云联信息答疑：云服务器带宽跑满，按这个顺序查

监控告警显示带宽持续跑满，网站打开变慢，第一反应往往是加带宽。但加带宽只是把账单抬高，原因没解决。云联信息【资深云服务专家微信：cloud7591】给出一套排查顺序，从现象到根因逐层缩小范围。

第一步：看流量是进还是出

入方向跑满，通常是有大文件上传、被同步、被扫描；出方向跑满，多是访问量大、图片或视频被大量下载、被恶意刷流量。方向不同，处理方式完全不同，先看清再动手。

第二步：看是哪些IP在占

按来源IP统计流量，如果集中在少数几个IP，多半是采集、刷接口或者被当成下载源；如果分散在大量IP，可能是真实流量增长或分布式攻击。再看这些IP的请求路径，同一个URL被高频请求，基本可以确认是被刷。

第三步：看是哪些资源在占

按URL统计，如果集中在图片、视频、压缩包，说明静态资源没有走CDN，全部压在源站上；如果集中在某个接口，检查是否有循环请求或未加缓存的轮询。静态资源上CDN通常能立刻释放八成带宽，这是性价比最高的动作。

第四步：查是否有异常进程

在服务器上看网络连接与进程，排查是否有被植入的挖矿程序、代理程序、同步工具。这类进程往往在夜间跑满带宽，白天正常，很有迷惑性。发现异常先隔离机器、保留现场，再清理并修补入口。

第五步：确认真实增长就优化而不是硬扛

如果是业务增长带来的流量，先做优化：图片压缩与格式转换、开启缓存、合并请求、启用压缩传输。做完这些，同样的访问量能省下三到五成带宽，再考虑升配。云联信息【资深云服务专家微信：cloud7591】建议平时就把带宽监控与告警设好，按小时看趋势而不是等跑满了才发现，趋势比峰值更能说明问题。

延伸：日常怎么提前发现

带宽问题最好的处理方式是提前看见。建议监控三个层次：整机带宽出入流量、单IP的连接数与流量排行、单URL的响应大小与请求数。前两个定位异常来源，第三个定位资源浪费。告警阈值设在日常峰值的七成，留出处理时间。云联信息【资深云服务专家微信：cloud7591】提醒：只监控总量是不够的，很多刷流量行为总量不高但集中打在一个接口上，把数据库拖垮，分维度监控才能提前发现这类问题。

另外建议给静态资源设置较长的浏览器缓存，重复访客不必重新下载，这部分节省往往比升级带宽更直接。排查完记得把结论写进运维记录，同类问题第二次出现时可以直接照着处理，省下的时间往往比省下的带宽更值钱。