پردازش مرتبط با اتصال

اگر تعداد زیادی اتصال غیرعادی مشاهده کردید، بهتر است پورت، آدرس مقصد و برنامه‌ای که اتصال را ایجاد کرده بررسی شود.

پیدا کردن پورت‌هایی که در حال Listen هستند

گاهی اوقات یک سرویس ناشناس باعث ایجاد ترافیک می‌شود.

برای مشاهده پورت‌های در حال Listen می‌توانید از دستور زیر استفاده کنید:

ss -lntup

خروجی به شما نشان می‌دهد چه سرویس‌هایی روی چه پورت‌هایی در حال گوش دادن هستند.

برای مثال ممکن است سرویس‌های زیر را مشاهده کنید:

22    SSH
80    HTTP
443   HTTPS
3306  MySQL

اگر پورتی را مشاهده کردید که وجود آن برایتان مشخص نیست، بهتر است قبل از بستن آن، سرویس مربوط به آن را شناسایی کنید.

چگونه بفهمیم کدام برنامه ترافیک زیادی مصرف می‌کند؟

آمار کارت شبکه به ما می‌گوید چه مقدار اطلاعات وارد یا خارج شده است، اما معمولاً نمی‌گوید دقیقاً کدام برنامه بیشترین حجم را مصرف کرده است.

برای بررسی دقیق‌تر می‌توان از ابزارهای مانیتورینگ شبکه استفاده کرد.

ابزارهایی مانند iftop می‌توانند ارتباطات شبکه را به‌صورت زنده نمایش دهند و برای پیدا کردن مقصدهایی که بیشترین حجم ارتباط را دارند بسیار مفید هستند.

برای نصب در Ubuntu و Debian:

apt install iftop

سپس:

iftop -i eth0

اگر نام کارت شبکه شما متفاوت است، به جای eth0 نام صحیح را وارد کنید.

این روش مخصوصاً زمانی مفید است که مصرف ترافیک همین حالا در حال افزایش باشد و بخواهید منبع آن را سریع پیدا کنید.

بررسی مصرف ترافیک در سرورهای وب

در سرورهای هاستینگ، یکی از رایج‌ترین منابع مصرف ترافیک، وب‌سایت‌ها هستند.

فرض کنید یک فایل 2 گیگابایتی روی سرور قرار دارد و کاربران آن را 100 بار دانلود کنند.

در ساده‌ترین حالت:

2 GB × 100 = 200 GB

ترافیک خروجی ایجاد می‌شود.

بنابراین اگر سرور برای میزبانی فایل، ویدئو، تصویر یا دانلود استفاده می‌شود، افزایش ترافیک لزوماً به معنی وجود مشکل نیست.

در چنین شرایطی بهتر است علاوه بر آمار کارت شبکه، لاگ‌های وب‌سرور مانند Apache یا Nginx نیز بررسی شوند تا مشخص شود چه URLهایی بیشترین درخواست را دریافت کرده‌اند.

بررسی مصرف ترافیک در Docker

اگر روی سرور Docker اجرا می‌شود، بخشی از ترافیک ممکن است مربوط به Containerها باشد.

برای مشاهده وضعیت کلی Containerها می‌توانید از دستور زیر استفاده کنید:

docker stats

برای بررسی شبکه Containerها نیز می‌توان شبکه‌های Docker را مشاهده کرد:

docker network ls

و سپس در صورت نیاز جزئیات شبکه موردنظر را بررسی کرد:

docker network inspect NETWORK_NAME

در سرورهایی که تعداد زیادی Container دارند، بررسی ترافیک بدون در نظر گرفتن شبکه Docker ممکن است باعث شود علت اصلی مصرف بالا مشخص نشود.

بررسی ترافیک در سرورهای مجازی

در سرورهای مجازی، باید مشخص شود آمار ترافیک در کدام لایه اندازه‌گیری می‌شود.

برای مثال در یک زیرساخت مجازی‌سازی ممکن است ترافیک از این مسیر عبور کند:

کاربر
   ↓
شبکه
   ↓
Hypervisor
   ↓
ماشین مجازی
   ↓
سیستم‌عامل لینوکس
   ↓
سرویس

در این شرایط ممکن است آمار داخل لینوکس با آماری که در پنل مجازی‌سازی یا دیتاسنتر مشاهده می‌کنید دقیقاً یکسان نباشد.

به همین دلیل هنگام بررسی مصرف ترافیک باید مشخص باشد که معیار اندازه‌گیری مربوط به کارت شبکه داخل ماشین مجازی است یا رابط شبکه روی Hypervisor.

تفاوت ترافیک ورودی و خروجی در هاستینگ

برای شرکت‌های هاستینگ، تفکیک ترافیک ورودی و خروجی اهمیت زیادی دارد.

برای مثال، اگر یک مشتری فایل بزرگی را روی سرور آپلود کند، حجم زیادی از ترافیک ورودی ایجاد می‌شود.

اما اگر همان فایل را صدها کاربر دانلود کنند، ترافیک خروجی بسیار بیشتری ایجاد خواهد شد.

به همین دلیل هنگام بررسی یک مصرف غیرعادی باید هر دو مقدار RX و TX بررسی شوند.

اگر مقدار TX به‌شدت افزایش یافته باشد، مواردی مانند دانلود فایل، پخش ویدئو، CDN، Backup خروجی یا ارسال اطلاعات به سرورهای دیگر می‌توانند از عوامل آن باشند.

اگر مقدار RX افزایش زیادی داشته باشد، آپلود فایل، Backup ورودی، دریافت اطلاعات از سرورهای دیگر یا برخی حملات شبکه‌ای می‌توانند از دلایل احتمالی باشند.

چرا مصرف ناگهانی ترافیک می‌تواند مهم باشد؟

افزایش ناگهانی ترافیک همیشه به معنی حمله نیست، اما باید بررسی شود.

برای مثال اگر سروری معمولاً روزانه 20 گیگابایت ترافیک دارد و ناگهان در یک روز 500 گیگابایت مصرف می‌کند، بهتر است علت مشخص شود.

بررسی را می‌توان از این موارد شروع کرد:

ابتدا مصرف کلی را بررسی کنید:

vnstat

سپس رابط شبکه را بررسی کنید:

ip -s link

بعد اتصال‌های فعال را بررسی کنید:

ss -tunap

در صورت ادامه داشتن مصرف بالا، ارتباطات شبکه را به‌صورت لحظه‌ای بررسی کنید:

iftop -i eth0

در نهایت لاگ سرویس‌هایی مانند Nginx، Apache، Docker و سایر برنامه‌های فعال را بررسی کنید.

تبدیل بایت به مگابایت و گیگابایت

گاهی خروجی ابزارهای لینوکس به صورت Byte نمایش داده می‌شود.

برای تبدیل تقریبی:

1 KB = 1024 Byte
1 MB = 1024 KB
1 GB = 1024 MB

بنابراین اگر مقدار زیر را مشاهده کنید:

1073741824 Byte

تقریباً برابر با:

1 GB

است.

البته شرکت‌های ارائه‌دهنده اینترنت و دیتاسنترها ممکن است حجم ترافیک را با روش‌های متفاوتی محاسبه کنند؛ بنابراین برای مقایسه صورتحساب، باید واحد و روش محاسبه ارائه‌دهنده را نیز در نظر گرفت.

بهترین روش برای مانیتورینگ دائمی ترافیک

برای یک سرور ساده، استفاده از vnStat می‌تواند یک روش سبک و کاربردی برای ثبت تاریخچه مصرف باشد.

برای سرورهای مهم‌تر می‌توان از سیستم‌های مانیتورینگ حرفه‌ای استفاده کرد تا اطلاعاتی مانند مصرف شبکه، CPU، RAM، Disk و وضعیت سرویس‌ها در یک داشبورد ثبت شود.

مزیت مانیتورینگ دائمی این است که لازم نیست مدیر سرور هر روز به‌صورت دستی وارد سرور شود و دستورات مختلف را اجرا کند.

همچنین می‌توان برای افزایش غیرعادی مصرف، هشدار تعریف کرد تا مدیر سیستم قبل از ایجاد مشکل جدی مطلع شود.

اشتباهات رایج هنگام بررسی مصرف ترافیک

یکی از اشتباهات رایج این است که فقط سرعت لحظه‌ای شبکه بررسی شود. سرعت لحظه‌ای نمی‌تواند میزان مصرف ماهانه را مشخص کند.

اشتباه دیگر این است که فقط خروجی کارت شبکه بررسی شود و اتصال‌های فعال یا سرویس‌های مربوطه بررسی نشوند.

همچنین نباید هر افزایش مصرفی را به‌سرعت به حمله نسبت داد. ممکن است افزایش ترافیک کاملاً طبیعی و ناشی از افزایش کاربران یا دانلود فایل باشد.

از طرف دیگر، نباید افزایش بسیار غیرعادی را نیز نادیده گرفت. اگر مصرف بدون دلیل مشخص چندین برابر شود، بررسی لاگ‌ها، پردازش‌ها و اتصال‌های شبکه ضروری است.

چک لیست

برای بررسی مصرف ترافیک یک سرور لینوکسی بهتر است این مراحل را به ترتیب انجام دهید:

1. نام کارت شبکه را پیدا کنید.
2. مقدار RX و TX را با دستور ip بررسی کنید.
3. مصرف روزانه و ماهانه را با vnStat مشاهده کنید.
4. اتصال‌های فعال را با ss بررسی کنید.
5. پورت‌های در حال Listen را شناسایی کنید.
6. در صورت مصرف غیرعادی، ارتباطات لحظه‌ای را با ابزارهایی مانند iftop بررسی کنید.
7. لاگ‌های وب‌سرور و سرویس‌های فعال را بررسی کنید.
8. در صورت استفاده از Docker، Containerها و شبکه‌های Docker را نیز بررسی کنید.
9. در سرورهای مجازی، آمار داخل ماشین مجازی را با آمار Hypervisor و دیتاسنتر مقایسه کنید.
10. برای سرورهای مهم، ثبت دائمی اطلاعات و هشدار مصرف غیرعادی را فعال کنید.

جمع بندی

بررسی مصرف ترافیک سرور لینوکسی یکی از کارهای مهم در مدیریت سرور و زیرساخت هاستینگ است. این کار به مدیر سیستم کمک می‌کند میزان مصرف واقعی شبکه را بشناسد و در صورت مشاهده رفتار غیرعادی، علت آن را سریع‌تر پیدا کند.

برای بررسی سریع آمار کارت شبکه می‌توان از دستور ip استفاده کرد. فایل /proc/net/dev نیز آمار پایه رابط‌های شبکه را در اختیار سیستم قرار می‌دهد. برای مشاهده تاریخچه مصرف روزانه و ماهانه، vnStat گزینه‌ای سبک و کاربردی است. همچنین ss برای بررسی اتصال‌های شبکه و ابزارهایی مانند iftop برای مشاهده ارتباطات لحظه‌ای مفید هستند.

نکته مهم این است که هیچ ابزار واحدی به‌تنهایی همیشه علت مصرف بالای ترافیک را مشخص نمی‌کند. بهترین نتیجه زمانی به دست می‌آید که آمار کارت شبکه، تاریخچه مصرف، اتصال‌های فعال، سرویس‌های در حال اجرا و لاگ‌های سرور در کنار یکدیگر بررسی شوند.

با چنین روشی می‌توان مصرف ترافیک سرور را بهتر کنترل کرد، هزینه‌های غیرمنتظره را کاهش داد و مشکلات احتمالی شبکه یا سرویس‌ها را پیش از تبدیل شدن به یک مشکل جدی شناسایی کرد.