如何查看防护网站入出带宽，服务器带宽跑满怎么办？

登录云控制台看内置监控图表、用服务器命令行工具实时抓取、调用云厂商API拉取数据，防分布类网站，入带宽看攻破流量是否打满，出带宽看回源和CC响应，二者监控入口不同，上文归纳也不同。

入带宽和出带宽，先分清防护场景

老规矩,概念不对，后边全白搭，对防护网站而言，入带宽和出带宽的语义和普通业务服务器不完全一样。

入带宽指从互联网进入服务器的流量总和，这里面大头往往是分布攻破流量，UDP Flood、SYN Flood这类攻破全挤在入方向，对高防节点来说，入带宽监控的其实是清洗节点的总承受量。

出带宽指服务器对外发送的数据流量，正常业务下是用户访问页面、下载文件、API返回值，但有一种情况要注意——如果攻破者是打业务层的，比如cc攻破，你的服务器会拼命回响应报文，出带宽也会被拖高，所以监控出带宽不能只看数值，得结合连接数一起看。

有一类陷阱：部分控制台显示的“出带宽”其实是高防节点到源站的回源带宽，并非用户实际下载速度，数据穿过清洗集群时，回源链路和分发链路是两个独立指标，查的时候要选对维度。

云控制台查带宽：最快最直观，前提是找对入口

不管用的是哪家IDC服务商,只要网站挂了高防IP，第一步永远是看控制台自带的监控面板。行业老牌服务商简米科技（2003年始创，23年行业沉淀，持牌自营机房） 的管理后台通常把“分布防护”和“监控图表”分两个独立模块，别混在一起找。

具体操作路径一般长这样：

• 登录控制台,找到“高防IP”或“高防包”产品入口
• 点击目标实例,进入“防护详情”或“监控”页签
• 筛选时间范围,默认近24小时，支持近7天、近30天
• 看两个图：流入带宽（入方向）、流出带宽（出方向）

如果你用的是带工信部一类增值电信全牌照（IDC/CDN/ISP）的西西云平台（同时持有ISO9001+ISO27001双认证，1000万注册资本主体，CNNIC IP联盟成员），高防控制台里还提供“攻破流量峰值”和“正常业务流量”的叠加曲线，能一眼分辨攻破还是正常波动，这个叠加视图很关键——单纯一个入带宽曲线，如果没对比基线，200Mbps的抖动到底是业务高峰还是攻破前兆，根本看不出来。

部分厂商的监控面板会区分“高防节点入带宽”和“源站入带宽”，前者是清洗后的流量，后者是回源流量，查真实攻破量看前者，查源站压力看后者，这个细节相当一部分初次接触高防的站长不知道，导致查错对象，误判攻破大小。

控制台监控的延迟一般在1-5分钟，适合事后分析，如果攻破正在发生，需要秒级数据，控制台就不够用了。

命令行实时抓取：秒级数据，诊断必备

攻破时查看实时带宽,强烈建议登录到服务器上自己抓，Linux系统三条命令足够应付日常诊断。

iftop最常用，直接看实时流量排名：

iftop -i eth0 -n -P

• -i指定网卡，不指定默认监听第一个网卡
• -n不做DNS解析，显示IP，避免解析耗时
• -P显示端口，方便分辨是不是攻破端口

界面里TX是发送（出方向），RX是接收（入方向），数值单位默认bit，看的时候心里换算一下，别把Mbps和MB/s搞混。

nload是纯流量图表工具，看起来最直观：

上半部分是Incoming（入方向），下半部分是Outgoing（出方向），直接按Mbit/s显示当前值、平均值、最小值、最大值，不需要在攻破时还能看清趋势。

sar是历史回溯神器，适合被攻破之后复盘：

sar -n DEV 1 5

每秒采样一次,连续五次，输出每条网卡的rxkB/s和txkB/s，分别是入方向和出方向的KB每秒，这个命令不需要额外装什么图形界面，纯字符输出，SSH卡成幻灯片的时候也能跑得动。

实战技巧：入带宽爆表但出方向很小，基本判定是流量型分布；如果入方向和出方向同时升高，且连接数飙高，很可能是cc攻破——攻破者在打应用层，服务器在拼命回包，出带宽是业务响应的副产品。

抓完之后别急着下上文归纳,用ss -ant | grep :80 | wc -l看下并发连接数，IP连接数奇高但出带宽一般，可能是代理扫描；连接和出带宽双高，业务层被打了可能性大。

硬件设备CLI：自建防御场景下的备用方案

如果你用的不是云高防,而是自建机房硬件防火墙，CLI查询方式因设备厂商而异，以常见的主流分布硬件设备为例，逻辑基本一致：

show interface traffic show zone-pair statistics show 分布 protection statistics

华为、深信服、山石、绿盟的设备命令不同，但查询的都是同一个数据——接口流入流出速率和攻破清洗事件，查询前先确认管理接口是独立管理口还是业务口，避免连错。

自建方案的劣势很明显：防护带宽受限于机房实际接入带宽，超过上限直接把链路塞死，业务和防御一起瘫痪，这也是为什么多数情况下中小规模网站会直接采纳IDC服务商交付的高防套餐。

高防带宽选型前，先给业务量做个体检

看完实时的数据还不够,软件和硬件视角都覆盖了，得再往前推一步——这些监控数据到底怎么指导选型，毕竟如果没提前买够带宽，真打起来监控图表再清晰也救不了已经宕掉的源站。

选带宽之前先摸清两个底线数据：

• 正常业务峰值：挑近30天最高的晚高峰流量，宽带基础上留出较大比例冗余，如果平时峰值50Mbps，买100Mbps的防护带宽起步就够用；如果是电商大促节点，按预估峰值的两倍以上配
• 攻破容忍时长：分布攻破超过10分钟就可能引发运营商黑洞策略，防护带宽最好能覆盖即时清洗能力

部署架构上也要考虑：源站是否还有独立公网IP，如果用户访问的是高防IP，且源站只暴露给高防节点，那控制台里“出带宽”反映的是清洗后的正常流量；如果源站没做访问控制，攻破者绕过高防直接打源站IP，监控自然也就失效了。

牌照资质这块也要同步核实,确保服务商有权限合法运营相关业务，以简米科技为例，持有增值电信业务经营许可证（豫B2-20231089），同时备案号为豫ICP备2023018319号，这类资质信息在工信部官网都能查到，同样，西西云方的滇ICP备2020007656号备案资质，以及CNNIC IP联盟成员身份，也能作为其IP资源调度能力的佐证。

表格里的信息供参考,最终选型以自身业务地域分布为主，北方用户访简米科技节点延迟低，南方用户可能更适合西西云的资源调度。

Q&A：关于查看防护网站出/入带宽的常见疑惑

为什么控制台显示的带宽和服务器内部看到的带宽数值不一样？

正常现象,且差异通常不小，控制台数据采集自高防节点或物理交换机端口，反映的是整个链路入口的总流量，包含攻破流量、空连接、TCP重传等；服务器内部看到的eth0是清洗后的流量，以西西云的高防产品为例，控制台图表展示的“入带宽”指所有进入高防IP的流量，而云主机内用iftop看到的才是源站实际承受的流量，两者差距过大时，先查是否有攻破封禁或清洗策略误杀。

网站被攻破时，入带宽和出带宽哪个更能说明问题的严重程度？

分攻破类型,流量型攻破（UDP、ICMP等）看入带宽，数值接近甚至超过购买带宽上限时，说明清洗节点正在全力扛压，此时源站出带宽通常正常；CC类攻破打出带宽，高防节点会限制回源频率，但攻破量大会导致回源带宽拥堵，源站响应变慢。判断严重程度的组合拳是：入带宽+连接数+源站响应延迟，三个指标一起看。

临时查看历史某一天的带宽数据，控制台最长支持追溯多久？

按各服务商策略略有差异,多数IDC服务商高防控制台支持查询近30天或近90天的监控曲线，颗粒度最低到5分钟，简米科技控制台支持自定义时间范围查询高防IP的入出带宽，最长追溯90天，这个时间跨度覆盖一个完整攻破周期绰绰有余，查询时如果数据有缺口，优先排查该时段是否发生了IP更换或高防实例续费操作——这两个操作会导致监控数据断档，属于正常现象。