供应商希望你相信需要用数千美元的协议分析软件去解决IP电话(VoIP)网络语音。毕竟，数据包的延迟、丢失或乱序会直接影响通话质量。幸运的是，Wireshark是一个开放源代码的软件包，它可以实现这类工具所能实现的功能，甚至更多。

Wireshark，即以前被人们所熟知的 Ethereal，它是网络封包分析软件，使用WinPCAP作为接口，直接与网卡进行数据报文交换。它要做的就是监听网络流量，并用你需要的格式来显示包内容，帮助你发现问题。VOIP涉及一系列Wireshark可以解码并相互关联的复杂协议包。例如，建立一个通话的流程会用到很多协议，而不仅仅是语音流本身。Wireshark使用建立呼叫的信息来更好地理解语音流。用你手中的这些数据，可以进一步隔离VOIP中存在的问题。

想要查找的VoIP问题的原因，你必须能够跟踪从开始到结束的流程，并确保他们产生的是正确的事件。这不但要求你懂得基础协议，而且要理解一些电话的概念。幸运的是，Wireshark提供了一些优秀的工具，以帮助你解释数据。本文将把如何使用Wireshark工具作为重点，来解决3个最常遇到的VOIP问题。

第一个例子是，电话不工作。每次拨打一个号码，即使话机处于空闲状态，也不会有振铃。Wireshark这时就该查看话机和PBX(Private Branch Exchange)交换机之间的数据了。

以root身份启动Wireshark，点击 Capture->Option ，将会弹出捕获选项对话框，如图1所示，确保接口正在使用中，否则，你不会看到的流量。在这个例子中，我们捕获PBX唯一接口eth0的数据流量：

(图1：使用Wireshark分析VOIP的捕获选项对话框)
在捕获包之前，需要指定捕获数据包的过滤器选项，来限制你将要处理的数据包数量。因为，无论是信令流(SIP)还是语音流(RTP)都是基于UDP协议的，那我就可以指定UDP作为我捕获的过滤条件。为方便起见，我还可以用实时查询选项检查数据包的更新列表，以便我可以确认我得到适当的流量。点击开始按钮，开始捕捉，很快上方窗格中会显示几个数据包(图2)。

(图2：使用Wireshark捕获的IP电话的数据流量)

图2显示出了该分组的列表。前四列显示数据包的号，来源，时间以及所涉及的主机的地址。因为Wireshark抓SIP，它能够识别作为SIP数据包的协议列，并在信息栏上给出详细信息。

图2中信息的粗略检测表明：同样的三个数据包，来回重复了四次。第一个，IP话机主机向PBX主机发送了一个SIP INVITE信令，用以开始一个对话。接下来，PBX通过产生ACK返回给该话机“407代理服务器身份验证”响应，然后用数据包6做了第二次INVITE。由于这是个不断重复的过程，因此我们可以大致猜测是用户名或密码的错误导致身份验证失败。

监听:关于本地数据包的捕获

如果你要捕获的那些数据包，很多都没有到达运行Wireshark机器的网络接口，说明网络交换出了问题。只对某个抓包的通信端口进行限制以提高性能。生成树协议 和 IP协议只会在你试图捕获数据包的地方造成干扰。

你最好直接在那台参与工作的机器抓包，如果那台机器不能使用Wireshark，你总可以使用Tcpdump进行抓取本地的数据包，然后将其移动到其他计算机上，进行数据包分析。如果做不到，或者数据流量跨越多台机器，是时候该从你的网络硬件上寻求突破口了。

大多数管理型交换机可映射一个端口到其他端口所有的数据帧。因此，你可以用Internet将Wireshark 工作平台连接到你的交换机端口上，将所有的网络数据包映射到工作平台上。并且你还可以分析所有的互联网流量。思科 称之为 交换机端口分析器(SPAN)，惠普 称之为 端口监控器，3Com公司称其为 巡回分析端口。

选择哪个端口来做镜像取决于你网络情况，一般说来，连接到其他的交换机或路由器的端口是一个不错的选择，这也是降噪过滤器必须要解决的问题。

第一个例子利用了Wireshark的高级解析单个数据包的功能，以突出一个单调的问题。接下来的例子需要更加全面的分析VOIP。Wireshark 用来查看SIP呼叫的建立和确认关键数据包。在这个例子中，这个话机正用于 单通音频。外呼的电话振铃，然后接通，但是仅有一方可以听到声音。会话数据包以与前面的例子相同的方式被捕获，总共140帧。如果没有Wireshark中先进的分析工具提供支持，数据太多以至于无法进行分析。

随着捕获工具的加载，选择 Statistics Telephony->VoIP calls，Wireshark会分析捕获到的任何与VOIP相关的数据包，并显示数据包摘要。点击通话(如果有多个呼叫被显示出来，按住Ctrl可以选择其他通话)，然后点击Graph按钮。你会看到有关SIP呼叫的摘要，如图3所示：

(图3：SIP会话在Wireshark的图形界面中的显示)

(图4：包含SDP信息的SIP数据包在Wireshark图形界面中的显示)

每一行SDP消息，描述的是将要创建会话的特定属性，并遵循简单的形式，即：属性=值。其中”属性”是一个单个字母，而”值”是一个文本字符串。 Wireshark使用该协议的知识来添加一些额外的文本，比如属性的描述。对于VoIP会话，最重要的属性如下：
a—attributes，属性，例如编解码器和静音抑制
c—connection information，连接信息，包括IP地址期望的RTP流值
m—media description，间媒体描述，包括在RTP终端侦听的端口号
t—active time，工作时间。

从连接信息(c)行，可以确定正在发送数据的主机是IP为192.168.1.151的机器。m属性指定的是34008端口的RTP的期望值。通过属性，可以看到他提供 PCMU和PCMA的编码，包括GSM压缩格式和通过电话事件的按键音媒体格式。这个问题就是，提供的IP地址192.168.1.151是一个私有地址，无法到达网络。当远程主机尝试向192.168.1.151发送数据包时，数据包丢失，因为在网络上不存在这个路由。

完整起见，会话另一端的SDP信息在7.554时间线处。当提供的数据被确认后，在刚开始的SDP信息中，这两部电话开始相互向指定的IP和端口发送语音数据包，因为pbxhost提供了一个无效的地址fwd.pulver.com，语音呼叫的另一半是从未见过此这个请求的。

这是使用网关进行VoIP网络地址转换的常见问题，这个问题是可以根据需求，使用多种方法来解决的，当然这是另一个话题了！

至此，故障排除一直集中在网络电话的呼叫信令方面。一旦终端开始发送RTP流，网络质量又会成为话音质量的影响因素了。影响VoIP的网络因素有 延迟、波动(不稳定)、丢包。延迟即数据包从A终端到B终端所花费的时间。波动是数据序列包中延迟的变量。丢包是指从A终端发出，从未到达B终端的的报文数量。由于VoIP音频是通过实时UDP协议进行传输的，如果头域在乱序的数据包到达之前就已经打开了，那么这个数据包将被丢弃。

举最后一个案例，我发起一个通话，并捕获包括呼叫建立在内的数据包。Wireshark使用所述SIP信息以获得有关RTP分组流，使用RTP分析工具来获取更多详细信息。点击 Statistics→RTP→Show All Streams，Wireshark使用经过解码的数据包，以提供所有的音频对话和一些基本统计数据的列表，如图5所示。

(图5：Wireshark捕获的RTP数据流信息列表)

上图中显示出了4个RTP数据流，因为每个音频流包括两个方向的数据流，并且 PBX 主机用来桥接两个话机。用来判断数据流是否有问题的是最后一个字段，即Pb列。如果显示”X”字样，则表示与VoIP相关问题。这条数据流的最大延迟是84毫秒，质量还算可以。最大波动值也算不错，11毫秒(单向延迟150毫秒，波动20毫秒 都是可以接受的极限范围)，但 丢包却达到了将近20%，这是很可怕的。
点击并选中这条有问题的数据流，可做进一步的分析，然后 点击”Find Reverse”按钮，再选择会话的另一半，最后 点击”Analyze”按钮可以看到一个接一个的数据包流。丢失的数据包将会被标记上”Wrong sequence nr.”并显示出来，如图6所示。在该图上，还显示了一些有用的统计数据信息，比如当前的带宽，延迟 和 波动。

(图6：有关大量丢包的RTP数据流分析)

图6可以清晰地表明一些网络问题，因为丢包异常(稳定的带宽和固定间隔的丢包可以有力证明队列优先级超负荷或者加强了网络设备的监管)。这些丢包在反方向是看不到的，因为捕获包是在靠近会话的源端。点击”Save as CSV…”按钮，你可以保存窗口的内容。

网络问题是比较难解决的，因为它们需要与网络设备和其它潜在方的交互。如果你的VoIP环境不使用互联网，你可以在网络上捕获不同终端的数据包来查找是哪些因素导致的。如果通话数据流是通过互联网进行传输，你必须检查你与互联网的连接，或者需要运营商配合工作。

RTP分析可使用具有特殊配置的专用系统。如果遇到Wireshark的不识别的信令，它将不能够解码所有的RTP信息。点击 Edit->Preferences->Protocols->RTP 按钮，并试图检查解码会话以外的RTP数据包。分析可能会有点慢，但Wireshark的将尝试确定每一个属于RTP流的UDP数据包，让您使用RTP工具来查看通话。

我们在这里检测的最后一个特性是监听语音通话内容的能力。在打开的流分析窗口上点击”Save Payload…”按钮，选择.au格式的文件，并提供一个文件名，然后点击”OK”按钮，语音呼叫将自动保存到硬盘驱动器上。录音文件可以使用 XMMS，soxplay或其他音频播放器进行播放。

解决VoIP的问题不同于大多数其他网络故障诊断，因为独立的信令和语音协议，以及语音的实时性。这三个例子体现Wireshark的重要功能，他可以通过分析SIP呼叫的建立和RTP语音流来做专门的处理。对手的这些商业产品的功能，可以使你找到VoIP问题的根源所在。

Ngrep：致力于支持绝大部分的GNU的共同特性，将他们应用于网络层。它是一个抓包工具，允许指定各种规则或16进制表达式来匹配数据包的有效载荷。目前它可以识别到 IPv4/6, TCP, UDP, ICMPv4/6, IGMP和整个以太网的PPP，SLIP，FDDI，令牌环和空接口，并支持与常见抓包工具同样的方式BPF过滤逻辑，如：tcpdump 和 snoop 。   —-by Jordan Ritter

如何使用？原文阅读：点击这里

例：基本数据包的捕获

$ ngrep -d any port 25
$ ngrep -d any 'error' port syslog
$ ngrep -wi -d any 'user|pass' port 21

例：调试HTTP交互

$ ngrep port 80
$ ngrep -W byline port 80

例：处理PCAP转储文件，寻找.dump格式的包

$ ngrep -O /tmp/dns.dump -d any -T port domain
$ ngrep -w 'm' -I /tmp/dns.dump
$ ngrep -tD ns3 -I /tmp/dns.dump
$ ngrep -I /tmp/dns.dump port 80

$ ngrep not port 22 | strings 8

$ ngrep host 192.168.0.103

捕获并显示从eth0接口呼入/呼出的HTTP(TCP/80) GET方法或POST方法参数的网络流量

$ ngrep -l -q -d eth0 -i "^GET |^POST " tcp and port 80

捕获并显示从eth0接口呼入/呼出的HTTP(TCP/80)含有”User-Agent”字符串的网络流量

$ ngrep -l -q -d eth0 -i "User-Agent: " tcp and port 80

捕获并显示从eth0接口呼入/呼出的DNS(UDP/53)查询和响应的网络流量

$ ngrep -l -q -d eth0 -i "" udp and port 53

显示用SELECT语句查询你的MySQL服务器的语句和结果

$ ngrep -d eth0 -i 'select' port 3306

显示用SELECT语句查询你的MySQL服务器的语句和结果，并且查询会返回以下结果：

$ mysql -B -e 'select * from foo;' sandbox

 id	name	age
 1	Bob	23
 2	Alice	20

$ ngrep -d lo -wi "" port 3306

interface: lo (127.0.0.0/255.0.0.0)
filter: (ip or ip6) and ( port 3306 )
match: ((^\W)|(\W$)|(\W\W))
####
T 127.0.0.1:3306 -> 127.0.0.1:55741 [AP]
[...
5.5.43-0ubuntu0.14.04.1.....!!!#+N'v...................?wZ=bUblw5=t.mysql_native_password.
##
T 127.0.0.1:55741 -> 127.0.0.1:3306 [AP]
[...........!.......................sandusr...e....=_.P`..W...mQ.sandbox.mysql_native_password.
##
T 127.0.0.1:3306 -> 127.0.0.1:55741 [AP]
...........
#
T 127.0.0.1:55741 -> 127.0.0.1:3306 [AP]
!....select @@version_comment limit 1
#
T 127.0.0.1:3306 -> 127.0.0.1:55741 [AP]
.....'....def....@@version_comment..!.........................(Ubuntu).........
#
T 127.0.0.1:55741 -> 127.0.0.1:3306 [AP]
.....select * from foo
#
T 127.0.0.1:3306 -> 127.0.0.1:55741 [AP]
.....'....def.sandbox.foo.foo.id.id.?.......B...+....def.sandbox.foo.foo.name.name.!...........)....def.sandbox.foo.foo.age.age.?.................."......1.Bob.23.....2.Alice.20.......".
#
T 127.0.0.1:55741 -> 127.0.0.1:3306 [AP]
.....
###

$ ngrep -d any "error" port syslog

监听特殊的数据流

# Start `ngrep`:
$ ngrep -t '^(GET|POST|HEAD) ' 'dst host 67.207.152.20 and tcp and dst port 80'
# Then send a header request to a specific URL:
$ curl -I xtof.ch

interface: wlan0 (192.168.1.0/255.255.255.0)
filter: (ip or ip6) and ( dst host 67.207.152.20 and tcp and dst port 80 )
match: ^(GET|POST|HEAD) 
###
T 2015/06/11 12:05:09.321783 192.168.1.15:34116 -> 67.207.152.20:80 [AP]
  HEAD / HTTP/1.1..User-Agent: curl/7.35.0..Host: xtof.ch..Accept: */*....                                                                                                                                                          
###

或者，用新的命令行终止系统响应：

$ ngrep -t '^(GET|POST|HEAD) ' 'dst host 67.207.152.20 and tcp and dst port 80' -W byline

interface: wlan0 (192.168.1.0/255.255.255.0)
filter: (ip or ip6) and ( dst host 67.207.152.20 and tcp and dst port 80 )
match: ^(GET|POST|HEAD) 
###
T 2015/06/11 12:11:07.697041 192.168.1.15:34153 -> 67.207.152.20:80 [AP]
HEAD / HTTP/1.1.
User-Agent: curl/7.35.0.
Host: xtof.ch.
Accept: */*.
.

###

Tcpdump：是常用的命令行捕获分析器。它允许用户捕获并显示TCP/IP和其他正通过网络发送或接收的隶属于该计算机的数据包。还可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。

• 1.用法案例：

注：在以下案例中，我用类似 192.x.x.x IP地址 来代替实际的IP，用类似于 example.com 域名 代替实际域名。然而 例子中的本地主机名是“stine”，IP地址使用“192.168.0.14”。此外，某些输出出于说明目的已被删除或修改。

从一个特定的以太网接口抓包：

$ tcpdump -i eth0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
13:40:54.940904 IP stine.local.15342 > example.com.domain: 46527+ PTR? 14.0.168.192.in-addr.arpa. (42)
13:40:54.940918 IP stine.local.15342 > example.com.domain: 46527+ PTR? 14.0.168.192.in-addr.arpa. (42)
13:40:54.963406 IP example.com.domain > stine.local.15342: 46527 NXDomain* 0/1/0 (119)
13:40:54.964613 IP example.com.domain > stine.local.15342: 46527 NXDomain* 0/1/0 (119)
13:40:54.964656 IP stine.local > example.com: ICMP stine.local udp port 15342 unreachable, length 15
...
9 packets captured
32 packets received by filter
0 packets dropped by kernel

注意：当你不带任何选项执行“tcpdump”时，它会捕获所有流经的所有接口的报文。而”-i”选项则是用来捕获一个既定的以太网接口进行过滤。

仅捕获N个流经eth0接口的数据包：

$ tcpdump -c 2 -i eth0
14:05:49.749471 IP6 fe80::21a:d6ff:fe2b:4641 > ip6-allnodes: ICMP6, router advertisement, length 56
14:05:49.711275 IP stine.local.62198 > example.com.domain: 38572+ PTR? 1.4.6.4.2.6.e....0.8.e.f.ip6.arpa. (90)

用ASCII码显示捕获的数据包：

$ tcpdump -A -i eth0

捕获数据包并将其输出写入到二进制文件(利于今后对包的分析，如 wireshark)：

$ tcpdump -w tcpdump-20140103.pcap -i eth0

从以前保存的文件中的读取数据包(例如，用以前的命令)：

$ tcpdump -tttt -r tcpdump-20140103.pcap

用他们的实际IP地址来抓包(而不使用默认的反向DNS(RDNS)查找)：

$ tcpdump -n -i eth0

使用完整时间戳捕捉数据包：

$ tcpdump -tttt -n -i eth0
2014-01-03 14:19:16.882379 IP6 fe80::21a:d6ff:fe2b:4641 > ff02::1: ICMP6, router advertisement, length 56
2014-01-03 14:19:19.882169 IP6 fe80::21a:d6ff:fe2b:4641 > ff02::1: ICMP6, router advertisement, length 56

$ tcpdump -i eth0 greater 1024

$ tcpdump -i eth0 less 1024

$ tcpdump -i eth0 arp

$ tcpdump -i eth0 not arp and not rarp

$ tcpdump -i eth0 port 22

$ tcpdump -i eth0 dst 192.x.x.x and port 22

• 2.从Tcpdump操作手册派生出的案例

打印所有到达或从sundown发出的包内容：

$ tcpdump host sundown

$ tcpdump host helios and \( hot or ace \)

$ tcpdump ip host ace and not helios

tcpdump net ucb-ether

tcpdump 'gateway snup and (port ftp or ftp-data)'

tcpdump ip and not net localnet

tcpdump 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0 and not src and dst net localnet'

tcpdump 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'

tcpdump 'gateway snup and ip[2:2] > 576'

tcpdump 'ether[0] & 1 = 0 and ip[16] >= 224'

tcpdump 'icmp[icmptype] != icmp-echo and icmp[icmptype] != icmp-echoreply'

 0                   1                   2                   3
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|          Source Port          |       Destination Port        |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                        Sequence Number                        |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                    Acknowledgment Number                      |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|  Data |           |U|A|P|R|S|F|                               |
| Offset| Reserved  |R|C|S|S|Y|I|            Window             |
|       |           |G|K|H|T|N|N|                               |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|           Checksum            |         Urgent Pointer        |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                    Options                    |    Padding    |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                             data                              |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

U  A  P R S F
32 16 8 4 2 1

$ tcpdump 'tcp[13] & 2 != 0'

$ tcpdump 'tcp[13] & 32!=0' # OR: 'tcp[13] & 32 == 32' # Capture all URG (URGENT) packets
$ tcpdump 'tcp[13] & 16!=0' # OR: 'tcp[13] & 16 == 16' # Capture all ACK (ACKNOWLEDGE) packets
$ tcpdump 'tcp[13] & 8!=0'  # OR: 'tcp[13] & 8 == 8'   # Capture all PSH (PUSH) packets
$ tcpdump 'tcp[13] & 4!=0'  # OR: 'tcp[13] & 4 == 4'   # Capture all RST (RESET) packets
$ tcpdump 'tcp[13] & 2!=0'  # OR: 'tcp[13] & 2 == 2'   # Capture all SYN (SYNCHRONIZE) packets
$ tcpdump 'tcp[13] & 1!=0'  # OR: 'tcp[13] & 1 == 1'   # Capture all FIN (FINISH) packets
$ tcpdump 'tcp[13]=18'      # OR: 'tcp[13] == 18'      # Capture all SYNACK (SYNCHRONIZE/ACKNOWLEDGE) packets

'ether host 00:00:00:00:00:00'  # (replace with your MAC) Traffic to or from your MAC address
'!ether host 00:00:00:00:00:00' # (replace with your MAC) Traffic not to or from your MAC address
'broadcast'                     # Broadcast traffic only
icmp                            # ICMP traffic
'icmp[0:2] == 0x0301'           # ICMP destination unreachable, host unreachable
ip                              # IPv4 traffic only
ip6                             # IPv6 traffic only
udp                             # UDP traffic only

$ tcpdump 'tcp[13] = 6'

$ tcpdump 'tcp[tcpflags] & tcp-syn != 0'

$ tcpdump 'tcp[tcpflags] & (tcp-rst) != 0'

• 4.常用过滤器表达式格式：

监控呼叫中心Linux服务器网络带宽的18个常用命令行工具

本文介绍一些用来监控呼叫中心linux服务器带宽使用情况的命令行工具。这些工具可以监控通过网络接口传输的数据，并测量当前那些数据传输的速度。入站流量和出站流量分开来显示。有的命令可以显示单个进程所使用的带宽。这样一来，用户很容易发现过度使用网络带宽的某个进程。这些工具使用不同的机制来制作流量报告，nload等一些工具可以读取”proc/net/dev”文件，以获得流量统计信息；而一些工具使用pcap库来捕获所有数据包，然后计算总数据量，从而估计流量负载。

下面是按功能划分的命令名称。

• 监控总体带宽使用――nload、bmon、slurm、bwm-ng、cbm、speedometer和netload
• 监控总体带宽使用（批量式输出）――vnstat、ifstat、dstat和collectl
• 每个套接字连接的带宽使用――iftop、iptraf、tcptrack、pktstat、netwatch和trafshow
• 每个进程的带宽使用――nethogs

1. nload

nload是一个命令行工具，让用户可以分开来监控入站流量和出站流量。它还可以绘制图表以显示入站流量和出站流量，视图比例可以调整。用起来很简单，不支持许多选项。

所以，如果你只需要快速查看总带宽使用情况，无需每个进程的详细情况，那么nload用起来很方便。

1. $ nload

安装nload：Fedora和Ubuntu在默认软件库里面就有nload。CentOS用户则需要从Epel软件库获得nload。

1. # fedora或centos
2. $ yum install nload -y
3. # ubuntu/debian
4. $ sudo apt-get install nload

2. iftop

iftop可测量通过每一个套接字连接传输的数据；它采用的工作方式有别于nload。iftop使用pcap库来捕获进出网络适配器的数据包，然后汇总数据包大小和数量，搞清楚总的带宽使用情况。

虽然iftop报告每个连接所使用的带宽，但它无法报告参与某个套按字连接的进程名称/编号（ID）。不过由于基于pcap库，iftop能够过滤流量，并报告由过滤器指定的所选定主机连接的带宽使用情况。

1. $ sudo iftop -n

n选项可以防止iftop将IP地址解析成主机名，解析本身就会带来额外的网络流量。

安装iftop：Ubuntu/Debian/Fedora用户可以从默认软件库获得它。CentOS用户可以从Epel获得它。

1. # fedora或centos
2. yum install iftop -y
3. # ubuntu或 debian
4. $ sudo apt-get install iftop

3. iptraf

iptraf是一款交互式、色彩鲜艳的IP局域网监控工具。它可以显示每个连接以及主机之间传输的数据量。下面是屏幕截图。

1. $ sudo iptraf

安装iptraf：

1. # Centos（基本软件库）
2. $ yum install iptraf
3. # fedora或centos（带epel）
4. $ yum install iptraf-ng -y
5. # ubuntu或debian
6. $ sudo apt-get install iptraf iptraf-ng

4. nethogs

nethogs是一款小巧的”net top”工具，可以显示每个进程所使用的带宽，并对列表排序，将耗用带宽最多的进程排在最上面。万一出现带宽使用突然激增的情况，用户迅速打开 nethogs，就可以找到导致带宽使用激增的进程。nethogs可以报告程序的进程编号（PID）、用户和路径。

1. $ sudo nethogs

安装nethogs：Ubuntu、Debian和Fedora用户可以从默认软件库获得。CentOS用户则需要Epel。

1. # ubuntu或debian（默认软件库）
2. $ sudo apt-get install nethogs
3. # fedora或centos（来自epel）
4. $ sudo yum install nethogs -y

5. bmon

bmon（带宽监控器）是一款类似nload的工具，它可以显示系统上所有网络接口的流量负载。输出结果还含有图表和剖面，附有数据包层面的详细信息。

安装bmon：Ubuntu、Debian和Fedora用户可以从默认软件库来安装。CentOS用户则需要安装repoforge，因为Epel里面没有bmon。

1. # ubuntu或debian
2. $ sudo apt-get install bmon
3. # fedora或centos（来自repoforge）
4. $ sudo yum install bmon

bmon支持许多选项，能够制作HTML格式的报告。欲知更多信息，请参阅参考手册页。

6. slurm

slurm是另一款网络负载监控器，可以显示设备的统计信息，还能显示ASCII图形。它支持三种不同类型的图形，使用c键、s键和l键即可激活每种图形。slurm功能简单，无法显示关于网络负载的任何更进一步的详细信息。

1. $ slurm -s -i eth0

安装slurm

1. # debian或ubuntu
2. $ sudo apt-get install slurm
3. # fedora或centos
4. $ sudo yum install slurm -y

7. tcptrack

tcptrack类似iftop，使用pcap库来捕获数据包，并计算各种统计信息，比如每个连接所使用的带宽。它还支持标准的pcap过滤器，这些过滤器可用来监控特定的连接。

安装tcptrack：Ubuntu、Debian和Fedora在默认软件库里面就有它。CentOS用户则需要从RepoForge获得它，因为Epel里面没有它。

1. # ubuntu, debian
2. $ sudo apt-get install tcptrack
3. # fedora, centos（来自repoforge软件库）
4. $ sudo yum install tcptrack

8. vnstat

vnstat与另外大多数工具有点不一样。它实际上运行后台服务/守护进程，始终不停地记录所传输数据的大小。之外，它可以用来制作显示网络使用历史情况的报告。

1. $ service vnstat status
2. * vnStat daemon is running

运行没有任何选项的vnstat，只会显示自守护进程运行以来所传输的数据总量。

1. $ vnstat
2. Database updated: Mon Mar 17 15:26:59 2014
3. eth0 since 06/12/13
4. rx:  135.14 GiB      tx:  35.76 GiB      total:  170.90 GiB
5. monthly
6. rx      |     tx      |    total    |   avg. rate
8. ————————+————-+————-+————-
9. Feb ’14      8.19 GiB  |    2.08 GiB  |   10.27 GiB |   35.60 kbit/s
10. Mar ’14      4.98 GiB  |    1.52 GiB  |    6.50 GiB |   37.93 kbit/s
11. ————————+————-+————-+————-
12. estimated       9.28 GiB |    2.83 GiB  |   12.11 GiB |
13. daily
14. rx      |     tx      |    total    |   avg. rate
15. ————————+————-+————-+————-
16. yesterday     236.11 MiB |   98.61 MiB |  334.72 MiB |   31.74 kbit/s
17. today    128.55 MiB |   41.00 MiB |  169.56 MiB |   24.97 kbit/s
18. ————————+————-+————-+————-
19. estimated       199 MiB |      63 MiB |     262 MiB |

想实时监控带宽使用情况，请使用”-l”选项（实时模式）。然后，它会显示入站数据和出站数据所使用的总带宽量，但非常精确地显示，没有关于主机连接或进程的任何内部详细信息。

1. $ vnstat -l -i eth0
2. Monitoring eth0…    (press CTRL-C to stop)
3. rx:       12 kbit/s    10 p/s          tx:       12 kbit/s    11 p/s

vnstat更像是一款制作历史报告的工具，显示每天或过去一个月使用了多少带宽。它并不是严格意义上的实时监控网络的工具。

vnstat支持许多选项，支持哪些选项方面的详细信息请参阅参考手册页。

安装vnstat

1. # ubuntu或debian
2. $ sudo apt-get install vnstat
3. # fedora或 centos（来自epel）
4. $ sudo yum install vnstat

9. bwm-ng

bwm-ng（下一代带宽监控器）是另一款非常简单的实时网络负载监控工具，可以报告摘要信息，显示进出系统上所有可用网络接口的不同数据的传输速度。

1. $ bwm-ng
2. bwm-ng v0.6 (probing every 0.500s), press ‘h’ for help
3. input: /proc/net/dev type: rate
4. /         iface                   Rx                   Tx                T
5. ot=================================================================
6. ==           eth0:           0.53 KB/s            1.31 KB/s            1.84
7. KB             lo:           0.00 KB/s            0.00 KB/s            0.00
8. KB————————————————————————————————————-
9. total:           0.53 KB/s            1.31 KB/s            1.84
10. KB/s

如果控制台足够大，bwm-ng还能使用curses2输出模式，为流量绘制条形图。

1. $ bwm-ng -o curses2

安装bwm-ng：在CentOS上，可以从Epel来安装bwm-ng。

1. # ubuntu或debian
2. $ sudo apt-get install bwm-ng
3. # fedora或centos（来自epel）
4. $ sudo apt-get install bwm-ng

10. cbm：Color Bandwidth Meter

这是一款小巧简单的带宽监控工具，可以显示通过诸网络接口的流量大小。没有进一步的选项，仅仅实时显示和更新流量的统计信息。

1. $ sudo apt-get install cbm

11. speedometer

这是另一款小巧而简单的工具，仅仅绘制外观漂亮的图形，显示通过某个接口传输的入站流量和出站流量。

1. $ speedometer -r eth0 -t eth0

安装speedometer

1. # ubuntu或debian用户
2. $ sudo apt-get install speedometer

12. pktstat

pktstat可以实时显示所有活动连接，并显示哪些数据通过这些活动连接传输的速度。它还可以显示连接类型，比如TCP连接或UDP连接；如果涉及HTTP连接，还会显示关于HTTP请求的详细信息。

1. $ sudo pktstat -i eth0 -nt
2. $ sudo apt-get install pktstat

13. netwatch

netwatch是netdiag工具库的一部分，它也可以显示本地主机与其他远程主机之间的连接，并显示哪些数据在每个连接上所传输的速度。

1. $ sudo netwatch -e eth0 -nt
2. $ sudo apt-get install netdiag

14. trafshow

与netwatch和pktstat一样，trafshow也可以报告当前活动连接、它们使用的协议以及每条连接上的数据传输速度。它能使用pcap类型过滤器，对连接进行过滤。

只监控TCP连接

1. $ sudo trafshow -i eth0 tcp
2. $ sudo apt-get install netdiag

15. netload

netload命令只显示关于当前流量负载的一份简短报告，并显示自程序启动以来所传输的总字节量。没有更多的功能特性。它是netdiag的一部分。

1. $ netload eth0
2. $ sudo apt-get install netdiag

16. ifstat

ifstat能够以批处理式模式显示网络带宽。输出采用的一种格式便于用户使用其他程序或实用工具来记入日志和分析。

1. $ ifstat -t -i eth0 0.5
2. Time           eth0
3. HH:MM:SS   KB/s in  KB/s out
4. 09:59:21   　   2.62      2.80
5. 09:59:22   　   2.10      1.78
6. 09:59:22   　   2.67      1.84
7. 09:59:23    　  2.06      1.98
8. 09:59:23    　  1.73      1.79

安装ifstat：Ubuntu、Debian和Fedora用户在默认软件库里面就有它。CentOS用户则需要从Repoforge获得它，因为Epel里面没有它。

1. # ubuntu, debian
2. $ sudo apt-get install ifstat
3. # fedora, centos（Repoforge）
4. $ sudo yum install ifstat

17. dstat

dstat是一款用途广泛的工具（用python语言编写），它可以监控系统的不同统计信息，并使用批处理模式来报告，或者将相关数据记入到CSV或类似的文件。这个例子显示了如何使用dstat来报告网络带宽。

安装dstat

1. $ dstat -nt
2. -net/total- —-system—-
3. recv  send|     time
4. 0     0 |23-03 10:27:13
5. 1738B 1810B|23-03 10:27:14
6. 2937B 2610B|23-03 10:27:15
7. 2319B 2232B|23-03 10:27:16
8. 2738B 2508B|23-03 10:27:17

18. collectl

collectl以一种类似dstat的格式报告系统的统计信息；与dstat一样，它也收集关于系统不同资源（如处理器、内存和网络等）的统计信息。这里给出的一个简单例子显示了如何使用collectl来报告网络使用/带宽。

1. $ collectl -sn -oT -i0.5
2. waiting for 0.5 second sample…
3. #         <———-Network———->
4. #Time       KBIn  PktIn  KBOut  PktOut
5. 10:32:01      40     58     43      66
6. 10:32:01      27     58      3      32
7. 10:32:02       3     28      9      44
8. 10:32:02       5     42     96      96
9. 10:32:03       5     48      3      28

安装collectl

1. # Ubuntu/Debian用户
2. $ sudo apt-get install collectl
3. #Fedora
4. $ sudo yum install collectl

结束语

上述几个使用方便的命令可以迅速检查Linux服务器上的网络带宽使用情况。不过，这些命令需要用户通过SSH登录到远程服务器。另外，基于Web的监控工具也可以用来实现同样的任务。

ntop和darkstat是面向Linux系统的其中两个基本的基于Web的网络监控工具。除此之外还有企业级监控工具，比如nagios，它们提供了一批功能特性，不仅仅可以监控服务器，还能监控整个基础设施。

原文链接：http://www.binarytides.com/linux-commands-monitor-network/