背景：带宽跑满的常见场景与影响

带宽跑满是指网络出口或核心链路的使用率达到100%，导致延迟增加、丢包率上升，严重影响业务稳定。常见原因包括：突发大流量访问、DDoS攻击、内部应用异常外发数据（如病毒、P2P、备份任务）、配置错误导致环路等。当带宽跑满时，快速定位源头并采取缓解措施是运维人员的核心挑战。

流量监控：实时感知与历史回溯

有效的监控是溯源的前提。推荐部署以下工具：

• NetFlow/sFlow/IPFIX：通过流数据采集，能按源/目的IP、端口、协议、流量大小等维度统计，支持实时与历史分析。
• SNMP监控：对交换机和防火墙进行端口流量图监控（如Cacti、Zabbix），快速识别拥塞端口。
• 全流量抓包分析：部署探针或使用tcpdump/Wireshark，存储关键链路的完整数据包，用于深度排查。

建议设置带宽利用率告警阈值（如90%），触发后自动保留当时段流量快照。

溯源排查：四步定位异常流量

第一步：确定拥塞链路

查看网络拓扑中所有核心链路SNMP流量图，确认哪条链路最先达到100%。注意检查双向流量是否对称，排除负载均衡异常。

第二步：分析流数据，筛选Top N

在NetFlow分析平台中按流量大小排序，重点关注：

• 目的IP是否异常（如海外IP、已知威胁IP）
• 端口号是否为非标服务（如UDP 12345）
• 是否为同一源IP发往多个目的IP（扫描特征）
• 是否为特定应用（如视频流、游戏更新）

若发现大流量来自内部IP，需进一步确认该主机业务是否合理。

第三步：抓包验证与深度检测

对可疑IP启用端口镜像或使用tcpdump抓取完整包。重点关注：

• 包长是否接近MTU（1518字节）
• 是否存在大量SYN攻击包或ICMP包
• 应用层协议是否符合预期（如HTTP、DNS等）

第四步：关联日志与告警联动

将流量数据与防火墙日志、IDS/IPS告警、DDoS防护平台事件关联。例如：某IP在带宽暴增前曾触发“异常DNS查询告警”，则可判断为该主机被控制成为僵尸节点。

典型案例排查思路（通用方法）

假设某IDC出口夜间带宽从200Mbps飙升至950Mbps。步骤如下：

1. SNMP显示核心路由器出口流量暴增，内部链路正常，说明攻击或异常出向流量来自内部。
2. NetFlow分析发现80%流量指向同一IP：端口为TCP 443，但实际此IP为已知CDN节点，且正常业务应占比较小。
3. 抓包发现该IP发送大量HTTPS请求，请求头部异常（User-Agent奇怪），且包间隔极短，疑似攻击。
4. 联系该IP对应的客户，确认其业务无此流量，建议临时黑洞路由，同时进一步分析源端IP是否被入侵。

总结与建议

带宽跑满溯源的关键在于“事前监控+事中快速定位+事后溯源”。建议IDC运维团队：

• 部署成熟流量分析系统（如ntopng、ELK+NetFlow）
• 建立流量基线模型，用机器学习检测异常突增
• 与DDoS防护服务联动，设置自动清洗策略
• 定期进行内部演练，缩短MTTR（平均修复时间）

通过体系化的监控与溯源能力，可将带宽故障影响降到最低。