宝塔「实时带宽」仅为总出口流量，无法定位具体原因，须用iftop -p 80,443 -n -t -l 30查tx列>500kb/s的ip及进程，并结合nginx日志grep分析状态码与响应体大小。
宝塔面板的「实时带宽」数字只是总出口流量，看不出是 PHP 自调用、CDN 回源失效，还是某个接口被业务方误刷——真要定位，得结合 iftop 和日志交叉验证。
怎么看哪个 IP 正在狂刷出向带宽
带宽跑满绝大多数情况是 TX（发送）拉满，说明服务器在拼命往外吐数据。别只盯着宝塔首页那个 Mbps 数字，进终端执行：
-
iftop -P 80,443 -n -t -L 30：只看 HTTP/HTTPS 流量，禁用域名解析，文本模式输出前 30 行 - 重点关注 “TX” 列持续 >500KB/s 的行，右侧会显示对应
pid/program - 若看到
php-fpm占高位，大概率是脚本死循环调自己或第三方 API；若看到curl或wget，优先查定时任务和 WebShell -
127.0.0.1高 TX 不代表安全——可能是 Nginx 和 PHP-FPM 之间异常通信，比如 FastCGI 请求头没关 keepalive 导致连接堆积
怎么快速确认可疑 IP 干了啥
找到高 TX 的 IP 后，立刻去对应站点日志里搜它的行为，路径通常是 /www/wwwlogs/yourdomain.com.log：
- 查最近 50 条：
grep "123.45.67.89" /www/wwwlogs/yourdomain.com.log | tail -50 - 重点看状态码：
200但响应体极大（比如返回整张用户表），说明接口没分页；404或500高频出现，可能是扫描器或配置错误 - 如果用了 CDN，
$1是 CDN 节点 IP，真实 IP 在$http_x_forwarded_for—— 若 Nginx 日志格式没显式记录这个变量，所有分析都失真 - 日志路径不对或格式被改过（比如删了
log_format main），宝塔「流量统计」页面就会一直显示“暂无数据”
为什么直接看日志比依赖面板图表更可靠
宝塔「流量统计」本质是定时解析日志的离线工具，有延迟、有缓存、还依赖日志格式严格匹配：
- 磁盘满（
df -h /www查）会导致日志静默停止写入，面板却不会报错 - 日志被
logrotate切割成yourdomain.com.log-2026-04-17.gz后，GoAccess 等工具默认不支持直接读 gz 文件，得用zcat管道：zcat /www/wwwlogs/yourdomain.com.log-$(date -d "yesterday" +%Y-%m-%d).gz | goaccess -a --log-format=COMBINED -o /www/wwwroot/report.html - 想查“最近一小时谁访问最多”，一行
awk就够：awk '$4 > "[2026/Apr/18:11:" && $4
CDN 场景下最容易忽略的上行流量陷阱
CDN 上行流量持续跑满，八成不是攻击，而是缓存策略失效导致反复回源：
- 检查 CDN 控制台的「回源请求量」和「缓存命中率」，命中率长期低于 30% 就该怀疑配置
- Nginx 配置里是否加了
add_header Cache-Control "no-cache"或类似指令？这会让 CDN 每次都重新拉取 - 静态资源（JS/CSS/图片）没配
expires，或后端响应头带Cache-Control: private，也会强制回源 - 宝塔里「网站监控报表」插件若没手动填对 CDN 头字段（如
X-Forwarded-For），所有“真实 IP”统计全是假的
真正卡住排查节奏的，往往不是命令不会敲，而是没意识到 127.0.0.1 的高 TX 可能来自 PHP-FPM 子进程自调用，或者 CDN 回源时 Nginx 响应头悄悄覆盖了缓存策略。
