sar -n DEV 5 10
=================================
http://369369.blog.51cto.com/319630/805726
Linux下网络流量实时监控工具
大全
在工作中发现，经常因为业务的原因，需要即时了解某台服务器网卡的流量，虽然公司也部署了cacti软件，但cacti是五分钟统计的，没有即时性，并且有时候打开监控页面不方便，个人喜欢随手在某台服务器上输入一个命令，查看网卡即时流量。百度了一下，发现有这么几种方法，现对此类软件进行了一个总结。
一、iptraf软件
rhel的iso里有包含，我公司的系统，并没有默认安装，它功能强大，可以按照协议，网卡等进行分析。
1.1 iptraf安装
源码安装
wget ftp://iptraf.seul.org/pub/iptraf/iptraf-3.0.0.tar.gz
tar zxvf iptraf-3.0.0.tar.gz
cd iptraf-3.0.0
./Setup
yum方式安装
yum install -y iptraf
1.2 iptraf使用
[root@kaifa opt]# iptraf
按任意键继续
第一项：IP流量监控
第二项：常规查看网卡流量状态。只查看各网卡的总流量
第三项：详细查看网卡流量状态。比如按TCP，UDP，ARP等协议查看
选all interfaces，查看所有网卡接口
界面分上下两部分，上部分可详细显示哪个与之相连的IP，发了多少包，即时流量是多少，下部分，可以显示udp等信息。
按Q退出监控界面，然后选择“Exit”退出iptraf。
第二、nload软件
rhel iso不带，需要去第三方网站下载源码包。功能相对单一，只能查看总的流量，不能像上款的iptraf那样，可看总流量，可细分查看其它协议点的流量。nload默认分为上下两块，每部分都有当前流量（Curr），平均流量(Min)，最大流量(Max)，总流量(Ttl)，看起来还是比较直观的。
2.1 nload安装
wget http://www.roland-riegel.de/nload/nload-0.7.2.tar.gz
tar zxvf nload-0.7.2.tar.gz
cd nload-0.7.2
./configure –prefix=/usr/local/nload
make
make install
2.2 nload使用
[root@kaifa opt]# /usr/local/nload/bin/nload eth0
第三、ifstat软件
rhel iso不自带，虽然到第三方网站下载源码包，编译安装。这个软件还有windows版，它可以报告网卡接口流量状态，能查看网卡的流出和流入的字节，是按每秒生产一次数据。
3.1 ifstat安装
wget http://gael.roualland.free.fr/ifstat/ifstat-1.1.tar.gz
tar -zxvf ifstat-1.1.tar.gz
cd ifstat-1.1
./configure --prefix=/usr/local/ifstat
make
make install
3.2 ifstat使用
3.3相关参数
-l 监测环路网络接口（lo）。缺省情况下，ifstat监测活动的所有非环路网络接口。经使用发现，加上-l参数能监测所有的网络接口的信息，而不是只监测 lo的接口信息，也就是说，加上-l参数比不加-l参数会多一个lo接口的状态信息。
-a 监测能检测到的所有网络接口的状态信息。使用发现，比加上-l参数还多一个plip0的接口信息，搜索一下发现这是并口（网络设备中有一 个叫PLIP (Parallel Line Internet Protocol). 它提供了并口...）
-z 隐藏流量是无的接口，例如那些接口虽然启动了但是未用的
-i 指定要监测的接口,后面跟网络接口名
-s 等于加-d snmp:[comm@][#]host[/nn]] 参数，通过SNMP查询一个远程主机
-h 显示简短的帮助信息
-n 关闭显示周期性出现的头部信息（也就是说，不加-n参数运行ifstat时最顶部会出现网络接口的名称，当一屏显示不下时，会再一次出现接口的名称，提示 我们显示的流量信息具体是哪个网络接口的。加上-n参数把周期性的显示接口名称关闭，只显示一次）
-t 在每一行的开头加一个时间 戳（能告诉我们具体的时间）
-T 报告所有监测接口的全部带宽（最后一列有个total，显示所有的接口的in流量和所有接口的out流量，简单的把所有接口的in流量相加,out流量相 加）
-w 用指定的列宽，而不是为了适应接口名称的长度而去自动放大列宽
-W 如果内容比终端窗口的宽度还要宽就自动换行
-S 在同一行保持状态更新（不滚动不换行）注：如果不喜欢屏幕滚动则此项非常方便，与bmon的显示方式类似
-b 用kbits/s显示带宽而不是kbytes/s(bit和byte有何区别应该都知道吧)
-q 安静模式，警告信息不出现
-v 显示版本信息
-d 指定一个驱动来收集状态信息
第四、sar软件
这个工具RHEL iso里包含，它是一个优秀的性能监控工具，不仅仅监控网络，它可以显示cpu，运行队列，磁盘i/o，分页(交换区)，内存，CPU中断等性能数据。Sar命令在sysstat包中，我公司系统没有安装此包，所以要安装它，才有sar命令。
4.1 sar安装
Yum install sysstat
4.2 sar使用
命令后面 5 2 意思是：每5秒钟取一次值，取2次。
IFACE：LAN接口
rxpck/s：每秒钟接收的数据包
txpck/s：每秒钟发送的数据包
rxbyt/s：每秒钟接收的字节数
txbyt/s：每秒钟发送的字节数
rxcmp/s：每秒钟接收的压缩数据包
txcmp/s：每秒钟发送的压缩数据包
rxmcst/s：每秒钟接收的多播数据包
第五、iftop软件
RHEL iso不自带，iftop可以用来监控网卡的实时流量（可以指定网段）、反向解析IP、显示端口信息等
5.1 iftop安装
wget http://www.ex-parrot.com/pdw/iftop/download/iftop-0.17.tar.gz
tar zxvf iftop-0.17.tar.gz
cd iftop-0.17
./configure –prefix=/usr/local/iftop
make
make install
5.2 iftop使用
[root@nfstest opt]# /usr/local/iftop/sbin/iftop
5.3、界面相关说明
界面上面显示的是类似刻度尺的刻度范围，为显示流量图形的长条作标尺用的。
中间的<= =>这两个左右箭头，表示的是流量的方向。
TX：发送流量
RX：接收流量
TOTAL：总流量
Cumm：运行iftop到目前时间的总流量
peak：流量峰值
rates：分别表示过去 2s 10s 40s 的平均流量
5.4、相关参数
常用的参数
-i设定监测的网卡，如：# iftop -i eth1
-B 以bytes为单位显示流量(默认是bits)，如：# iftop -B
-n使host信息默认直接都显示IP，如：# iftop -n
-N使端口信息默认直接都显示端口号，如: # iftop -N
-F显示特定网段的进出流量，如# iftop -F 10.10.1.0/24或# iftop -F 10.10.1.0/255.255.255.0
-h（display this message），帮助，显示参数信息
-p使用这个参数后，中间的列表显示的本地主机信息，出现了本机以外的IP信息;
-b使流量图形条默认就显示;
-f这个暂时还不太会用，过滤计算包用的;
-P使host信息及端口信息默认就都显示;
-m设置界面最上边的刻度的最大值，刻度分五个大段显示，例：# iftop -m 100M
本文出自 “系统网络运维” 博客，请务必保留此出处http://369369.blog.51cto.com/319630/805726
http://bbs.chinaunix.net/thread-2157639-1-1.html
用iptraf试试!
ifstat
iftop
http://cqfish.blog.51cto.com/622299/140359
[root@web01]# iptraf -d eth0
http://os.51cto.com/art/201005/202323.htm
四：Linux 网卡流量查看中sar 这个工具RHEL5自带有，默认也安装。一个强大的工具（好像这些工具都蛮强的），参数很多，有时间man一下。 -n参数很有用，他有6个不同的开关：DEV | EDEV | NFS | NFSD | SOCK | ALL 。DEV显示网络接口信息，EDEV显示关于网络错误的统计数据，NFS统计活动的NFS客户端的信息，NFSD统计NFS服务器的信息，SOCK显示套 接字信息，ALL显示所有5个开关。它们可以单独或者一起使用。我们现在要用的就是-n DEV了。 输入命令：sar –n DEV 1 4 <!--[if !vml]-->
====================================================
http://biancheng.dnbcw.info/linux/306229.html
ntop是基于sniffer的一种网络监控工具。把它安装在网关上面监控一段网络真的不错。他可以显示总的流量，还可以显示网段内机器的流量，包含每种服务的流量等。 功能真的很强大。
但是由于他是基于抓包的，比较耗费cpu资源
1.安装前要安装
#yum net-snmp-utils
#yum net-snmp
这二个包直接yum就行了，下面二个包要到http://rpm.pbone.net/自己找.
#rpm -ivh zenoss-2.1.1-0.el5.i386.rpm
#rpm -ivh ntop-3.3-1.el5.rf.i386.rpm
2.配置
备份ntop.conf
# cp /etc/ntop.conf /etc/ntop.conf.bak
建立NTOP储存db的资料夹:
# mkdir /var/www/html/ntop
# chown ntop.ntop /var/www/html/ntop
# ntop -A //设置ntop管理员密码
3.启动
#ntop -d -P /var/www/html/ntop/ -u nobody #基本-d表示后台启动 -w表示端口 -i表示接口
如果前面没有运行 ntop -A的话,启动画面跳过,跑到一半时会要求输入密码
ntop startup - waiting for user response!
Please enter the password for the admin user:
Please enter the password again:
要让系统启动时就启动ntop的话
# echo ´ntop -d -u nobody -P /var/www/html/ntop/ -w 3000 -i eth0´ > /etc/rc.local
4.测试和管理
预设的port为3000,如果您要自订port的话,请在启动NTOP时,加上一个参数,-w 比如说
如果我要把它改成6000的话,可以这样做: ntop -P /var/www/html/ntop -u nobody -w 6000
接下来开启浏览器,输入 http://IP address:3000,就可以看到NTOP的流量统计的网页.
5.后记:
更多NTOP的参数,请看man page.
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
另外一个例子
环境 redhat9.0 单块网卡
软件
gdome2-0.7.2-1.i586.rpm
ntop-3.0-0.i386.rpm
下载地址
ftp://ftp.task.gda.pl/vol/d35/ftp.pld-linux.org/dists/1.1/PLD/i586/PLD/RPMS/gdome2-0.7.2-1.i586.rpm
http://puzzle.dl.sourceforge.net/sourceforge/ntop/ntop-3.0-0.i386.rpm
1.下载
cd /tmp
wget -c -q ftp://ftp.task.gda.pl/vol/d35/ftp.pld-linux.org/dists/1.1/PLD/i586/PLD/RPMS/gdome2-0.7.2-1.i586.rpm &
wget -c -q http://puzzle.dl.sourceforge.net/sourceforge/ntop/ntop-3.0-0.i386.rpm &
rpm -ivh gdome2-0.7.2-1.i586.rpm
rpm -ivh ntop-3.0-0.i386.rpm
2.建立ntop.conf
cp /etc/ntop.conf.sample /etc/ntop.conf
3.首次启动（root）
/usr/bin/ntop -P /usr/share/ntop -u ntop -A
#-P [directory]指定.db档存放路径
#-u [user]指定service启动user
#-A 设定admin密码，ntop会内建admin管理者帐号于ntop中
4.查看首次启动所需动作
less /usr/share/doc/ntop-3.0/1STRUN.txt
5.编修/etc/ntop.conf档
vi /etc/ntop.conf
内容如下：
#eth0 是我的单块网卡 lo是回路
--interface eth0,lo
#--no-mac
#由于我只是一台机器所以下面的没加，如果您是在路由器或网关上请把对应的ip段改成自己的
--local-subnets 192.168.10.0/24
#运行端口
--http-server 3000
#数据库存放路径
--db-file-path /usr/share/ntop
#守护进程方式运行
--daemon
#用户名
--user ntop
#默认运行等级
--trace-level 3
#跳过所有错误
--disable-schedyield
6.启动ntop
/etc/init.d/ntop start
7.查看网络流量
http://localhost:3000/
8.停止为
/etc/init.d/ntop stop
http://www.ntop.org/ntop.html为ntop首页
里面有相关资料及抓图等
ntop若是架设在hub下时便能监视到网络上所有的封包。但若是架设在switch环境下时，除非是开放SPAN的功能否则只能监测给自己的封包。
本机测试环境为单机，标准安装。未配置插件条件下。如有兴趣可自行研究插件
由于ntop需要监听端口，所以最好用iptables限定某些ip可以浏览
否则可能带来安全性问题