嚴(yán)重問題！一臺(tái)Linux服務(wù)器，瞬間出口流量1Gb，無法定位程序

taoyantu

公司有一臺(tái)服務(wù)器，會(huì)無規(guī)律性的，在1,2秒內(nèi)，打開上萬的SYN-SENT請(qǐng)求，導(dǎo)致出訪帶寬瞬間達(dá)到 1Gb的流量， 通過iftop命令查看結(jié)果如下，但是一直無法定位是哪個(gè)應(yīng)用。

10.2.201.38                                               => 192.126.127.82                                              893Mb   766Mb   766Mb

每次故障，外網(wǎng)的ip都是不固定的�？赡苁敲绹�(guó)，英國(guó)，沒有任何規(guī)律
使用過 iftop,tcptrack,netstat，iptraf,等命令查看，但是，都只能查到當(dāng)時(shí)打開對(duì)外80端口的本機(jī)端口，馬上使用lsof -i:port 查看，均無法捕捉到進(jìn)程。因?yàn)闀r(shí)間實(shí)在是太短了。就是1秒左右的時(shí)間。請(qǐng)各位有經(jīng)驗(yàn)的朋友，幫忙看看能如何定位到進(jìn)程？
謝謝各位��！

seanking1987

我想這種情況，不能等出現(xiàn)問題了再來用命令去看。
而要做個(gè)shell/程序，不停的去寫信息(netstat/lsof等信息)到文件，等出問題后(只有1,2s)，再查看那個(gè)文件的信息,定位具體的問題。

rtm009

估計(jì)是被掛馬了 找專業(yè)的過來看吧！要不就是一個(gè)個(gè)文件去對(duì)比 多出來的就是了！

taoyantu

回復(fù) 2# seanking1987


    這種方法不行。。首先用lsof -i：port 定位進(jìn)程，就需要一定的時(shí)間，我使用curl進(jìn)行了測(cè)試，根本抓不到進(jìn)程。。實(shí)在是太快了。。

njnu

先梳理下自身進(jìn)程，排除法，重點(diǎn)關(guān)注可疑項(xiàng)