Hoe Linux Netwerkgebruik Monitoren

Functies van NetHogs

1. Monitoring op procesniveau: NetHogs monitort netwerkverkeer op procesniveau en koppelt bandbreedtegebruik aan PIDs.
2. Real-time updates: Het biedt real-time informatie over netwerkactiviteit en vernieuwt de weergave standaard elke seconde.
3. Verversingssnelheid: Je kunt de verversingssnelheid aanpassen met de -d optie gevolgd door het interval in seconden.
4. Sorteeropties: NetHogs laat je de uitvoer sorteren op verzonden of ontvangen verkeer met de -s optie gevolgd door sent of recv.
5. Interfaces selecteren: Standaard monitort NetHogs alle netwerkinterfaces, maar je kunt een interface kiezen met de -i optie gevolgd door de interfacenaam.

Voorbeelden

Voorbeeld 1: Een Proces Vinden dat Veel Bandbreedte Gebruikt

Als je een plotselinge toename van netwerkverkeer op je Linux-server opmerkt, om het proces te vinden dat verantwoordelijk is voor het toegenomen bandbreedtegebruik:

1. Start NetHogs in een terminal: sudo nethogs
2. Bekijk de uitvoer en vind processen met hoog verzonden of ontvangen verkeer.
3. Zodra je het probleemproces hebt gevonden, kun je het verder onderzoeken en actie ondernemen, zoals het stoppen van het proces of het wijzigen van de instellingen.

Voorbeeld 2: Verkeer Monitoren op een Interface

Als je netwerkverkeer wilt monitoren op een interface, zoals eth0:

1. Start NetHogs met de -i optie: sudo nethogs -i eth0
2. NetHogs toont bandbreedtegebruik voor processen die de interface gebruiken, waardoor het gemakkelijker is om je te richten op relevant verkeer.

NetHogs Uitvoer

| PID | USER     | PROGRAM                  | DEV  | SENT      | RECEIVED  |
|-----|----------|--------------------------|------|-----------|-----------|
| 1234| john     | /usr/bin/firefox         | eth0 | 500 KB/s  | 1.2 MB/s  |
| 5678| www-data | /usr/sbin/apache2        | eth0 | 250 KB/s  | 800 KB/s  |
| 9012| root     | /usr/sbin/sshd           | eth0 | 10 KB/s   | 5 KB/s    |

In deze uitvoer toont NetHogs de PID, gebruikersnaam, programmanaam, netwerkapparaat en bandbreedtegebruik (verzonden en ontvangen) voor elk proces. Deze informatie kan je helpen om snel te vinden welke processen de meeste bandbreedte gebruiken en actie te ondernemen.

Functies van nload

1. Real-time monitoring: nload vernieuwt informatie over netwerkgebruik in real-time en biedt actuele inzichten in netwerkactiviteit.
2. Verkeersvisualisatie: De tool toont grafieken voor inkomend en uitgaand verkeer rechtstreeks in de console, waardoor het gemakkelijk is om trends en afwijkingen te zien.
3. Statistieken over bandbreedtegebruik: nload toont het huidige, gemiddelde, minimum en maximum netwerkgebruik, evenals de totale overgedragen data.
4. Aanpasbare weergave: Je kunt de weergave aanpassen door het verversingsinterval te wijzigen en de eenheden voor bandbreedte te selecteren (bijvoorbeeld bits, bytes, kilobits, megabits).
5. Monitoring van meerdere apparaten: nload kan meerdere netwerkinterfaces tegelijk monitoren, waardoor je netwerkactiviteit over verschillende apparaten kunt volgen.

Voorbeeldgebruik

Om netwerkverkeer te monitoren met nload, voer je het commando uit:

nload

Standaard toont nload informatie over netwerkgebruik voor alle beschikbare netwerkinterfaces. Om een specifieke interface te monitoren, gebruik je de -d optie gevolgd door de interfacenaam:

nload -d eth0

Om het verversingsinterval te wijzigen, gebruik je de -t optie gevolgd door het gewenste interval in milliseconden:

nload -t 1000

Dit commando stelt het verversingsinterval in op 1000 milliseconden (1 seconde).

Praktijkscenario's

1. Netwerkproblemen oplossen: Bij trage netwerkprestaties of connectiviteitsproblemen kan nload helpen identificeren of het probleem verband houdt met hoog bandbreedtegebruik of netwerkcongestie. Door het real-time verkeer te monitoren, kun je bepalen of er ongebruikelijke pieken zijn of aanhoudende periodes van hoog gebruik die het probleem kunnen veroorzaken.

2. Capaciteitsplanning: nload kan worden gebruikt om gegevens over netwerkgebruik in de loop van de tijd te verzamelen, wat kan helpen bij capaciteitsplanning. Door het gemiddelde en piekgebruik te analyseren, kun je bepalen of je huidige netwerkinfrastructuur voldoende is om de belasting aan te kunnen of dat upgrades nodig zijn om toekomstige groei mogelijk te maken.

3. Afwijkingen detecteren: Door regelmatig netwerkverkeer te monitoren met nload, kun je een basislijn voor normaal netwerkgedrag vaststellen. Als je plotselinge veranderingen of ongebruikelijke patronen in het verkeer opmerkt, kan dit wijzen op een mogelijke beveiligingsschending, zoals een denial-of-service aanval of ongeautoriseerde toegangspogingen.

Beperkingen

Hoewel nload een handige tool is voor het monitoren van algemeen netwerkgebruik, biedt het geen gedetailleerde informatie over netwerkbandbreedteverbruik per individueel proces of proces-ID (PID). Als je netwerkgebruik op procesniveau moet analyseren, zijn tools zoals NetHogs of iftop mogelijk geschikter.

Voorbeeldcommando's

Om alle actieve TCP-verbindingen en het proces dat elke verbinding gebruikt weer te geven:

netstat -atp

Dit kan de volgende uitvoer geven:

Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 localhost:mysql         0.0.0.0:*               LISTEN      1234/mysqld         
tcp        0      0 0.0.0.0:http            0.0.0.0:*               LISTEN      5678/apache2        
tcp        0    316 192.168.1.5:ssh         203.0.113.10:12345      ESTABLISHED 9012/sshd: user

Om routeringstabelinformatie te tonen:

netstat -r

Voorbeelduitvoer:

Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
default         192.168.1.1     0.0.0.0         UG        0 0          0 eth0
192.168.1.0     0.0.0.0         255.255.255.0   U         0 0          0 eth0

Om netwerkinterfacestatistieken weer te geven:

netstat -i

Voorbeelduitvoer:

Kernel Interface table
Iface      MTU    RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0      1500 12345678      0      1      2  8765432      0      0      0 BMRU
lo       65536  1234567      0      0      0  1234567      0      0      0 LRU

Door deze opties te combineren, kun je netstat gebruiken om gegevens over je netwerkgebruik te verzamelen en problemen te diagnosticeren.

Praktijktoepassingen

Stel je een webserver voor die af en toe timeouts heeft wanneer clients verbinding maken. Je zou netstat kunnen gebruiken om:

1. Te controleren of het webserverproces luistert op de juiste poort:

   netstat -anlp | grep :80
   

   Als je een regel ziet zoals tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 1234/apache2, luistert de webserver op poort 80.

2. Te zoeken naar veel verbindingen in de TIME_WAIT status, wat kan duiden op een verkeerd geconfigureerde load balancer of clients die niet correct verbinding verbreken:

   netstat -an | grep TIME_WAIT | wc -l
   

   Als dit aantal erg hoog is (bijvoorbeeld duizenden), suggereert dit dat verbindingen niet netjes worden afgesloten.

3. De snelheid van nieuwe verbindingen te monitoren om te zien of de server overbelast is:

   netstat -an | grep SYN_RECV | wc -l
   

   Veel verbindingen in de SYN_RECV status kunnen betekenen dat de server verbindingsverzoeken sneller ontvangt dan hij ze kan verwerken.

Hoewel netstat gedetailleerde gegevens biedt, toont het alleen een momentopname van de huidige netwerkstatus. Voor continue monitoring moet je netstat periodiek uitvoeren of een tool gebruiken die voortbouwt op netstat, zoals netdata.

Ook kan netstat procesnamen en PIDs tonen met de -p optie, maar tools zoals nethogs en iftop zijn beter voor het monitoren van bandbreedtegebruik per proces of verbinding in de loop van de tijd.

netstat is een belangrijke tool voor elke Linux-systeembeheerder of ontwikkelaar die netwerkgedrag moet begrijpen en debuggen. Het vermogen om gedetailleerde verbindingsgegevens, routeringstabellen en interfacestatistieken te tonen, maakt het waardevol voor het oplossen van problemen. Door te weten hoe je netstat moet gebruiken, kun je snel de bronnen van netwerkproblemen vinden en je systemen soepel laten draaien.

iftop Functies

1. Real-time monitoring: iftop vernieuwt de informatie elke 2, 10 of 40 seconden, wat je een bijna real-time beeld van netwerkverkeer geeft.
2. Bandbreedtegebruik per verbinding: iftop toont het bandbreedtegebruik van elke verbinding, waardoor je kunt vinden welke verbindingen de meeste bandbreedte gebruiken.
3. Hostresolutie: Standaard zet iftop IP-adressen om naar hostnamen, waardoor het gemakkelijker is om de hosts in elke verbinding te identificeren.
4. Weergaveopties: Je kunt de iftop-weergave wijzigen door verbindingen te sorteren op bandbreedtegebruik, de weergavemodus te wijzigen en het schermverversingsinterval in te stellen.
5. Filteren: iftop laat je de verbindingen filteren op bron- of bestemmingshost, netwerk of poort.

Voorbeelden

Voorbeeld 1: Een Interface Monitoren

Om bandbreedtegebruik op een interface te monitoren, zoals eth0, voer je uit:

sudo iftop -i eth0

Dit commando toont real-time bandbreedtegebruik voor elke verbinding op de eth0 interface.

Voorbeeld 2: Verbindingen met Hoge Bandbreedte Vinden

Om te vinden welke verbindingen de meeste bandbreedte gebruiken:

1. Start iftop: sudo iftop
2. Druk op s om de verbindingen te sorteren op bandbreedtegebruik, met het hoogste gebruik bovenaan.
3. Bekijk de verbindingen bovenaan de lijst om te zien welke hosts betrokken zijn en hoeveel bandbreedte ze gebruiken.

Als je bijvoorbeeld een verbinding ziet tussen je webserver en een client die veel bandbreedte gebruikt, kan dit betekenen dat de client een groot bestand downloadt of dat er een probleem is met de applicatie die te veel data overdraagt.

Voorbeeld 3: iftop Gebruiken met netstat

Om de processen te vinden die hoog bandbreedtegebruik veroorzaken:

1. Start iftop en vind de verbindingen met hoge bandbreedte zoals getoond in Voorbeeld 2.
2. Noteer de bron- en bestemmings-IP-adressen en poorten voor de verbindingen die je wilt controleren.
3. Voer in een andere terminal sudo netstat -anp | grep <ip>:<port> uit, waarbij je <ip> en <port> vervangt door de waarden uit stap 2.
4. De uitvoer toont het proces-ID (PID) en de naam die verantwoordelijk is voor de verbinding.

Als je bijvoorbeeld vindt dat een verbinding tussen je server en een externe host veel bandbreedte gebruikt, kun je netstat gebruiken om te vinden welk proces op je server verantwoordelijk is. Dit kan je helpen zien of het bandbreedtegebruik normaal is (bijvoorbeeld een backupproces of een grote bestandsoverdracht) of dat het wijst op een probleem (bijvoorbeeld malware of een verkeerd geconfigureerde applicatie).

iftop Uitvoer

                   1.2Mb            2.4Mb            3.6Mb            4.8Mb       6.0Mb
└─────────────────┴───────────────┴───────────────┴───────────────┴───────────────
localhost                                        => example.com                      1.08Mb  1.08Mb  1.08Mb
                                                 <=                                  2.55Mb  2.55Mb  2.55Mb
localhost                                        => example.org                        0Kb   676Kb   442Kb
                                                 <=                                   68Kb   102Kb    68Kb

In deze uitvoer toont iftop het bandbreedtegebruik voor elke verbinding, met de bronhost links en de bestemmingshost rechts. De pijlen tonen de richting van het verkeer, en de drie kolommen rechts tonen het gemiddelde bandbreedtegebruik over de afgelopen 2, 10 en 40 seconden.

iftop Uitvoer Begrijpen

De bovenstaande tabel laat zien hoe je de iftop-uitvoer kunt begrijpen. Voor elke verbinding kun je de bron- en bestemmingshosts zien, evenals het gemiddelde uitgaande en inkomende bandbreedtegebruik over de afgelopen 2, 10 en 40 seconden. Deze informatie kan je helpen te vinden welke verbindingen de meeste bandbreedte gebruiken en in welke richting het verkeer gaat.

Beperkingen

Hoewel iftop handig is voor het monitoren van netwerkbandbreedtegebruik per verbinding, heeft het enkele beperkingen:

1. Heeft root-rechten nodig: iftop heeft root-rechten nodig om naar netwerkverkeer te luisteren, wat mogelijk niet ideaal is in alle omgevingen.
2. Toont geen informatie op procesniveau: In tegenstelling tot tools zoals NetHogs, toont iftop niet direct welke processen verantwoordelijk zijn voor het netwerkverkeer. Je kunt iftop echter wel gebruiken met andere tools zoals netstat om deze informatie te krijgen, zoals getoond in Voorbeeld 3.
3. Beperkte filteropties: Hoewel iftop filteren mogelijk maakt op host, netwerk en poort, biedt het geen meer geavanceerde filteropties, zoals filteren op protocol of pakketgrootte.

speedometer Installeren

Om speedometer te installeren op Debian-gebaseerde distributies, gebruik je apt:

sudo apt install speedometer

Op Red Hat-gebaseerde distributies is speedometer beschikbaar in de EPEL repository:

sudo yum install epel-release
sudo yum install speedometer

speedometer Gebruiken

Om netwerkverkeer te monitoren met speedometer, gebruik je het commando:

speedometer -r eth0 -t eth0

Dit commando toont twee grafieken: één voor inkomend (-r) verkeer en één voor uitgaand (-t) verkeer op de eth0 interface.

De Weergave Aanpassen

speedometer laat je de weergave op verschillende manieren aanpassen:

Om bijvoorbeeld het inkomende en uitgaande verkeer op eth0 weer te geven met een interval van 2 seconden en een vaste schaal van 10 Mbps:

speedometer -r eth0 -t eth0 -i 2 -s 10M

Meerdere Interfaces Weergeven

Een van de voordelen van speedometer ten opzichte van nload is het vermogen om meerdere grafieken naast elkaar weer te geven voor verschillende interfaces. Om verkeer op meerdere interfaces tegelijk te monitoren, specificeer je elke interface met zijn eigen -r of -t optie:

speedometer -r eth0 -t eth0 -r wlan0 -t wlan0

Dit commando toont vier grafieken: inkomend en uitgaand verkeer voor zowel eth0 als wlan0.

Praktijkvoorbeelden

Een Webserver Monitoren

Stel dat je een webserver hebt met twee netwerkinterfaces: eth0 voor inkomend verkeer en eth1 voor uitgaand verkeer. Om het bandbreedtegebruik op beide interfaces te monitoren, kun je het volgende commando gebruiken:

speedometer -r eth0 -t eth1 -i 5 -s 100M

Dit toont twee grafieken, één voor inkomend verkeer op eth0 en één voor uitgaand verkeer op eth1, geüpdatet elke 5 seconden met een vaste schaal van 100 Mbps. Deze opstelling stelt je in staat om snel te zien of de server zijn bandbreedtelimieten bereikt en indien nodig actie te ondernemen.

Bekabelde en Draadloze Interfaces Vergelijken

Als je een laptop hebt met zowel bekabelde (eth0) als draadloze (wlan0) interfaces, kun je speedometer gebruiken om hun prestaties te vergelijken:

speedometer -r eth0 -t eth0 -r wlan0 -t wlan0 -i 2 -s auto

Dit commando toont vier grafieken met het inkomende en uitgaande verkeer voor beide interfaces, geüpdatet elke 2 seconden met een automatische schaal. Door de grafieken te vergelijken, kun je zien welke interface sneller en stabieler is, wat je helpt te beslissen welke je moet gebruiken voor bandbreedteintensieve taken.

Toepassingen

1. Serverbandbreedte monitoren: Bij het draaien van speedometer op een Linux-server kun je snel het huidige netwerkgebruik zien en identificeren of interfaces hun limieten naderen. Dit kan je helpen beslissingen te nemen over het upgraden van netwerkinfrastructuur of het optimaliseren van applicaties.

2. Netwerkproblemen oplossen: Als gebruikers trage netwerkprestaties melden, kan het draaien van speedometer je helpen zien of interfaces verzadigd zijn met verkeer. Je kunt dan verder onderzoeken om de oorzaak van het hoge gebruik te vinden (bijvoorbeeld een backuptaak, een slecht functionerende applicatie of een beveiligingsschending).

3. Interfaceprestaties vergelijken: Door grafieken voor meerdere netwerkinterfaces naast elkaar weer te geven, maakt speedometer het gemakkelijk om hun relatieve prestaties te vergelijken. Dit kan handig zijn bij het verdelen van verkeer over meerdere verbindingen of bij het diagnosticeren van problemen met een specifieke interface.

Hoewel speedometer een meer aanpasbare weergave biedt dan nload, mist het nog steeds enkele functies die in andere tools te vinden zijn. Net als nload splitst speedometer verkeer niet uit per verbinding of proces, dus het is minder handig voor het vinden van specifieke bronnen van netwerkactiviteit. Tools zoals iftop en nethogs zijn beter geschikt voor die toepassingen.

Praktijkscenario's

1. Top talkers identificeren: Door NetFlow te gebruiken om verkeersstromen te monitoren, kunnen beheerders de top talkers op het netwerk identificeren - de hosts, applicaties of gebruikers die de meeste bandbreedte gebruiken. Deze informatie kan helpen bij capaciteitsplanning, het oplossen van prestatieproblemen en het handhaven van netwerkgebruiksbeleid.

   Een beheerder bij een universiteit merkt bijvoorbeeld dat het netwerk traag is tijdens piekuren. Door NetFlow-gegevens te analyseren, vinden ze dat een kleine groep studenten een grote hoeveelheid bandbreedte gebruikt door het streamen van high-definition video. De beheerder kan dan met de studenten werken om andere oplossingen te vinden, zoals het gebruik van een lokale mediaserver of het beperken van videokwaliteit tijdens piekuren.

2. DDoS-aanvallen detecteren: NetFlow kan helpen bij het detecteren van distributed denial-of-service (DDoS) aanvallen door ongebruikelijke pieken in verkeer van meerdere bronnen te identificeren. Door drempelwaarden en waarschuwingen in te stellen in een NetFlow-analyzer, kunnen beheerders snel reageren op aanvallen en maatregelen nemen om de impact te verminderen.

   Een bedrijf heeft bijvoorbeeld een plotselinge toename in verkeer die hun webservers overspoelt. Door NetFlow-gegevens te analyseren, identificeert het beveiligingsteam een groot aantal inkomende flows van een reeks IP-adressen, wat wijst op een DDoS-aanval. Ze implementeren snel verkeersfilterregels om de kwaadaardige flows te blokkeren en de normale werking te herstellen.

3. Applicatieprestaties optimaliseren: NetFlow kan inzicht bieden in applicatieverkeerspatronen, waardoor beheerders kunnen begrijpen hoe bandbreedte wordt gebruikt door verschillende applicaties. Deze informatie kan worden gebruikt om kritieke applicaties te prioriteren, Quality of Service (QoS) instellingen aan te passen en ervoor te zorgen dat applicaties voldoende bandbreedte hebben om goed te presteren.

   Een callcenter vertrouwt bijvoorbeeld op een Voice over IP (VoIP) systeem om klantgesprekken af te handelen. Door NetFlow-gegevens te monitoren, merkt het IT-team op dat VoIP-verkeer concurreert met minder belangrijk verkeer, wat resulteert in slechte gesprekskwaliteit. Ze gebruiken deze informatie om QoS-instellingen aan te passen en VoIP-verkeer prioriteit te geven boven andere soorten verkeer om een betere gebruikerservaring te garanderen.

4. Capaciteitsplanning: Door NetFlow-gegevens in de loop van de tijd te analyseren, kunnen beheerders trends in netwerkgebruik identificeren en plannen voor toekomstige capaciteitsbehoeften. Als verkeer naar een bepaalde applicatie of server bijvoorbeeld consistent groeit, kunnen extra bandbreedte of hardwarebronnen nodig zijn om prestatieknelpunten te voorkomen.

   Een e-commercebedrijf monitort bijvoorbeeld hun netwerkverkeer met NetFlow en merkt over meerdere maanden een gestage toename in verkeer naar hun webservers op. Door deze trend te extrapoleren, kunnen ze inschatten wanneer ze meer servercapaciteit nodig hebben om de toegenomen belasting aan te kunnen en hier dienovereenkomstig voor budgetteren.