Comment surveiller l'utilisation du réseau Linux

Fonctionnalités de NetHogs

1. Surveillance au niveau des processus : NetHogs surveille le trafic réseau au niveau des processus, en liant l'utilisation de la bande passante aux PID.
2. Mises à jour en temps réel : Il fournit des informations en temps réel sur l'activité réseau, mettant à jour l'affichage chaque seconde par défaut.
3. Taux de rafraîchissement : Vous pouvez ajuster le taux de rafraîchissement à l'aide de l'option -d suivie de l'intervalle en secondes.
4. Options de tri : NetHogs vous permet de trier la sortie par trafic envoyé ou reçu à l'aide de l'option -s suivie de sent ou recv.
5. Sélection des interfaces : Par défaut, NetHogs surveille toutes les interfaces réseau, mais vous pouvez choisir une interface à l'aide de l'option -i suivie du nom de l'interface.

Exemples

Exemple 1 : Trouver un processus utilisant beaucoup de bande passante

Si vous remarquez une augmentation soudaine du trafic réseau sur votre serveur Linux, pour trouver le processus responsable de l'augmentation de l'utilisation de la bande passante :

1. Exécutez NetHogs dans un terminal : sudo nethogs
2. Examinez la sortie et trouvez les processus avec un trafic envoyé ou reçu élevé.
3. Une fois que vous avez trouvé le processus problématique, vous pouvez l'examiner plus en détail et prendre des mesures, comme arrêter le processus ou modifier ses paramètres.

Exemple 2 : Surveiller le trafic sur une interface

Si vous souhaitez surveiller le trafic réseau sur une interface, comme eth0 :

1. Exécutez NetHogs avec l'option -i : sudo nethogs -i eth0
2. NetHogs affichera l'utilisation de la bande passante pour les processus utilisant l'interface, ce qui facilite la concentration sur le trafic pertinent.

Sortie de NetHogs

| PID | USER     | PROGRAM                  | DEV  | SENT      | RECEIVED  |
|-----|----------|--------------------------|------|-----------|-----------|
| 1234| john     | /usr/bin/firefox         | eth0 | 500 KB/s  | 1.2 MB/s  |
| 5678| www-data | /usr/sbin/apache2        | eth0 | 250 KB/s  | 800 KB/s  |
| 9012| root     | /usr/sbin/sshd           | eth0 | 10 KB/s   | 5 KB/s    |

Dans cette sortie, NetHogs affiche le PID, le nom d'utilisateur, le nom du programme, le périphérique réseau et l'utilisation de la bande passante (envoyée et reçue) pour chaque processus. Ces informations peuvent vous aider à identifier rapidement quels processus utilisent le plus de bande passante et à prendre des mesures.

Fonctionnalités de nload

1. Surveillance en temps réel : nload met à jour les informations d'utilisation réseau en temps réel, fournissant des informations à jour sur l'activité réseau.
2. Visualisation du trafic : L'outil affiche des graphiques pour le trafic entrant et sortant directement dans la console, ce qui facilite la détection des tendances et des anomalies.
3. Statistiques d'utilisation de la bande passante : nload affiche l'utilisation réseau actuelle, moyenne, minimale et maximale, ainsi que le total des données transférées.
4. Affichage personnalisable : Vous pouvez personnaliser l'affichage en modifiant l'intervalle de rafraîchissement et en sélectionnant les unités de bande passante (par exemple, bits, octets, kilobits, mégabits).
5. Surveillance multi-périphériques : nload peut surveiller plusieurs interfaces réseau en même temps, vous permettant de suivre l'activité réseau sur différents périphériques.

Exemple d'utilisation

Pour commencer à surveiller le trafic réseau avec nload, exécutez la commande :

nload

Par défaut, nload affichera les informations d'utilisation réseau pour toutes les interfaces réseau disponibles. Pour surveiller une interface spécifique, utilisez l'option -d suivie du nom de l'interface :

nload -d eth0

Pour modifier l'intervalle de rafraîchissement, utilisez l'option -t suivie de l'intervalle souhaité en millisecondes :

nload -t 1000

Cette commande définira l'intervalle de rafraîchissement à 1000 millisecondes (1 seconde).

Scénarios réels

1. Dépannage des problèmes réseau : Lorsque vous rencontrez des performances réseau lentes ou des problèmes de connectivité, nload peut aider à identifier si le problème est lié à une utilisation élevée de la bande passante ou à une congestion réseau. En surveillant le trafic en temps réel, vous pouvez déterminer s'il y a des pics inhabituels ou des périodes d'utilisation élevée soutenue qui peuvent causer le problème.

2. Planification de la capacité : nload peut être utilisé pour recueillir des données d'utilisation réseau au fil du temps, ce qui peut aider à la planification de la capacité. En analysant l'utilisation moyenne et maximale, vous pouvez déterminer si votre infrastructure réseau actuelle est suffisante pour gérer la charge ou si des mises à niveau sont nécessaires pour accommoder la croissance future.

3. Détection des anomalies : En surveillant régulièrement le trafic réseau avec nload, vous pouvez établir une référence pour le comportement réseau normal. Si vous remarquez des changements soudains ou des modèles inhabituels dans le trafic, cela peut indiquer une faille de sécurité potentielle, comme une attaque par déni de service ou des tentatives d'accès non autorisé.

Limitations

Bien que nload soit un outil utile pour surveiller l'utilisation réseau globale, il ne fournit pas d'informations détaillées sur la consommation de bande passante réseau par processus individuels ou identifiants de processus (PID). Si vous devez analyser l'utilisation réseau au niveau des processus, des outils comme NetHogs ou iftop peuvent être plus appropriés.

Exemples de commandes

Pour afficher toutes les connexions TCP actives et le processus utilisant chaque connexion :

netstat -atp

Cela pourrait produire :

Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 localhost:mysql         0.0.0.0:*               LISTEN      1234/mysqld         
tcp        0      0 0.0.0.0:http            0.0.0.0:*               LISTEN      5678/apache2        
tcp        0    316 192.168.1.5:ssh         203.0.113.10:12345      ESTABLISHED 9012/sshd: user

Pour afficher les informations de la table de routage :

netstat -r

Exemple de sortie :

Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
default         192.168.1.1     0.0.0.0         UG        0 0          0 eth0
192.168.1.0     0.0.0.0         255.255.255.0   U         0 0          0 eth0

Pour afficher les statistiques des interfaces réseau :

netstat -i

Exemple de sortie :

Kernel Interface table
Iface      MTU    RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0      1500 12345678      0      1      2  8765432      0      0      0 BMRU
lo       65536  1234567      0      0      0  1234567      0      0      0 LRU

En combinant ces options, vous pouvez utiliser netstat pour recueillir des données sur votre utilisation réseau et diagnostiquer des problèmes.

Applications réelles

Considérons un serveur web qui a des délais d'attente intermittents lorsque les clients se connectent. Vous pouvez utiliser netstat pour :

1. Vérifier si le processus du serveur web écoute sur le bon port :

   netstat -anlp | grep :80
   

   Si vous voyez une ligne comme tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 1234/apache2, le serveur web écoute sur le port 80.

2. Rechercher de nombreuses connexions dans l'état TIME_WAIT, ce qui pourrait signifier un équilibreur de charge mal configuré ou des clients se déconnectant de manière inappropriée :

   netstat -an | grep TIME_WAIT | wc -l
   

   Si ce nombre est très élevé (par exemple, des milliers), cela suggère que les connexions ne se ferment pas proprement.

3. Surveiller le taux de nouvelles connexions pour voir si le serveur est submergé :

   netstat -an | grep SYN_RECV | wc -l
   

   De nombreuses connexions dans l'état SYN_RECV pourraient signifier que le serveur reçoit des demandes de connexion plus rapidement qu'il ne peut les traiter.

Bien que netstat fournisse des données détaillées, il ne montre qu'un instantané de l'état actuel du réseau. Pour une surveillance continue, vous devriez exécuter netstat périodiquement ou utiliser un outil qui s'appuie sur netstat, comme netdata.

De plus, bien que netstat puisse afficher les noms de processus et les PID à l'aide de l'option -p, des outils comme nethogs et iftop sont meilleurs pour surveiller l'utilisation de la bande passante par processus ou connexion au fil du temps.

netstat est un outil important pour tout administrateur système ou développeur Linux qui doit comprendre et déboguer le comportement réseau. Sa capacité à afficher des données de connexion détaillées, des tables de routage et des statistiques d'interface le rend précieux pour le dépannage. En sachant comment utiliser netstat, vous pouvez rapidement trouver les sources de problèmes réseau et maintenir vos systèmes en bon état de fonctionnement.

Fonctionnalités d'iftop

1. Surveillance en temps réel : iftop met à jour les informations toutes les 2, 10 ou 40 secondes, vous donnant une vue en temps quasi réel du trafic réseau.
2. Utilisation de la bande passante par connexion : iftop affiche l'utilisation de la bande passante de chaque connexion, vous aidant à trouver quelles connexions utilisent le plus de bande passante.
3. Résolution d'hôtes : Par défaut, iftop résout les adresses IP en noms d'hôtes, ce qui facilite l'identification des hôtes dans chaque connexion.
4. Options d'affichage : Vous pouvez modifier l'affichage d'iftop en triant les connexions par utilisation de bande passante, en changeant le mode d'affichage et en définissant l'intervalle de rafraîchissement de l'écran.
5. Filtrage : iftop vous permet de filtrer les connexions par hôte source ou de destination, réseau ou port.

Exemples

Exemple 1 : Surveiller une interface

Pour surveiller l'utilisation de la bande passante sur une interface, comme eth0, exécutez :

sudo iftop -i eth0

Cette commande affichera l'utilisation de la bande passante en temps réel pour chaque connexion sur l'interface eth0.

Exemple 2 : Trouver les connexions à forte bande passante

Pour trouver quelles connexions utilisent le plus de bande passante :

1. Exécutez iftop : sudo iftop
2. Appuyez sur s pour trier les connexions par utilisation de bande passante, avec l'utilisation la plus élevée en haut.
3. Examinez les connexions en haut de la liste pour voir quels hôtes sont impliqués et combien de bande passante ils utilisent.

Par exemple, si vous voyez une connexion entre votre serveur web et un client utilisant beaucoup de bande passante, cela pourrait signifier que le client télécharge un fichier volumineux ou qu'il y a un problème avec l'application causant un transfert de données excessif.

Exemple 3 : Utiliser iftop avec netstat

Pour trouver les processus causant une utilisation élevée de la bande passante :

1. Exécutez iftop et trouvez les connexions à forte bande passante comme indiqué dans l'exemple 2.
2. Notez les adresses IP et les ports source et de destination pour les connexions que vous souhaitez vérifier.
3. Dans un autre terminal, exécutez sudo netstat -anp | grep <ip>:<port>, en remplaçant <ip> et <port> par les valeurs de l'étape 2.
4. La sortie affichera l'identifiant de processus (PID) et le nom responsable de la connexion.

Par exemple, si vous constatez qu'une connexion entre votre serveur et un hôte distant utilise beaucoup de bande passante, vous pouvez utiliser netstat pour trouver quel processus sur votre serveur est responsable. Cela peut vous aider à voir si l'utilisation de la bande passante est normale (par exemple, un processus de sauvegarde ou un transfert de fichier volumineux) ou si cela indique un problème (par exemple, un logiciel malveillant ou une application mal configurée).

Sortie d'iftop

                   1.2Mb            2.4Mb            3.6Mb            4.8Mb       6.0Mb
└─────────────────┴───────────────┴───────────────┴───────────────┴───────────────
localhost                                        => example.com                      1.08Mb  1.08Mb  1.08Mb
                                                 <=                                  2.55Mb  2.55Mb  2.55Mb
localhost                                        => example.org                        0Kb   676Kb   442Kb
                                                 <=                                   68Kb   102Kb    68Kb

Dans cette sortie, iftop affiche l'utilisation de la bande passante pour chaque connexion, avec l'hôte source à gauche et l'hôte de destination à droite. Les flèches indiquent la direction du trafic, et les trois colonnes à droite affichent l'utilisation moyenne de la bande passante au cours des 2, 10 et 40 dernières secondes.

Comprendre la sortie d'iftop

Le tableau ci-dessus montre comment comprendre la sortie d'iftop. Pour chaque connexion, vous pouvez voir les hôtes source et de destination, ainsi que l'utilisation moyenne de la bande passante sortante et entrante au cours des 2, 10 et 40 dernières secondes. Ces informations peuvent vous aider à trouver quelles connexions utilisent le plus de bande passante et dans quelle direction le trafic circule.

Limitations

Bien qu'iftop soit utile pour surveiller l'utilisation de la bande passante réseau par connexion, il présente certaines limites :

1. Nécessite des privilèges root : iftop nécessite des privilèges root pour écouter le trafic réseau, ce qui peut ne pas être idéal dans tous les environnements.
2. N'affiche pas les informations au niveau des processus : Contrairement à des outils comme NetHogs, iftop n'affiche pas directement quels processus sont responsables du trafic réseau. Cependant, vous pouvez utiliser iftop avec d'autres outils comme netstat pour obtenir ces informations, comme indiqué dans l'exemple 3.
3. Options de filtrage limitées : Bien qu'iftop permette le filtrage par hôte, réseau et port, il n'offre pas d'options de filtrage plus avancées, comme le filtrage par protocole ou taille de paquet.

Installation de speedometer

Pour installer speedometer sur les distributions basées sur Debian, utilisez apt :

sudo apt install speedometer

Sur les distributions basées sur Red Hat, speedometer est disponible dans le dépôt EPEL :

sudo yum install epel-release
sudo yum install speedometer

Utilisation de speedometer

Pour commencer à surveiller le trafic réseau avec speedometer, utilisez la commande :

speedometer -r eth0 -t eth0

Cette commande affichera deux graphiques : un pour le trafic entrant (-r) et un pour le trafic sortant (-t) sur l'interface eth0.

Personnalisation de l'affichage

speedometer vous permet de personnaliser l'affichage de différentes manières :

Par exemple, pour afficher le trafic entrant et sortant sur eth0 avec un intervalle de 2 secondes et une échelle fixe de 10 Mbps :

speedometer -r eth0 -t eth0 -i 2 -s 10M

Affichage de plusieurs interfaces

L'un des avantages de speedometer par rapport à nload est la capacité d'afficher plusieurs graphiques côte à côte pour différentes interfaces. Pour surveiller le trafic sur plusieurs interfaces simultanément, spécifiez chaque interface avec sa propre option -r ou -t :

speedometer -r eth0 -t eth0 -r wlan0 -t wlan0

Cette commande affichera quatre graphiques : le trafic entrant et sortant pour eth0 et wlan0.

Exemples réels

Surveillance d'un serveur web

Supposons que vous ayez un serveur web avec deux interfaces réseau : eth0 pour le trafic entrant et eth1 pour le trafic sortant. Pour surveiller l'utilisation de la bande passante sur les deux interfaces, vous pouvez utiliser la commande suivante :

speedometer -r eth0 -t eth1 -i 5 -s 100M

Cela affichera deux graphiques, un pour le trafic entrant sur eth0 et un pour le trafic sortant sur eth1, mis à jour toutes les 5 secondes avec une échelle fixe de 100 Mbps. Cette configuration vous permet de voir rapidement si le serveur atteint ses limites de bande passante et de prendre des mesures si nécessaire.

Comparaison des interfaces filaires et sans fil

Si vous avez un ordinateur portable avec des interfaces filaires (eth0) et sans fil (wlan0), vous pouvez utiliser speedometer pour comparer leurs performances :

speedometer -r eth0 -t eth0 -r wlan0 -t wlan0 -i 2 -s auto

Cette commande affichera quatre graphiques, montrant le trafic entrant et sortant pour les deux interfaces, mis à jour toutes les 2 secondes avec une échelle automatique. En comparant les graphiques, vous pouvez voir quelle interface est la plus rapide et la plus stable, vous aidant à décider laquelle utiliser pour les tâches nécessitant beaucoup de bande passante.

Cas d'utilisation

1. Surveillance de la bande passante du serveur : Lors de l'exécution de speedometer sur un serveur Linux, vous pouvez voir rapidement l'utilisation réseau actuelle et identifier si des interfaces approchent de leurs limites. Cela peut vous aider à prendre des décisions concernant la mise à niveau de l'infrastructure réseau ou l'optimisation des applications.

2. Dépannage des problèmes réseau : Si les utilisateurs signalent des performances réseau lentes, exécuter speedometer peut vous aider à voir si des interfaces sont saturées de trafic. Vous pouvez ensuite enquêter plus en profondeur pour trouver la cause de l'utilisation élevée (par exemple, une tâche de sauvegarde, une application mal configurée ou une faille de sécurité).

3. Comparaison des performances des interfaces : En affichant des graphiques pour plusieurs interfaces réseau côte à côte, speedometer facilite la comparaison de leurs performances relatives. Cela peut être utile lors de la répartition de la charge du trafic sur plusieurs liens ou lors du diagnostic de problèmes avec une interface spécifique.

Bien que speedometer fournisse un affichage plus personnalisable que nload, il manque encore certaines fonctionnalités présentes dans d'autres outils. Comme nload, speedometer ne décompose pas le trafic par connexion ou processus, il est donc moins utile pour trouver des sources spécifiques d'activité réseau. Des outils comme iftop et nethogs sont mieux adaptés à ces cas d'utilisation.

Scénarios réels

1. Identification des gros consommateurs : En utilisant NetFlow pour surveiller les flux de trafic, les administrateurs peuvent identifier les gros consommateurs du réseau - les hôtes, applications ou utilisateurs qui utilisent le plus de bande passante. Ces informations peuvent aider à la planification de la capacité, à la résolution des problèmes de performance et à l'application des politiques d'utilisation du réseau.

   Par exemple, un administrateur d'une université remarque que le réseau est lent pendant les heures de pointe. En analysant les données NetFlow, il constate qu'un petit groupe d'étudiants utilise une grande quantité de bande passante en diffusant de la vidéo haute définition. L'administrateur peut alors travailler avec les étudiants pour trouver d'autres solutions, comme l'utilisation d'un serveur multimédia local ou la limitation de la qualité vidéo pendant les heures de pointe.

2. Détection des attaques DDoS : NetFlow peut aider à détecter les attaques par déni de service distribué (DDoS) en identifiant des pics inhabituels de trafic provenant de plusieurs sources. En définissant des seuils et des alertes dans un analyseur NetFlow, les administrateurs peuvent réagir rapidement aux attaques et prendre des mesures pour atténuer leur impact.

   Par exemple, une entreprise connaît une augmentation soudaine du trafic qui submerge ses serveurs web. En analysant les données NetFlow, l'équipe de sécurité identifie un grand nombre de flux entrants provenant d'une gamme d'adresses IP, indiquant une attaque DDoS. Ils mettent rapidement en place des règles de filtrage du trafic pour bloquer les flux malveillants et rétablir le fonctionnement normal.

3. Optimisation des performances des applications : NetFlow peut fournir des informations sur les modèles de trafic des applications, aidant les administrateurs à comprendre comment la bande passante est utilisée par différentes applications. Ces informations peuvent être utilisées pour prioriser les applications critiques, ajuster les paramètres de qualité de service (QoS) et s'assurer que les applications disposent de suffisamment de bande passante pour fonctionner correctement.

   Par exemple, un centre d'appels s'appuie sur un système de voix sur IP (VoIP) pour gérer les appels clients. En surveillant les données NetFlow, l'équipe informatique remarque que le trafic VoIP est en concurrence avec un trafic moins critique, ce qui entraîne une mauvaise qualité d'appel. Ils utilisent ces informations pour ajuster les paramètres QoS, en priorisant le trafic VoIP par rapport aux autres types de trafic pour garantir une meilleure expérience utilisateur.

4. Planification de la capacité : En analysant les données NetFlow au fil du temps, les administrateurs peuvent identifier les tendances de l'utilisation réseau et planifier les besoins futurs en capacité. Par exemple, si le trafic vers une application ou un serveur particulier augmente régulièrement, des ressources de bande passante ou matérielles supplémentaires peuvent être nécessaires pour éviter les goulots d'étranglement de performance.

   Par exemple, une entreprise de commerce électronique surveille son trafic réseau à l'aide de NetFlow et remarque une augmentation constante du trafic vers ses serveurs web sur plusieurs mois. En extrapolant cette tendance, ils peuvent estimer quand ils devront ajouter plus de capacité de serveur pour gérer la charge accrue et budgétiser en conséquence.