Linux dropped如何监控 - 问答

Linux下监控Dropped（丢弃）数据包的方法

在Linux系统中，“dropped”（丢弃）数据包通常指因网络接口资源不足、防火墙拦截、内核协议栈处理异常等原因未被成功传输的数据包。有效监控dropped数据包需结合内核统计、防火墙日志、实时工具及系统日志，以下是具体方法：

Linux内核会统计每个网络接口的丢包情况，通过以下命令可快速查看：

ip -s link命令（推荐）：
显示网络接口的详细统计信息，重点关注rx_dropped（接收丢弃，如队列满）和tx_dropped（发送丢弃，如内存不足）字段。例如：
```
ip -s link show eth0
```
输出中RX: bytes packets errors dropped行即为接收方向的统计，dropped数值增长表示接口层有丢包。
/proc/net/dev文件：
直接读取该文件可获得更详细的接口统计（包括接收/发送的字节、包数、错误数、丢弃数）。例如：
```
cat /proc/net/dev | grep eth0
```
输出中第5列（rx_dropped）、第13列（tx_dropped）分别对应接收和发送的丢弃包数。

若数据包被防火墙规则（如DROP或REJECT）拦截，需通过日志记录定位：

配置iptables日志规则（临时生效）：
在iptables的INPUT/FORWARD/OUTPUT链中添加LOG规则，标记丢包事件。例如：
```
iptables -A INPUT -j LOG --log-prefix "IPTABLES-DROP: "
iptables -A FORWARD -j LOG --log-prefix "IPTABLES-DROP: "
```
此规则会记录所有被丢弃的数据包信息（如源/目的IP、端口、协议）。
查看系统日志：
日志通常位于/var/log/syslog（Ubuntu/Debian）或/var/log/messages（CentOS/RHEL），通过关键词搜索日志：
```
grep "IPTABLES-DROP" /var/log/syslog
```
日志中会显示被防火墙拦截的数据包详情，帮助判断是否因规则配置错误导致丢包。

watch命令+接口统计：
实时刷新接口的丢包计数，观察是否有持续增长。例如：
```
watch -n 1 "ip -s link show eth0"
```
每1秒刷新一次eth0接口的统计信息，若dropped数值不断增加，说明存在持续丢包。
nstat命令：
显示网络协议的统计信息，包括丢包数。例如：
```
nstat -a | grep -E "IpInDiscards|TcpInSegs|UdpInDatagrams"
```
其中IpInDiscards表示IP层丢弃的包数，TcpInSegs表示TCP层丢弃的段数，UdpInDatagrams表示UDP层接收的数据报数（结合errors字段可判断丢包情况）。

对于使用systemd的系统，可通过journalctl查看内核和防火墙日志：

journalctl -k | grep -i "drop\|discard"  # 查看内核日志中的丢包记录
journalctl -u firewalld --since "1 hour ago"  # 查看firewalld近1小时的日志（CentOS/RHEL）

日志中会记录丢包的原因（如kernel: dropping packet: no buffer space available表示内存不足导致的丢包）。

若怀疑特定源IP、目的IP或端口的丢包，可定制iptables规则精准追踪：

追踪特定源IP段：

iptables -A INPUT -s 192.168.1.0/24 -j LOG --log-prefix "SUSPECT-SRC-IP: "

追踪特定目的端口：
```
iptables -A INPUT -d 192.168.1.100 -p tcp --dport 80 -j LOG --log-prefix "SUSPECT-DST-PORT80: "
```
添加规则后，查看日志即可定位该IP段或端口的丢包情况，帮助缩小排查范围。

通过以上方法，可全面监控Linux系统中的dropped数据包，快速定位丢包原因（如接口资源不足、防火墙拦截、内核问题等），为后续优化提供依据。

0 赞

0 踩