Linux 网络性能监控工具：iftop、nethogs 与 bmon 实时监控网络流量

一、当我们在监控网络流量时，到底在关心什么？

每当服务器性能出现波动，或是用户投诉应用响应延迟时，网络带宽往往是最容易被怀疑的对象。就像给交通拥堵的城市道路安装监控摄像头，我们需要找到那些在网卡接口上"横冲直撞"的数据包。在Linux世界中，iftop、nethogs和bmon就像三位不同风格的交通警察，各自用独特的方式展现网络活动全貌。

二、环境准备与工具安装

（Ubuntu 22.04 LTS） 在深入使用工具前，让我们先做好基础部署。这里我们采用最广泛的Debian系发行版，其他发行版的读者只需替换包管理命令即可：

# 更新软件源清单
sudo apt update

# 安装必要工具组件
sudo apt install -y iftop nethogs bmon

# 验证工具版本
iftop -v | head -n1  # 输出iftop 1.0pre4版本信息
nethogs -V           # 显示nethogs 0.8.5版本标识
bmon -v              # 获取bmon 4.0版本详情

三、iftop：流量全景观察者

3.1 基础监控模式

sudo iftop -i ens33  # 监听主要物理网卡

进入交互界面后：

• 右侧箭头表示实时传输方向
• 中间带宽柱状图反映瞬时流量
• 底部汇总显示累计传输量 按t键切换显示模式时会发现，流量图表有四种形态，类似心电图的不同导联视图。

3.2 高级过滤技巧

# 仅监控来自特定网段的HTTP流量
sudo iftop -i ens33 -f "src host 192.168.1.0/24 and port 80"

# 显示端口号而非服务名称（需关闭DNS解析）
sudo iftop -P -n -i ens33

在运行期间按l键输入过滤表达式，可以动态调整显示内容，这对排查特定服务异常时特别有用。

3.3 实战排障案例

某次数据库同步异常时，通过以下命令发现异常连接：

sudo iftop -i ens33 -f "port 5432"  # 监控PostgreSQL默认端口

观察到来自未知IP的大量全量数据导出请求，及时阻止了数据泄露风险。

四、nethogs：进程级精准定位

4.1 基本运行模式

sudo nethogs ens33 -d 5  # 5秒刷新间隔

输出列信息包含：

• PID（进程号）
• 用户（运行者身份）
• 程序路径（部分截断）
• 上下行速率 当发现不明进程时，可以直接按m切换单位（KB/MB/GB）。

4.2 实时追踪技巧

# 以流量排序并监控指定协议
sudo nethogs -t tcp -c 3  # 追踪TCP流量，每秒刷新3次

# 输出日志到文件（便于后期分析）
sudo nethogs -t -c 10 > traffic.log 2>&1

4.3 容器环境监控

在Docker环境中运行时，需要添加--pid=host参数：

sudo docker run --pid=host --rm -it nethogs/nethogs

否则将无法正确识别容器进程的真实PID，这个细节经常被忽视。

五、bmon：模块化监控艺术

5.1 多界面切换演示

启动后界面分为三个区域：

bmon -p eth0 -o ascii:diagram  # 启用ASCII流量图

通过方向键可以：

• 左/右切换监控网卡
• 上/下选择显示模块
• 空格键冻结当前视图

5.2 界面自定义方案

修改~/.bmon.conf配置文件：

[output]
use_dynamic = 0      # 禁用动态宽度
rate_unit = kbit      # 默认单位修改
histogram = enabled   # 启用历史趋势图

5.3 高级统计模式

使用rrdtool存储历史数据：

bmon -p eth0 -o rrdtool:dir=/var/log/bmon/

生成的数据文件可通过其他工具生成趋势报表，这对于容量规划至关重要。

六、综合对比分析

6.1 三叉戟能力矩阵

6.2 典型应用场景

• iftop：定位突发的连接风暴
• nethogs：查找耗流量的僵尸进程
• bmon：长期运行趋势分析

6.3 避坑指南

1. 权限管控：尽量使用非root账号结合sudo执行
2. 采样频率：避免在千兆网卡上设置100ms以下间隔
3. 容器逃逸：在Kubernetes环境需要特权模式
4. 日志轮转：持续监控时设置logrotate策略

七、进阶应用组合

通过命名管道实现工具联动：

mkfifo /tmp/netpipe
bmon -o format:fmt='$(element:rxrate:bytes)' -i eth0 > /tmp/netpipe &
gnuplot -persist << EOF
plot "/tmp/netpipe" with lines
EOF

这样就能用gnuplot绘制实时流量曲线，创造出个性化监控方案。

八、未来演进方向

新一代工具如bpftrace正在改变监控格局。以下是基于eBPF的流量统计示例：

sudo bpftrace -e 'tracepoint:net:net_dev_start_xmit { @[args->name] = sum(args->len); }'

这种技术将内核级监控带入新维度，但传统工具仍有不可替代的价值。

九、工具哲学思考

优秀的系统工具如同瑞士军刀，每个功能模块都有特定适用场景。iftop像外科手术刀，精准解剖网络连接；nethogs如生物追踪器，揭示进程活动痕迹；bmon则是气象卫星，描绘宏观流量趋势。只有理解它们的观测维度差异，才能选择最佳排障组合。