Come Monitorare l'Utilizzo della Rete Linux

Caratteristiche di NetHogs

1. Monitoraggio a livello di processo: NetHogs monitora il traffico di rete a livello di processo, collegando l'utilizzo della banda con i PID.
2. Aggiornamenti in tempo reale: Fornisce informazioni in tempo reale sull'attività di rete, aggiornando la visualizzazione ogni secondo per impostazione predefinita.
3. Frequenza di aggiornamento: Puoi regolare la frequenza di aggiornamento usando l'opzione -d seguita dall'intervallo in secondi.
4. Opzioni di ordinamento: NetHogs permette di ordinare l'output per traffico inviato o ricevuto usando l'opzione -s seguita da sent o recv.
5. Selezione delle interfacce: Per impostazione predefinita, NetHogs monitora tutte le interfacce di rete, ma puoi sceglierne una usando l'opzione -i seguita dal nome dell'interfaccia.

Esempi

Esempio 1: Trovare un Processo che Usa Molta Banda

Se noti un aumento improvviso del traffico di rete sul tuo server Linux, per trovare il processo responsabile dell'aumento dell'utilizzo della banda:

1. Esegui NetHogs in un terminale: sudo nethogs
2. Guarda l'output e trova i processi con traffico inviato o ricevuto elevato.
3. Una volta trovato il processo problematico, puoi indagare ulteriormente e prendere provvedimenti, come arrestare il processo o modificarne le impostazioni.

Esempio 2: Monitorare il Traffico su un'Interfaccia

Se vuoi monitorare il traffico di rete su un'interfaccia, come eth0:

1. Esegui NetHogs con l'opzione -i: sudo nethogs -i eth0
2. NetHogs mostrerà l'utilizzo della banda per i processi che usano l'interfaccia, rendendo più facile concentrarsi sul traffico rilevante.

Output di NetHogs

| PID | USER     | PROGRAM                  | DEV  | SENT      | RECEIVED  |
|-----|----------|--------------------------|------|-----------|-----------|
| 1234| john     | /usr/bin/firefox         | eth0 | 500 KB/s  | 1.2 MB/s  |
| 5678| www-data | /usr/sbin/apache2        | eth0 | 250 KB/s  | 800 KB/s  |
| 9012| root     | /usr/sbin/sshd           | eth0 | 10 KB/s   | 5 KB/s    |

In questo output, NetHogs mostra il PID, il nome utente, il nome del programma, il dispositivo di rete e l'utilizzo della banda (inviato e ricevuto) per ogni processo. Queste informazioni possono aiutarti a identificare rapidamente quali processi stanno usando più banda e prendere provvedimenti.

Caratteristiche di nload

1. Monitoraggio in tempo reale: nload aggiorna le informazioni sull'utilizzo della rete in tempo reale, fornendo informazioni aggiornate sull'attività di rete.
2. Visualizzazione del traffico: Lo strumento mostra grafici per il traffico in entrata e in uscita direttamente nella console, rendendo facile individuare tendenze e anomalie.
3. Statistiche di utilizzo della banda: nload mostra l'utilizzo corrente, medio, minimo e massimo della rete, oltre ai dati totali trasferiti.
4. Visualizzazione personalizzabile: Puoi personalizzare la visualizzazione modificando l'intervallo di aggiornamento e selezionando le unità per la banda (ad es. bit, byte, kilobit, megabit).
5. Monitoraggio multi-dispositivo: nload può monitorare più interfacce di rete contemporaneamente, permettendo di tenere traccia dell'attività di rete su dispositivi diversi.

Esempio di Utilizzo

Per iniziare a monitorare il traffico di rete con nload, esegui il comando:

nload

Per impostazione predefinita, nload mostrerà le informazioni sull'utilizzo della rete per tutte le interfacce di rete disponibili. Per monitorare un'interfaccia specifica, usa l'opzione -d seguita dal nome dell'interfaccia:

nload -d eth0

Per modificare l'intervallo di aggiornamento, usa l'opzione -t seguita dall'intervallo desiderato in millisecondi:

nload -t 1000

Questo comando imposterà l'intervallo di aggiornamento a 1000 millisecondi (1 secondo).

Scenari Reali

1. Risoluzione di problemi di rete: Quando si verificano prestazioni di rete lente o problemi di connettività, nload può aiutare a identificare se il problema è legato a un utilizzo elevato della banda o a congestione di rete. Monitorando il traffico in tempo reale, puoi determinare se ci sono picchi insoliti o periodi di utilizzo elevato prolungato che potrebbero causare il problema.

2. Pianificazione della capacità: nload può essere usato per raccogliere dati sull'utilizzo della rete nel tempo, il che può aiutare nella pianificazione della capacità. Analizzando l'utilizzo medio e di picco, puoi determinare se la tua attuale infrastruttura di rete è sufficiente per gestire il carico o se sono necessari aggiornamenti per sostenere la crescita futura.

3. Rilevamento di anomalie: Monitorando regolarmente il traffico di rete con nload, puoi stabilire una base di riferimento per il comportamento normale della rete. Se noti cambiamenti improvvisi o schemi insoliti nel traffico, potrebbe indicare una potenziale violazione della sicurezza, come un attacco denial-of-service o tentativi di accesso non autorizzato.

Limitazioni

Sebbene nload sia uno strumento utile per monitorare l'utilizzo complessivo della rete, non fornisce informazioni dettagliate sul consumo di banda di rete da parte di singoli processi o ID di processo (PID). Se hai bisogno di analizzare l'utilizzo della rete a livello di processo, strumenti come NetHogs o iftop potrebbero essere più adatti.

Comandi di Esempio

Per visualizzare tutte le connessioni TCP attive e il processo che usa ciascuna connessione:

netstat -atp

Questo potrebbe produrre:

Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 localhost:mysql         0.0.0.0:*               LISTEN      1234/mysqld         
tcp        0      0 0.0.0.0:http            0.0.0.0:*               LISTEN      5678/apache2        
tcp        0    316 192.168.1.5:ssh         203.0.113.10:12345      ESTABLISHED 9012/sshd: user

Per mostrare le informazioni della tabella di routing:

netstat -r

Esempio di output:

Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Ifacedefault         192.168.1.1     0.0.0.0         UG        0 0          0 eth0
192.168.1.0     0.0.0.0         255.255.255.0   U         0 0          0 eth0

Per visualizzare le statistiche delle interfacce di rete:

netstat -i

Esempio di output:

Kernel Interface table
Iface      MTU    RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0      1500 12345678      0      1      2  8765432      0      0      0 BMRU
lo       65536  1234567      0      0      0  1234567      0      0      0 LRU

Combinando queste opzioni, puoi usare netstat per raccogliere dati sul tuo utilizzo di rete e diagnosticare problemi.

Applicazioni Reali

Considera un server web che ha timeout intermittenti quando i client si connettono. Potresti usare netstat per:

1. Verificare se il processo del server web è in ascolto sulla porta corretta:

   netstat -anlp | grep :80
   

   Se vedi una riga come tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 1234/apache2, il server web è in ascolto sulla porta 80.

2. Cercare molte connessioni nello stato TIME_WAIT, il che potrebbe significare un load balancer configurato male o client che si disconnettono in modo improprio:

   netstat -an | grep TIME_WAIT | wc -l
   

   Se questo numero è molto alto (ad es. migliaia), suggerisce che le connessioni non si stanno chiudendo correttamente.

3. Monitorare il tasso di nuove connessioni per vedere se il server è sovraccarico:

   netstat -an | grep SYN_RECV | wc -l
   

   Molte connessioni nello stato SYN_RECV potrebbero significare che il server sta ricevendo richieste di connessione più velocemente di quanto possa elaborarle.

Sebbene netstat fornisca dati dettagliati, mostra solo un'istantanea dello stato attuale della rete. Per un monitoraggio continuo, dovresti eseguire netstat periodicamente o usare uno strumento che si basa su netstat, come netdata.

Inoltre, sebbene netstat possa mostrare i nomi dei processi e i PID usando l'opzione -p, strumenti come nethogs e iftop sono migliori per monitorare l'utilizzo della banda per processo o connessione nel tempo.

netstat è uno strumento importante per qualsiasi amministratore di sistema o sviluppatore Linux che ha bisogno di comprendere e debuggare il comportamento della rete. La sua capacità di mostrare dati dettagliati sulle connessioni, tabelle di routing e statistiche delle interfacce lo rende prezioso per la risoluzione dei problemi. Sapendo come usare netstat, puoi trovare rapidamente le fonti dei problemi di rete e mantenere i tuoi sistemi funzionanti in modo fluido.

Caratteristiche di iftop

1. Monitoraggio in tempo reale: iftop aggiorna le informazioni ogni 2, 10 o 40 secondi, offrendo una vista in tempo quasi reale del traffico di rete.
2. Utilizzo della banda per connessione: iftop mostra l'utilizzo della banda di ogni connessione, aiutando a trovare quali connessioni usano più banda.
3. Risoluzione degli host: Per impostazione predefinita, iftop risolve gli indirizzi IP in nomi host, rendendo più facile identificare gli host in ogni connessione.
4. Opzioni di visualizzazione: Puoi modificare la visualizzazione di iftop ordinando le connessioni per utilizzo della banda, cambiando la modalità di visualizzazione e impostando l'intervallo di aggiornamento dello schermo.
5. Filtraggio: iftop permette di filtrare le connessioni per host di origine o destinazione, rete o porta.

Esempi

Esempio 1: Monitorare un'Interfaccia

Per monitorare l'utilizzo della banda su un'interfaccia, come eth0, esegui:

sudo iftop -i eth0

Questo comando mostrerà l'utilizzo della banda in tempo reale per ogni connessione sull'interfaccia eth0.

Esempio 2: Trovare Connessioni ad Alta Banda

Per trovare quali connessioni usano più banda:

1. Esegui iftop: sudo iftop
2. Premi s per ordinare le connessioni per utilizzo della banda, con l'utilizzo più alto in cima.
3. Guarda le connessioni in cima alla lista per vedere quali host sono coinvolti e quanta banda usano.

Ad esempio, se vedi una connessione tra il tuo server web e un client che usa molta banda, potrebbe significare che il client sta scaricando un file grande o potrebbe esserci un problema con l'applicazione che causa un trasferimento di dati eccessivo.

Esempio 3: Usare iftop con netstat

Per trovare i processi che causano un utilizzo elevato della banda:

1. Esegui iftop e trova le connessioni ad alta banda come mostrato nell'Esempio 2.
2. Annota gli indirizzi IP e le porte di origine e destinazione per le connessioni che vuoi verificare.
3. In un altro terminale, esegui sudo netstat -anp | grep <ip>:<port>, sostituendo <ip> e <port> con i valori del passo 2.
4. L'output mostrerà l'ID del processo (PID) e il nome responsabile della connessione.

Ad esempio, se scopri che una connessione tra il tuo server e un host remoto sta usando molta banda, puoi usare netstat per trovare quale processo sul tuo server è responsabile. Questo può aiutarti a capire se l'utilizzo della banda è normale (ad es. un processo di backup o un trasferimento di file grande) o se indica un problema (ad es. malware o un'applicazione configurata male).

Output di iftop

                   1.2Mb            2.4Mb            3.6Mb            4.8Mb       6.0Mb
└─────────────────┴───────────────┴───────────────┴───────────────┴───────────────
localhost                                        => example.com                      1.08Mb  1.08Mb  1.08Mb
                                                 <=                                  2.55Mb  2.55Mb  2.55Mb
localhost                                        => example.org                        0Kb   676Kb   442Kb
                                                 <=                                   68Kb   102Kb    68Kb

In questo output, iftop mostra l'utilizzo della banda per ogni connessione, con l'host di origine a sinistra e l'host di destinazione a destra. Le frecce mostrano la direzione del traffico e le tre colonne a destra mostrano l'utilizzo medio della banda negli ultimi 2, 10 e 40 secondi.

Comprendere l'Output di iftop

La tabella sopra mostra come comprendere l'output di iftop. Per ogni connessione, puoi vedere gli host di origine e destinazione, oltre all'utilizzo medio della banda in uscita e in entrata negli ultimi 2, 10 e 40 secondi. Queste informazioni possono aiutarti a trovare quali connessioni usano più banda e in quale direzione va il traffico.

Limitazioni

Sebbene iftop sia utile per monitorare l'utilizzo della banda di rete per connessione, ha alcuni limiti:

1. Richiede privilegi di root: iftop richiede privilegi di root per ascoltare il traffico di rete, il che potrebbe non essere ideale in tutti gli ambienti.
2. Non mostra informazioni a livello di processo: A differenza di strumenti come NetHogs, iftop non mostra direttamente quali processi sono responsabili del traffico di rete. Tuttavia, puoi usare iftop con altri strumenti come netstat per ottenere queste informazioni, come mostrato nell'Esempio 3.
3. Opzioni di filtraggio limitate: Sebbene iftop permetta di filtrare per host, rete e porta, non offre opzioni di filtraggio più avanzate, come filtrare per protocollo o dimensione del pacchetto.

Installare speedometer

Per installare speedometer sulle distribuzioni basate su Debian, usa apt:

sudo apt install speedometer

Sulle distribuzioni basate su Red Hat, speedometer è disponibile nel repository EPEL:

sudo yum install epel-release
sudo yum install speedometer

Usare speedometer

Per iniziare a monitorare il traffico di rete con speedometer, usa il comando:

speedometer -r eth0 -t eth0

Questo comando visualizzerà due grafici: uno per il traffico in entrata (-r) e uno per il traffico in uscita (-t) sull'interfaccia eth0.

Personalizzare la Visualizzazione

speedometer permette di personalizzare la visualizzazione in vari modi:

Ad esempio, per visualizzare il traffico in entrata e in uscita su eth0 con un intervallo di 2 secondi e una scala fissa di 10 Mbps:

speedometer -r eth0 -t eth0 -i 2 -s 10M

Visualizzare Più Interfacce

Uno dei vantaggi di speedometer rispetto a nload è la capacità di visualizzare più grafici affiancati per interfacce diverse. Per monitorare il traffico su più interfacce contemporaneamente, specifica ogni interfaccia con la propria opzione -r o -t:

speedometer -r eth0 -t eth0 -r wlan0 -t wlan0

Questo comando visualizzerà quattro grafici: traffico in entrata e in uscita per entrambe eth0 e wlan0.

Esempi Reali

Monitorare un Server Web

Supponiamo che tu abbia un server web con due interfacce di rete: eth0 per il traffico in entrata e eth1 per il traffico in uscita. Per monitorare l'utilizzo della banda su entrambe le interfacce, puoi usare il seguente comando:

speedometer -r eth0 -t eth1 -i 5 -s 100M

Questo visualizzerà due grafici, uno per il traffico in entrata su eth0 e uno per il traffico in uscita su eth1, aggiornati ogni 5 secondi con una scala fissa di 100 Mbps. Questa configurazione ti permette di vedere rapidamente se il server sta raggiungendo i suoi limiti di banda e prendere provvedimenti se necessario.

Confrontare Interfacce Cablate e Wireless

Se hai un laptop con interfacce sia cablate (eth0) che wireless (wlan0), puoi usare speedometer per confrontare le loro prestazioni:

speedometer -r eth0 -t eth0 -r wlan0 -t wlan0 -i 2 -s auto

Questo comando visualizzerà quattro grafici, mostrando il traffico in entrata e in uscita per entrambe le interfacce, aggiornati ogni 2 secondi con una scala automatica. Confrontando i grafici, puoi vedere quale interfaccia è più veloce e stabile, aiutandoti a decidere quale usare per attività che richiedono molta banda.

Casi d'Uso

1. Monitoraggio della banda del server: Quando esegui speedometer su un server Linux, puoi vedere rapidamente l'utilizzo attuale della rete e identificare se qualche interfaccia si sta avvicinando ai suoi limiti. Questo può aiutarti a prendere decisioni sull'aggiornamento dell'infrastruttura di rete o sull'ottimizzazione delle applicazioni.

2. Risoluzione di problemi di rete: Se gli utenti segnalano prestazioni di rete lente, eseguire speedometer può aiutarti a vedere se qualche interfaccia è satura di traffico. Puoi quindi indagare ulteriormente per trovare la causa dell'utilizzo elevato (ad es. un lavoro di backup, un'applicazione che si comporta male o una violazione della sicurezza).

3. Confronto delle prestazioni delle interfacce: Visualizzando grafici per più interfacce di rete affiancati, speedometer rende facile confrontare le loro prestazioni relative. Questo può essere utile quando si bilancia il carico del traffico su più collegamenti o quando si diagnosticano problemi con un'interfaccia specifica.

Sebbene speedometer fornisca una visualizzazione più personalizzabile di nload, manca ancora di alcune funzionalità presenti in altri strumenti. Come nload, speedometer non suddivide il traffico per connessione o processo, quindi è meno utile per trovare fonti specifiche di attività di rete. Strumenti come iftop e nethogs sono più adatti per questi casi d'uso.

Scenari Reali

1. Identificare i maggiori utilizzatori: Usando NetFlow per monitorare i flussi di traffico, gli amministratori possono identificare i maggiori utilizzatori sulla rete - gli host, le applicazioni o gli utenti che usano più banda. Queste informazioni possono aiutare nella pianificazione della capacità, nel risolvere problemi di prestazioni e nell'applicare politiche di utilizzo della rete.

   Ad esempio, un amministratore di un'università nota che la rete è lenta durante le ore di punta. Analizzando i dati NetFlow, scopre che un piccolo gruppo di studenti sta usando una grande quantità di banda facendo streaming di video ad alta definizione. L'amministratore può quindi lavorare con gli studenti per trovare altre soluzioni, come usare un server multimediale locale o limitare la qualità video durante le ore di punta.

2. Rilevare attacchi DDoS: NetFlow può aiutare a rilevare attacchi distributed denial-of-service (DDoS) identificando picchi insoliti di traffico da più fonti. Impostando soglie e avvisi in un analizzatore NetFlow, gli amministratori possono rispondere rapidamente agli attacchi e prendere misure per ridurne l'impatto.

   Ad esempio, un'azienda ha un aumento improvviso di traffico che sovraccarica i suoi server web. Analizzando i dati NetFlow, il team di sicurezza identifica un gran numero di flussi in entrata da una gamma di indirizzi IP, indicando un attacco DDoS. Implementano rapidamente regole di filtraggio del traffico per bloccare i flussi dannosi e ripristinare il funzionamento normale.

3. Ottimizzare le prestazioni delle applicazioni: NetFlow può fornire informazioni sui modelli di traffico delle applicazioni, aiutando gli amministratori a comprendere come viene usata la banda da diverse applicazioni. Queste informazioni possono essere usate per dare priorità alle applicazioni importanti, regolare le impostazioni di Quality of Service (QoS) e garantire che le applicazioni abbiano banda sufficiente per funzionare bene.

   Ad esempio, un call center si basa su un sistema Voice over IP (VoIP) per gestire le chiamate dei clienti. Monitorando i dati NetFlow, il team IT nota che il traffico VoIP sta competendo con traffico meno importante, risultando in una qualità delle chiamate scarsa. Usano queste informazioni per regolare le impostazioni QoS, dando priorità al traffico VoIP rispetto ad altri tipi di traffico per garantire una migliore esperienza utente.

4. Pianificazione della capacità: Analizzando i dati NetFlow nel tempo, gli amministratori possono identificare tendenze nell'utilizzo della rete e pianificare le future esigenze di capacità. Ad esempio, se il traffico verso una particolare applicazione o server sta crescendo costantemente, potrebbero essere necessarie risorse di banda o hardware aggiuntive per evitare colli di bottiglia delle prestazioni.

   Ad esempio, un'azienda di e-commerce monitora il traffico di rete usando NetFlow e nota un aumento costante del traffico verso i loro server web nel corso di diversi mesi. Estrapolando questa tendenza, possono stimare quando dovranno aggiungere più capacità server per gestire il carico aumentato e fare budget di conseguenza.