云服务器ECS出现高带宽占用，如何排查和处理？-云小栈

云服务器 ECS 出现高带宽占用，通常意味着网络流量异常或业务负载突增。排查和处理需要遵循“定位源头 → 分析原因 → 实施优化”的逻辑。以下是系统化的排查步骤和解决方案：

一、快速确认现象

验证是否真实高带宽
- 登录阿里云控制台 → ECS 实例 → 监控图表 → 查看 公网出/入带宽 曲线，确认峰值是否超过阈值（如 90%+）。
- 注意区分 突发带宽（按量付费用户）和 固定带宽包 的计费模式差异。
检查是否触发安全限制
- 若带宽瞬间打满，可能是 DDoS 攻击或恶意扫描，需确认是否收到阿里云安全告警（云盾/态势感知）。

二、定位流量来源

1. 使用系统工具实时追踪

# 安装 iptraf-ng（轻量级实时监控）
yum install iptraf-ng  # CentOS/RHEL
apt-get install iptraf-ng  # Ubuntu/Debian

# 实时监控各进程的网络流量
iptraf-ng -i eth0

观察哪个进程的 TX/RX 流量最高，记录 PID。

# 替代方案：用 ss/netstat + lsof 组合
ss -tunap | awk '{print $5}' | sort | uniq -c | sort -rn | head -n 10  # 统计连接数最多的 IP
lsof -i -P -n | grep ESTABLISHED  # 查看具体进程占用的端口

2. 分析历史日志

Web 服务日志（Nginx/Apache）：

tail -f /var/log/nginx/access.log | awk '{print $7}' | sort | uniq -c | sort -rn | head -n 10

高频访问的 URL 或 IP 可能是爬虫/攻击源。

系统审计日志：
检查 /var/log/secure（CentOS）或 /var/log/auth.log（Ubuntu），确认是否有异常登录尝试。

3. 使用云监控工具

阿里云 云监控 → 自定义监控 → 添加 NetIn/NetOut 指标，设置告警规则。
通过 云解析 DNS 查看域名解析流量分布（排除 CDN 提速未生效问题）。

三、常见原因与针对性处理

场景 1：正常业务高峰

表现：促销活动期间、视频直播等合法流量激增。
处理：
- 临时升级带宽包（控制台操作，分钟级生效）。
- 启用 弹性伸缩组 自动扩容实例。
- 部署 CDN 提速静态资源（图片/JS/CSS），减少回源带宽。

场景 2：恶意攻击（CC/DDoS）

表现：大量短连接、特定 IP 高频请求、非业务时段异常流量。

处理：

开启 DDoS 基础防护（免费，限 5Gbps）或升级到 高防 IP。
在安全组中 封禁异常 IP 段：
```
iptables -A INPUT -s <攻击IP> -j DROP
```

配置 Nginx 限流：

limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;
location / {
limit_req zone=one burst=20 nodelay;
}

场景 3：内部程序异常

表现：单进程持续上传大文件、数据库备份任务未限速、病毒X_X脚本。
处理：
- 终止异常进程：kill -9 <PID>。
- 检查定时任务：crontab -l 或 /etc/cron.d/。
- 扫描恶意软件：
```
yum install clamav clamav-update  # 安装杀毒引擎
freshclam
clamscan -r /home /tmp
```

场景 4：配置错误导致重复传输

表现：循环重定向、API 无限重试、日志轮转失败。
处理：
- 检查应用代码中的重试逻辑（如 HTTP 客户端 retry_count 参数）。
- 优化日志策略：避免写入超大日志文件（使用 logrotate 压缩归档）。

四、预防性优化措施

带宽规划
- 对核心业务购买 固定带宽包（比按流量计费更稳定）。
- 使用 共享带宽包 聚合多实例流量，降低成本。
架构优化
- 静态资源托管至 OSS + CDN。
- 动态请求通过 负载均衡 SLB 分发到多台 ECS。
监控告警
- 设置云监控告警：当带宽利用率 >80% 时发送邮件/短信通知。
- 定期导出流量报表，分析趋势。
安全加固
- 最小化开放端口（仅保留 80/443/SSH 等必要端口）。
- 启用 WAF 防护 Web 层攻击。

五、紧急情况处理流程

graph TD
    A[发现带宽飙升] --> B{是否影响业务？}
    B -->|是| C[立即切换高防 IP/暂停非关键服务]
    B -->|否| D[启动流量分析]
    C --> E[联系阿里云工单支持]
    D --> F{定位原因}
    F --> G[攻击？] --> H[封禁 IP + 开启防护]
    F --> I[业务异常？] --> J[重启服务/回滚版本]
    F --> K[配置错误？] --> L[修正配置 + 限流]
    H & J & L --> M[复盘并优化监控策略]

💡 提示：若无法快速定位，可暂时通过 安全组规则临时阻断网络访问（仅允许内网或特定 IP），优先保障业务可用性，再深入排查。

通过以上步骤，90% 以上的带宽异常问题可在 30 分钟内定位并缓解。建议建立常态化监控机制，将被动响应转为主动防御。