在Linux系统中，监控网络流量是系统管理员和开发人员的常见需求，无论是排查网络故障、优化性能，还是检测异常流量，掌握合适的命令工具都能事半功倍，Linux提供了多种命令行工具，它们从不同角度实现对网络流量的监控，有的侧重整体流量统计，有的关注实时数据传输，有的则能深入分析协议分布，本文将详细介绍几种主流的Linux流量监控命令，涵盖其基本用法、输出解读及适用场景,帮助读者根据实际需求选择合适的工具。
基础流量统计：ifconfig与netstat
ifconfig是Linux系统中传统的网络接口配置工具，虽然在新发行版中逐渐被ip命令取代，但其仍能快速查看网络接口的基本流量统计，通过ifconfig 网卡名命令，可以输出接口的接收（RX）和发送（TX）字节数、数据包数量及错误数等关键信息。ifconfig eth0会显示RX packets和TX packets，分别代表接收和发送的数据包总量，RX bytes和TX bytes则对应字节数，这些数据累计自接口启动以来，适合快速判断接口是否有过流量传输,但无法实时反映当前流量变化。
netstat命令则提供了更丰富的网络连接统计信息，结合-i参数可监控网络接口的流量数据。netstat -i会以表格形式输出各接口的接收/发送数据包、错误、碰撞及丢弃数量，与ifconfig相比，其输出更规整，便于对比不同接口的流量情况。netstat -c参数可实现持续监控，每隔固定时间刷新数据，适合观察流量随时间的变化趋势，ifconfig和netstat均缺乏实时流量速率的展示，且无法区分具体进程或协议的流量,适合初步排查网络状态。
实时流量监控：iftop与nethogs
iftop是一款轻量级的实时流量监控工具，以直观的界面显示网络接口的实时速率、连接目标及带宽占用情况，通过iftop -i 网卡名命令，屏幕会分为上下两部分：上半部分显示总带宽利用率（发送/接收速率），下半部分列出实时连接的IP地址、端口及对应的流量占比，支持排序（按带宽或连接数）和过滤（按主机或端口），iftop的优势在于实时性强，能快速定位流量较大的连接，适合监控服务器的实时出入站流量,尤其适用于检测异常连接或DDoS攻击。
nethogs则专注于按进程监控网络流量，解决iftop无法定位具体进程的问题，通过nethogs -i 网卡名命令，会列出每个进程的PID、名称及当前占用的上传/下载速率，当发现流量异常时，可直接定位到消耗带宽的进程，如恶意程序或高并发应用，nethogs支持实时刷新，且能区分IPv4和IPv6流量，对于需要排查进程级网络行为的场景（如后台偷偷上传数据的程序）非常实用，需要注意的是，nethogs需要root权限运行,且在高流量环境下可能消耗较多CPU资源。
系统级流量分析：sar与vnstat
sar是系统性能分析工具sysstat的一部分，通过-n DEV参数可监控网络设备的流量统计。sar -n DEV 1 5表示每秒采集一次数据，共采集5次，输出各接口的接收/发送速率（单位：KB/s）、数据包速率及错误率，sar的优势在于数据可长期保存，通过-o参数将结果写入文件，后续可通过-f参数历史数据分析流量趋势，特别适合服务器性能监控和流量预测，sar还能结合-n EDEV监控网络接口错误,帮助判断硬件故障或链路质量问题。
vnstat是一款基于数据库的网络流量监控工具，以轻量级方式统计每日、每月及每年的总流量数据，首次运行vnstat --live可实时查看当前流量速率，而vnstat -d、vnstat -m则分别显示每日和每月的流量统计，vnstat无需持续运行，通过后台服务定期采集数据，资源占用极低，适合长期监控网络流量使用情况，其数据默认保存在/var/lib/vnstat/目录下，支持持久化存储，即使系统重启也能保留历史记录，非常适合需要统计周期性流量的场景（如月度带宽使用报表）。
高级流量分析：tcpdump与Wireshark
tcpdump是Linux下强大的网络抓包工具，通过捕获网络数据包并分析其内容，可实现深度的流量分析。tcpdump -i eth0 -w capture.pcap可抓取eth0接口的所有数据包并保存为文件，tcpdump -i eth0 'tcp port 80'则可过滤出HTTP协议的流量，tcpdump支持丰富的过滤表达式（如按协议、端口、IP地址等），输出的数据包信息包含时间戳、源/目的地址、协议类型及数据内容，适合网络协议分析、故障排查和安全审计，tcpdump的输出为原始数据包格式,需要一定的网络知识才能解读。
Wireshark是tcpdump的图形化增强版，虽然通常通过GUI运行，但其命令行版本tshark可在Linux服务器端使用。tshark -i eth0 -T fields -e ip.src -e ip.dst -e tcp.port可提取数据包的源IP、目的IP和TCP端口等信息，并支持输出为CSV格式便于后续分析，Wireshark的优势在于提供直观的协议解码和流量统计图表，通过图形界面可快速定位异常数据包，适合复杂网络环境的深度分析，但相比tcpdump，Wireshark的资源占用更高,建议在性能充足的系统上使用。
综合监控工具：nload
nload是一款简单易用的实时流量监控工具，以双柱状图直观显示网络接口的接收和发送速率，并在底部累计总流量，通过nload -i 网卡名命令，屏幕左侧为接收流量（RX），右侧为发送流量（TX），柱状图高度实时反映当前速率，数值区域显示当前速率、平均速率及峰值速率，nload无需复杂配置，适合快速查看当前流量负载，尤其适合新手使用，但其功能相对单一，无法查看详细连接或进程信息,适合作为基础流量监控工具。
Linux提供了丰富的流量监控命令，从基础的ifconfig、netstat到高级的tcpdump、Wireshark，每种工具都有其独特的适用场景，ifconfig和netstat适合快速查看接口状态，iftop和nethogs擅长实时定位流量异常，sar和vnstat适用于长期趋势分析，而tcpdump和Wireshark则提供深度协议解析能力，在实际应用中，可根据监控需求（实时性、准确性、详细程度）和系统资源选择合适的工具，组合使用往往能达到最佳效果，先用iftop发现流量异常，再用nethogs定位进程，最后用tcpdump抓包分析具体原因，通过多工具协作,高效解决网络流量问题。
