Cómo Monitorear el Uso de Red en Linux

Características de NetHogs

1. Monitoreo a nivel de proceso: NetHogs monitorea el tráfico de red a nivel de proceso, vinculando el uso de ancho de banda con los PIDs.
2. Actualizaciones en tiempo real: Proporciona información en tiempo real sobre la actividad de red, actualizando la pantalla cada segundo por defecto.
3. Tasa de actualización: Puedes ajustar la tasa de actualización usando la opción -d seguida del intervalo en segundos.
4. Opciones de ordenamiento: NetHogs te permite ordenar la salida por tráfico enviado o recibido usando la opción -s seguida de sent o recv.
5. Selección de interfaces: Por defecto, NetHogs monitorea todas las interfaces de red, pero puedes elegir una interfaz usando la opción -i seguida del nombre de la interfaz.

Ejemplos

Ejemplo 1: Encontrar un Proceso Usando Mucho Ancho de Banda

Si notas un aumento repentino en el tráfico de red en tu servidor Linux, para encontrar el proceso responsable del mayor uso de ancho de banda:

1. Ejecuta NetHogs en un terminal: sudo nethogs
2. Examina la salida y encuentra procesos con alto tráfico enviado o recibido.
3. Una vez que encuentres el proceso problemático, puedes investigarlo más y tomar medidas, como detener el proceso o cambiar su configuración.

Ejemplo 2: Monitorear Tráfico en una Interfaz

Si quieres monitorear el tráfico de red en una interfaz, como eth0:

1. Ejecuta NetHogs con la opción -i: sudo nethogs -i eth0
2. NetHogs mostrará el uso de ancho de banda para procesos usando la interfaz, facilitando enfocarse en el tráfico relevante.

Salida de NetHogs

| PID | USER     | PROGRAM                  | DEV  | SENT      | RECEIVED  |
|-----|----------|--------------------------|------|-----------|-----------|
| 1234| john     | /usr/bin/firefox         | eth0 | 500 KB/s  | 1.2 MB/s  |
| 5678| www-data | /usr/sbin/apache2        | eth0 | 250 KB/s  | 800 KB/s  |
| 9012| root     | /usr/sbin/sshd           | eth0 | 10 KB/s   | 5 KB/s    |

En esta salida, NetHogs muestra el PID, nombre de usuario, nombre del programa, dispositivo de red y uso de ancho de banda (enviado y recibido) para cada proceso. Esta información puede ayudarte a identificar rápidamente qué procesos están usando más ancho de banda y tomar medidas.

Características de nload

1. Monitoreo en tiempo real: nload actualiza la información de uso de red en tiempo real, proporcionando información actualizada sobre la actividad de red.
2. Visualización de tráfico: La herramienta muestra gráficos para el tráfico entrante y saliente directamente en la consola, facilitando detectar tendencias y anomalías.
3. Estadísticas de uso de ancho de banda: nload muestra el uso de red actual, promedio, mínimo y máximo, así como los datos totales transferidos.
4. Visualización personalizable: Puedes personalizar la visualización cambiando el intervalo de actualización y seleccionando las unidades para el ancho de banda (por ejemplo, bits, bytes, kilobits, megabits).
5. Monitoreo de múltiples dispositivos: nload puede monitorear múltiples interfaces de red al mismo tiempo, permitiéndote seguir la actividad de red en diferentes dispositivos.

Ejemplo de Uso

Para comenzar a monitorear el tráfico de red con nload, ejecuta el comando:

nload

Por defecto, nload mostrará información de uso de red para todas las interfaces de red disponibles. Para monitorear una interfaz específica, usa la opción -d seguida del nombre de la interfaz:

nload -d eth0

Para cambiar el intervalo de actualización, usa la opción -t seguida del intervalo deseado en milisegundos:

nload -t 1000

Este comando establecerá el intervalo de actualización a 1000 milisegundos (1 segundo).

Escenarios de la Vida Real

1. Solución de problemas de red: Cuando experimentas rendimiento de red lento o problemas de conectividad, nload puede ayudar a identificar si el problema está relacionado con alto uso de ancho de banda o congestión de red. Al monitorear el tráfico en tiempo real, puedes determinar si hay picos inusuales o períodos de alto uso sostenido que puedan estar causando el problema.

2. Planificación de capacidad: nload puede usarse para recopilar datos de uso de red a lo largo del tiempo, lo que puede ayudar en la planificación de capacidad. Al analizar el uso promedio y pico, puedes determinar si tu infraestructura de red actual es suficiente para manejar la carga o si son necesarias actualizaciones para acomodar el crecimiento futuro.

3. Detección de anomalías: Al monitorear regularmente el tráfico de red con nload, puedes establecer una línea base para el comportamiento normal de la red. Si notas cambios repentinos o patrones inusuales en el tráfico, puede indicar una posible violación de seguridad, como un ataque de denegación de servicio o intentos de acceso no autorizado.

Limitaciones

Aunque nload es una herramienta útil para monitorear el uso general de red, no proporciona información detallada sobre el consumo de ancho de banda de red por procesos individuales o identificadores de proceso (PIDs). Si necesitas analizar el uso de red a nivel de proceso, herramientas como NetHogs o iftop pueden ser más adecuadas.

Comandos de Ejemplo

Para mostrar todas las conexiones TCP activas y el proceso usando cada conexión:

netstat -atp

Esto podría mostrar:

Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 localhost:mysql         0.0.0.0:*               LISTEN      1234/mysqld         
tcp        0      0 0.0.0.0:http            0.0.0.0:*               LISTEN      5678/apache2        
tcp        0    316 192.168.1.5:ssh         203.0.113.10:12345      ESTABLISHED 9012/sshd: user

Para mostrar información de la tabla de enrutamiento:

netstat -r

Salida de ejemplo:

Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
default         192.168.1.1     0.0.0.0         UG        0 0          0 eth0
192.168.1.0     0.0.0.0         255.255.255.0   U         0 0          0 eth0

Para mostrar estadísticas de interfaz de red:

netstat -i

Salida de muestra:

Kernel Interface table
Iface      MTU    RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0      1500 12345678      0      1      2  8765432      0      0      0 BMRU
lo       65536  1234567      0      0      0  1234567      0      0      0 LRU

Al combinar estas opciones, puedes usar netstat para recopilar datos sobre tu uso de red y diagnosticar problemas.

Aplicaciones en el Mundo Real

Considera un servidor web que tiene tiempos de espera intermitentes cuando los clientes se conectan. Podrías usar netstat para:

1. Verificar si el proceso del servidor web está escuchando en el puerto correcto:

   netstat -anlp | grep :80
   

   Si ves una línea como tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 1234/apache2, el servidor web está escuchando en el puerto 80.

2. Buscar muchas conexiones en el estado TIME_WAIT, lo que podría significar un balanceador de carga mal configurado o clientes desconectándose incorrectamente:

   netstat -an | grep TIME_WAIT | wc -l
   

   Si este número es muy alto (por ejemplo, miles), sugiere que las conexiones no se están cerrando correctamente.

3. Monitorear la tasa de nuevas conexiones para ver si el servidor está sobrecargado:

   netstat -an | grep SYN_RECV | wc -l
   

   Muchas conexiones en el estado SYN_RECV podrían significar que el servidor está recibiendo solicitudes de conexión más rápido de lo que puede procesarlas.

Aunque netstat proporciona datos detallados, solo muestra una instantánea del estado actual de la red. Para monitoreo continuo, necesitarías ejecutar netstat periódicamente o usar una herramienta que se base en netstat, como netdata.

Además, aunque netstat puede mostrar nombres de procesos y PIDs usando la opción -p, herramientas como nethogs e iftop son mejores para monitorear el uso de ancho de banda por proceso o conexión a lo largo del tiempo.

netstat es una herramienta importante para cualquier administrador de sistemas o desarrollador de Linux que necesite entender y depurar el comportamiento de la red. Su capacidad para mostrar datos de conexión detallados, tablas de enrutamiento y estadísticas de interfaz la hacen valiosa para la solución de problemas. Al saber cómo usar netstat, puedes encontrar rápidamente fuentes de problemas de red y mantener tus sistemas funcionando correctamente.

Características de iftop

1. Monitoreo en tiempo real: iftop actualiza la información cada 2, 10 o 40 segundos, proporcionándote una vista casi en tiempo real del tráfico de red.
2. Uso de ancho de banda por conexión: iftop muestra el uso de ancho de banda de cada conexión, ayudándote a encontrar qué conexiones usan más ancho de banda.
3. Resolución de hosts: Por defecto, iftop resuelve direcciones IP a nombres de host, facilitando la identificación de los hosts en cada conexión.
4. Opciones de visualización: Puedes cambiar la visualización de iftop ordenando las conexiones por uso de ancho de banda, cambiando el modo de visualización y estableciendo el intervalo de actualización de pantalla.
5. Filtrado: iftop te permite filtrar las conexiones por host de origen o destino, red o puerto.

Ejemplos

Ejemplo 1: Monitorear una Interfaz

Para monitorear el uso de ancho de banda en una interfaz, como eth0, ejecuta:

sudo iftop -i eth0

Este comando mostrará el uso de ancho de banda en tiempo real para cada conexión en la interfaz eth0.

Ejemplo 2: Encontrar Conexiones de Alto Ancho de Banda

Para encontrar qué conexiones usan más ancho de banda:

1. Ejecuta iftop: sudo iftop
2. Presiona s para ordenar las conexiones por uso de ancho de banda, con el uso más alto en la parte superior.
3. Examina las conexiones en la parte superior de la lista para ver qué hosts están involucrados y cuánto ancho de banda usan.

Por ejemplo, si ves una conexión entre tu servidor web y un cliente usando mucho ancho de banda, podría significar que el cliente está descargando un archivo grande o podría haber un problema con la aplicación causando demasiada transferencia de datos.

Ejemplo 3: Usar iftop con netstat

Para encontrar los procesos causando alto uso de ancho de banda:

1. Ejecuta iftop y encuentra las conexiones de alto ancho de banda como se muestra en el Ejemplo 2.
2. Anota las direcciones IP de origen y destino y los puertos para las conexiones que quieres verificar.
3. En otro terminal, ejecuta sudo netstat -anp | grep <ip>:<port>, reemplazando <ip> y <port> con los valores del paso 2.
4. La salida mostrará el ID de proceso (PID) y nombre responsable de la conexión.

Por ejemplo, si encuentras que una conexión entre tu servidor y un host remoto está usando mucho ancho de banda, puedes usar netstat para encontrar qué proceso en tu servidor es responsable. Esto puede ayudarte a ver si el uso de ancho de banda es normal (por ejemplo, un proceso de respaldo o una transferencia de archivo grande) o si apunta a un problema (por ejemplo, malware o una aplicación mal configurada).

Salida de iftop

                   1.2Mb            2.4Mb            3.6Mb            4.8Mb       6.0Mb
└─────────────────┴───────────────┴───────────────┴───────────────┴───────────────
localhost                                        => example.com                      1.08Mb  1.08Mb  1.08Mb
                                                 <=                                  2.55Mb  2.55Mb  2.55Mb
localhost                                        => example.org                        0Kb   676Kb   442Kb
                                                 <=                                   68Kb   102Kb    68Kb

En esta salida, iftop muestra el uso de ancho de banda para cada conexión, con el host de origen a la izquierda y el host de destino a la derecha. Las flechas muestran la dirección del tráfico, y las tres columnas a la derecha muestran el uso promedio de ancho de banda durante los últimos 2, 10 y 40 segundos.

Entendiendo la Salida de iftop

La tabla anterior muestra cómo entender la salida de iftop. Para cada conexión, puedes ver los hosts de origen y destino, así como el uso promedio de ancho de banda saliente y entrante durante los últimos 2, 10 y 40 segundos. Esta información puede ayudarte a encontrar qué conexiones usan más ancho de banda y en qué dirección va el tráfico.

Limitaciones

Aunque iftop es útil para monitorear el uso de ancho de banda de red por conexión, tiene algunos límites:

1. Necesita privilegios de root: iftop requiere privilegios de root para escuchar el tráfico de red, lo que puede no ser ideal en todos los entornos.
2. No muestra información a nivel de proceso: A diferencia de herramientas como NetHogs, iftop no muestra directamente qué procesos son responsables del tráfico de red. Sin embargo, puedes usar iftop con otras herramientas como netstat para obtener esta información, como se muestra en el Ejemplo 3.
3. Opciones de filtrado limitadas: Aunque iftop permite filtrar por host, red y puerto, no ofrece opciones de filtrado más avanzadas, como filtrar por protocolo o tamaño de paquete.

Instalación de speedometer

Para instalar speedometer en distribuciones basadas en Debian, usa apt:

sudo apt install speedometer

En distribuciones basadas en Red Hat, speedometer está disponible en el repositorio EPEL:

sudo yum install epel-release
sudo yum install speedometer

Uso de speedometer

Para comenzar a monitorear el tráfico de red con speedometer, usa el comando:

speedometer -r eth0 -t eth0

Este comando mostrará dos gráficos: uno para el tráfico entrante (-r) y uno para el tráfico saliente (-t) en la interfaz eth0.

Personalización de la Visualización

speedometer te permite personalizar la visualización de varias maneras:

Por ejemplo, para mostrar el tráfico entrante y saliente en eth0 con un intervalo de 2 segundos y una escala fija de 10 Mbps:

speedometer -r eth0 -t eth0 -i 2 -s 10M

Visualización de Múltiples Interfaces

Una de las ventajas de speedometer sobre nload es la capacidad de mostrar múltiples gráficos uno al lado del otro para diferentes interfaces. Para monitorear el tráfico en múltiples interfaces simultáneamente, especifica cada interfaz con su propia opción -r o -t:

speedometer -r eth0 -t eth0 -r wlan0 -t wlan0

Este comando mostrará cuatro gráficos: tráfico entrante y saliente para eth0 y wlan0.

Ejemplos de la Vida Real

Monitoreo de un Servidor Web

Supongamos que tienes un servidor web con dos interfaces de red: eth0 para tráfico entrante y eth1 para tráfico saliente. Para monitorear el uso de ancho de banda en ambas interfaces, puedes usar el siguiente comando:

speedometer -r eth0 -t eth1 -i 5 -s 100M

Esto mostrará dos gráficos, uno para el tráfico entrante en eth0 y uno para el tráfico saliente en eth1, actualizados cada 5 segundos con una escala fija de 100 Mbps. Esta configuración te permite ver rápidamente si el servidor está alcanzando sus límites de ancho de banda y tomar medidas si es necesario.

Comparación de Interfaces Cableadas e Inalámbricas

Si tienes una laptop con interfaces cableadas (eth0) e inalámbricas (wlan0), puedes usar speedometer para comparar su rendimiento:

speedometer -r eth0 -t eth0 -r wlan0 -t wlan0 -i 2 -s auto

Este comando mostrará cuatro gráficos, mostrando el tráfico entrante y saliente para ambas interfaces, actualizados cada 2 segundos con una escala automática. Al comparar los gráficos, puedes ver qué interfaz es más rápida y estable, ayudándote a decidir cuál usar para tareas que requieren mucho ancho de banda.

Casos de Uso

1. Monitoreo de ancho de banda del servidor: Al ejecutar speedometer en un servidor Linux, puedes ver rápidamente el uso de red actual e identificar si alguna interfaz está cerca de sus límites. Esto puede ayudarte a tomar decisiones sobre actualizar la infraestructura de red u optimizar aplicaciones.

2. Solución de problemas de red: Si los usuarios reportan rendimiento de red lento, ejecutar speedometer puede ayudarte a ver si alguna interfaz está saturada con tráfico. Luego puedes investigar más para encontrar la causa del alto uso (por ejemplo, un trabajo de respaldo, una aplicación que funciona mal o una violación de seguridad).

3. Comparación de rendimiento de interfaces: Al mostrar gráficos para múltiples interfaces de red uno al lado del otro, speedometer facilita comparar su rendimiento relativo. Esto puede ser útil al balancear la carga del tráfico en múltiples enlaces o al diagnosticar problemas con una interfaz específica.

Aunque speedometer proporciona una visualización más personalizable que nload, todavía carece de algunas características encontradas en otras herramientas. Al igual que nload, speedometer no desglosa el tráfico por conexión o proceso, por lo que es menos útil para encontrar fuentes específicas de actividad de red. Herramientas como iftop y nethogs son más adecuadas para esos casos de uso.

Escenarios de la Vida Real

1. Identificación de principales consumidores: Al usar NetFlow para monitorear flujos de tráfico, los administradores pueden identificar los principales consumidores en la red - los hosts, aplicaciones o usuarios que usan más ancho de banda. Esta información puede ayudar en la planificación de capacidad, solucionar problemas de rendimiento y aplicar políticas de uso de red.

   Por ejemplo, un administrador en una universidad nota que la red está lenta durante las horas pico. Al analizar los datos de NetFlow, encuentran que un pequeño grupo de estudiantes está usando una gran cantidad de ancho de banda al transmitir video de alta definición. El administrador puede entonces trabajar con los estudiantes para encontrar otras soluciones, como usar un servidor de medios local o limitar la calidad del video durante las horas pico.

2. Detección de ataques DDoS: NetFlow puede ayudar a detectar ataques de denegación de servicio distribuido (DDoS) al identificar picos inusuales de tráfico desde múltiples fuentes. Al establecer umbrales y alertas en un analizador de NetFlow, los administradores pueden responder rápidamente a los ataques y tomar medidas para reducir su impacto.

   Por ejemplo, una empresa tiene un aumento repentino de tráfico que sobrecarga sus servidores web. Al analizar los datos de NetFlow, el equipo de seguridad identifica un gran número de flujos entrantes desde un rango de direcciones IP, indicando un ataque DDoS. Implementan rápidamente reglas de filtrado de tráfico para bloquear los flujos maliciosos y restaurar la operación normal.

3. Optimización del rendimiento de aplicaciones: NetFlow puede proporcionar información sobre los patrones de tráfico de aplicaciones, ayudando a los administradores a entender cómo se está usando el ancho de banda por diferentes aplicaciones. Esta información puede usarse para priorizar aplicaciones críticas, ajustar configuraciones de Calidad de Servicio (QoS) y asegurar que las aplicaciones tengan suficiente ancho de banda para funcionar correctamente.

   Por ejemplo, un centro de llamadas depende de un sistema de Voz sobre IP (VoIP) para manejar las llamadas de clientes. Al monitorear los datos de NetFlow, el equipo de TI nota que el tráfico de VoIP está compitiendo con tráfico menos crítico, resultando en mala calidad de llamadas. Usan esta información para ajustar la configuración de QoS, priorizando el tráfico de VoIP sobre otros tipos de tráfico para asegurar una mejor experiencia de usuario.

4. Planificación de capacidad: Al analizar los datos de NetFlow a lo largo del tiempo, los administradores pueden identificar tendencias en el uso de la red y planificar las necesidades futuras de capacidad. Por ejemplo, si el tráfico a una aplicación o servidor en particular está creciendo consistentemente, puede ser necesario ancho de banda adicional o recursos de hardware para evitar cuellos de botella de rendimiento.

   Por ejemplo, una empresa de comercio electrónico monitorea su tráfico de red usando NetFlow y nota un aumento constante en el tráfico a sus servidores web durante varios meses. Al extrapolar esta tendencia, pueden estimar cuándo necesitarán agregar más capacidad de servidor para manejar la carga aumentada y presupuestar en consecuencia.