# Debian/Ubuntu
sudo apt update
sudo apt install iftop

# CentOS/RHEL
sudo yum install epel-release
sudo yum install iftop

# Fedora
sudo dnf install iftop

# Arch Linux
sudo pacman -S iftop

# macOS
brew install iftop

iftop --version
# iftop version 1.0pre4

# iftop需要root权限或CAP_NET_RAW能力

# 方法1：使用sudo
sudo iftop

# 方法2：设置capabilities
sudo setcap cap_net_raw+ep /usr/sbin/iftop

# 普通用户可直接运行
iftop

# 全局配置
/etc/iftop

# 用户配置
~/.iftoprc

# 监控默认接口
sudo iftop

# 监控指定接口
sudo iftop -i eth0

# 监控所有接口
sudo iftop -i any

# 不解析主机名（更快）
sudo iftop -n

# 显示端口
sudo iftop -P

# 启动时显示端口
sudo iftop -P

# 运行时切换
# 按P显示端口

# 显示端口号（不解析服务名）
sudo iftop -n -P

# 显示服务名
sudo iftop -P
# 会将80显示为http，443显示为https

# 过滤特定主机
sudo iftop -f "host 192.168.1.100"

# 过滤特定网段
sudo iftop -f "net 192.168.1.0/24"

# 过滤特定端口
sudo iftop -f "port 80"

# 组合过滤
sudo iftop -f "host 192.168.1.100 and port 80"

# 排除特定主机
sudo iftop -f "not host 192.168.1.100"

# 按f进入过滤编辑模式
# 输入过滤表达式
# 按Enter确认

host 192.168.1.100          # 特定主机
src host 192.168.1.100      # 源主机
dst host 192.168.1.100      # 目标主机
net 192.168.1.0/24          # 网段

port 80                     # 特定端口
src port 80                 # 源端口
dst port 80                 # 目标端口
portrange 80-443            # 端口范围

tcp                         # TCP协议
udp                         # UDP协议
icmp                        # ICMP协议

host 192.168.1.100 and port 80           # 与
host 192.168.1.100 or host 192.168.1.200 # 或
not host 192.168.1.100                    # 非

# 只看Web流量
sudo iftop -f "port 80 or port 443"

# 只看特定服务器
sudo iftop -f "host 10.0.0.1"

# 只看外部流量
sudo iftop -f "not net 192.168.0.0/16"

# 只看数据库流量
sudo iftop -f "port 3306 or port 5432"

# 只看SSH流量
sudo iftop -f "port 22"

# 位模式（bits）
sudo iftop -B

# 字节模式（bytes）- 默认
sudo iftop

# 线性刻度
sudo iftop

# 对数刻度
# 运行时按L

# 查看峰值
# 底部显示peak值

# 重置统计
# 按r重置

# 2秒平均
# 按1

# 10秒平均（默认）
# 按2

# 40秒平均
# 按3

# 累计流量
# 按T

# 文本输出
sudo iftop -t -s 60 > iftop_output.txt

# -t: 文本模式
# -s 60: 运行60秒

# 输出到文件（持续运行）
sudo iftop -t | tee iftop_output.txt

# 运行一次并退出
sudo iftop -t -n -s 10

# 记录60秒
sudo iftop -t -s 60 > /tmp/iftop_$(date +%Y%m%d_%H%M%S).txt

# 查看详细统计
# 底部显示：
# TX: 发送统计
# RX: 接收统计
# TOTAL: 总流量

# 按T查看累计流量

# 禁用DNS解析（更快）
sudo iftop -n

# 显示端口号（不解析服务名）
sudo iftop -N

# 1. 查看整体流量
sudo iftop -i eth0

# 2. 找出流量最大的连接
# 按>按目标排序

# 3. 查看具体是哪个进程
sudo netstat -tulnp | grep <端口>

# 4. 或使用lsof
sudo lsof -i :<端口>

# 只看HTTP/HTTPS流量
sudo iftop -f "port 80 or port 443" -P

# 查看每个连接的流量
# 可以看到哪个客户端流量最大

# 只看外部流量（排除内网）
sudo iftop -f "not net 192.168.0.0/16 and not net 10.0.0.0/8"

# 查看哪些外部IP流量大

# 监控MySQL流量
sudo iftop -f "port 3306" -P

# 监控PostgreSQL流量
sudo iftop -f "port 5432" -P

# 监控Redis流量
sudo iftop -f "port 6379" -P

# 记录5分钟流量
sudo iftop -t -s 300 > /tmp/iftop_5min.txt

# 持续记录（每小时一个文件）
while true; do
    sudo iftop -t -s 3600 > /tmp/iftop_$(date +%Y%m%d_%H).txt
done

# 查看流量峰值
sudo iftop -i eth0

# 检查大量连接的IP
sudo iftop -n | awk '{print $1}' | sort | uniq -c | sort -rn

# 使用netstat检查连接数
netstat -an | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn

# ~/.iftoprc
# 配置示例

# 接口
interface: eth0

# 不解析DNS
dns-resolution: no

# 显示端口
port-display: yes

# 端口解析
port-resolution: yes

# 刻度
use-log-scale: no

# 单位
use-bit-rate: no

# 过滤器
filter: "not port 22"

# 排序
sort: 2s

# /etc/iftop
# 系统级配置

iftop -h

# 常用参数
iftop -i eth0        # 指定接口
iftop -n             # 不解析DNS
iftop -N             # 不解析端口
iftop -P             # 显示端口
iftop -B             # 显示位
iftop -b             # 显示刻度
iftop -f "filter"    # 过滤器
iftop -F net/mask    # 过滤网段
iftop -t             # 文本模式
iftop -s seconds     # 运行时间
iftop -L number      # 限制行数

# 错误信息
# iftop: SIOCGIFADDR: eth0: No such device

# 解决方案
sudo iftop

# 或设置capabilities
sudo setcap cap_net_raw+ep /usr/sbin/iftop

# 查看可用接口
ip link show

# 或
ifconfig -a

# 使用正确接口名
sudo iftop -i ens33

# 可能原因：没有流量

# 检查接口状态
ip link show eth0

# 生成测试流量
ping 8.8.8.8

# 再查看iftop
sudo iftop -i eth0

# 禁用DNS解析
sudo iftop -n

# 或修改/etc/hosts
# 添加常用主机映射

# 禁用DNS解析
sudo iftop -n

# 限制显示行数
sudo iftop -L 20

# 使用过滤器减少数据
sudo iftop -f "port 80"

# 快速输出
sudo iftop -t -n -s 1 > /tmp/iftop_quick.txt

# 循环监控
while true; do
    sudo iftop -t -n -s 60 > /tmp/iftop_$(date +%H%M%S).txt
    sleep 1
done

# 使用iftop找出异常流量
sudo iftop -i eth0

# 使用iptables封禁异常IP
sudo iptables -A INPUT -s 异常IP -j DROP

# 使用iftop监控
sudo iftop -i eth0

# 使用tcpdump抓包分析
sudo tcpdump -i eth0 -w capture.pcap host 异常IP

# iftop实时监控
sudo iftop -i eth0

# vnstat记录历史
vnstat -i eth0 -d

# 常用命令
sudo iftop                     # 默认监控
sudo iftop -i eth0             # 指定接口
sudo iftop -n                  # 不解析DNS
sudo iftop -P                  # 显示端口
sudo iftop -B                  # 以位显示
sudo iftop -f "port 80"        # 过滤端口
sudo iftop -f "host 1.2.3.4"   # 过滤主机
sudo iftop -t -s 60            # 文本模式60秒

# 常用交互键
n  # 切换DNS解析
P  # 切换端口显示
B  # 切换位/字节
L  # 对数刻度
<  # 按源排序
>  # 按目标排序
f  # 编辑过滤器
q  # 退出