51工具盒子例如，消耗流量的 IP 为201.205.141.123，则执行以下命令：
lsof -i | grep 201.205.141.123
根据返回的如下结果，得知此服务器带宽主要由 SSH 进程消耗。
网络带宽突然升高，导致 ssh远程登录受限
（1）使用NetHogs定位哪个进程在占用流量
yum install nethogs -y
查看进程流量
# 执行以下命令，查看占用内网带宽的进程。
nethogs eth0
# 查询间隔(-d)5秒
nethogs eth1 -d 5
显示界面说明
在nethogs监控界面，按s可以按照Sent列进行排序，按r可以按照Received列进行排序，按m可以切换不同的统计单位显示，例如kb/s、kb、b、mb。监控界面信息说明如下所示。
(2)使用iftop定位哪个IP在占用流量
yum install lsof -y
<=、=> 表示流量的方向
TX 表示发送流量
RX 表示接收流量
TOTAL 表示总流量
Cum 表示运行 iftop 到目前时间的总流量
peak 表示流量峰值
rates 分别表示过去2s、10s和40s的平均流量
中间为外网ip或者域名； => 箭头表示流量方向，=>代表发送数据，<=代表接收数据；
最右边分为三小列，这些实时参 数分别表示外部IP连接到本机2秒内、10秒内和40秒内的平均流量值
(2) 根据 iftop 中消耗流量的 IP，执行以下命令，查看连接该 IP 的进程。
lsof -i | grep IP
sshd 12145 root 3u IPV4 3294018 0t0 TCP 10.144.90.86:ssh->203.205.141.123:58614(ESTABLISHED)
sshd 12179 ubuntu 3u IPV4 3294018 0t0 TCP 10.144.90.86:ssh->203.205.141.123:58614(ESTABLISHED)
iii.查看消耗带宽的进程，判断此进程是否正常。
如果消耗带宽较多的进程为业务进程，则需要分析是否由于访问量变化引起，是否需要优化空间或者 升级服务器配置。
如果消耗带宽较多的进程为异常进程，可能是病毒或木马导致，您可以自行终止进程或者使用安全软件进行查杀，也可以对数据备份后，重装系统。
更多 lsof
