七周二次课（5月7日)监控io性能、free命令、ps命令、查看网络状态、linux下抓包

10.6 监控IO性能

一、监控 io 性能

这个 iostat 命令，在安装 sar 命令的时候，就一块儿安装了，因此不用从新安装。具体用法见下图，

iostat 命令和 vmstat 挺像的，输入 iostat 能够直接查看磁盘显示状况，输入 iostat 1 就是每隔1秒显示一次，是动态命令，使用 ctrl + c 结束命令。sda 和 sdb 表示磁盘，第3 列和第4 列表示读和写的速度。这个命令没什么用处，由于命令 sar -b 也能够看出这些信息。

接着往下介绍命令 iostat -x 1

这个命令有一个很是重要的指标 %util ，表示 io 等待，在统计时间内全部处理IO时间，除以总共统计时间。例如，若是统计间隔1秒，该设备有0.8秒在处理IO，而0.2秒闲置，那么该设备的%util = 0.8/1 = 80%，因此该参数暗示了设备的繁忙程度。通常地，若是该参数是100%表示设备已经接近满负荷运行了（固然若是是多磁盘，即便%util是100%，由于磁盘的并发能力，因此磁盘使用未必就到了瓶颈）。
还有一个命令 iotop ，须要安装  

yum  install iotop

iotop 命令和 top 命令很像，也是动态显示，输入命令 iotop ，回车，见下图，

能够看到排序，可是 io 没有什么读写信息，也就没有什么排序。按字母 q 退出。

10.7 free命令

查看内存使用状况

能够看到当前系统的总内存大小以及使用内存的状况，单纯的 free 命令单位是 KB ，-m 选项的单位是 M ，-g 选项的单位是 G，-h 选项是智能的显示单位。其中，第2行是内存使用状况，第3行是 swap的使用状况。咱们关注的是第2行的数据， 系统初始化时，就已经分配出很大一部份内存给缓存（buff/cache），这部分缓存用来随时提供给程序使用，若是程序不用，那这部份内存就空闲。CPU 和磁盘之间，须要经过内存来缓存。从磁盘到CPU之间的内存叫 cache ，从CPU到磁盘之间的内存叫 buffer。
公式：total=used+free+buff/cache。
avaliable包含free和buffer/cache剩余部分。

10.8 ps命令

ps aux 命令显示当前系统的全部进程，它常常会连同管道符一块儿使用，用来查看某个进程或者它的数量，见下图:

-elf 的用法和 aux 大同小异，显示的信息基本上是同样的

接着介绍 ps aux 命令结果里面几个参数的意义：
USER：进程的运行用户
PID ：进程的id，这个id颇有用，在linux中内核管理进程就得靠pid来识别和管理某一个程序，好比我想终止某一个进程，则用 kill 进程的pid 有时并不能杀掉，则须要加一个-3选项了 kill -3 进程pid
如今假设 PID 为476的进程是非法进程，先查看一下进程的目录，看看进程是从哪边启动起来的，就是下图红色框框绿色字体的内容。

%CPU CPU百分比
%MEM 内存百分比
VSZ 虚拟内存
RSS 物理内存
START 何时启动
TIME 运行多久
COMMAND 命令
STAT ：表示进程的状态，进程状态分为如下几种（不要求记住，但要了解）
D 不能中断的进程（一般为IO）
R 正在运行中的进程
S （大写的S）已经中断的进程，一般状况下，系统中大部分进程都是这个状态
T 已经中止或者暂停的进程

W 这个好像是说，从内核2.6xx 之后，表示为没有足够的内存页分配
X 已经死掉的进程（这个好像历来不会出现）
Z 僵尸进程，杀不掉，打不死的垃圾进程，占系统一小点资源，不过没有关系。若是太多，就有问题了。通常不会出现。
< 高优先级进程，CPU先给这些进程用
N 低优先级进程
L 在内存中被锁了内存分页（还没见过，了解便可）
s （小写的s）主进程，通常显示为 Ss 为主进程，S 为子进程。
l 多线程进程，意思就是这个进程有多个线程.

总结：
iostat -x %util表示在统计时间内全部处理IO时间，除以总共统计时间
iostat 显示当前磁盘使用状况
iostat 1 每隔1秒显示一次磁盘使用状况，是动态命令，使用 ctrl + c 结束命令
iotop 磁盘使用状况，按 io 排序
free 能够看到当前系统的总内存大小以及使用内存的状况，-m 单位M，-g单位G，-h智能显示单位
ps aux 静态的显示当前系统的全部进程，常常与 | 一块儿使用

10.9 查看网络状态

netstat 是在内核中访问网络链接状态及其相关信息的程序，它能提供TCP链接，TCP和UDP监听，进程内存管理的相关报告。
netstat 是控制台命令,是一个监控TCP/IP网络的很是有用的工具，它能够显示路由表、实际的网络链接以及每个网络接口设备的状态信息。netstat用于显示与IP、TCP、UDP和ICMP协议相关的统计数据，通常用于检验本机各端口的网络链接状况。
若是你的计算机有时候接收到的数据包致使出错数据或故障，你没必要感到奇怪，TCP/IP能够允许这些类型的错误，并可以自动重发数据包。但若是累计的出错状况数目占到所接收的IP数据报至关大的百分比，或者它的数目正迅速增长，那么你就应该使用netstat查一查为何会出现这些状况了。
netstat 命令的功能是显示网络链接、路由表和网络接口信息，可让用户得知有哪些网络链接正在运做。使用时若是不带参数，netstat显示活动的 TCP 链接。

netstat 命令用来打印网络链接情况、系统所开放端口、路由表等信息。最经常使用的关于netstat的命令就是这个 netstat -lnp （查看当前系统启动哪些端口）以及 netstat -an （查看网络链接情况）这两个命令很是有用。
正常状况下，一台机器是没有任何的端口监听，也就意味着它没有办法和其余的机器通讯。要想提供web服务，让其余人访问服务器和网站，就须要监听一个端口。那么怎么查看监听端口？输入命令 netstat -lnp ，回车，见下图，

只查看tcp和udp的命令，见下图，

netstat -ltnp    查看tcp

netstat -lunp    查看udp

netstat -ltunp   查看tcp和udp

还有一个命令: netstat -an   查看tcp/ip状态

叫TCP/IP的“三次握手，四次挥手”。“三次握手，四次挥手”是重点。
上图中常见状态即链接状态。在原模式中没有状态，在用户数据报协议中也常常没有状态，因而状态列能够空出来。如有状态，一般取值为：
LISTEN
侦听来自远方的TCP端口的链接请求
SYN-SENT
在发送链接请求后等待匹配的链接请求
SYN-RECEIVED
在收到和发送一个链接请求后等待对方对链接请求的确认
ESTABLISHED
表明一个打开的链接，表示正在通讯。这个数值须要关注，若是很大的话，说明系统如今很忙。一般状况下，1000之内，服务器都是能够接受的。
FIN-WAIT-1
等待远程TCP链接中断请求，或先前的链接中断请求的确认
FIN-WAIT-2
从远程TCP等待链接中断请求
CLOSE-WAIT
等待从本地用户发来的链接中断请求
CLOSING
等待远程TCP对链接中断的确认
LAST-ACK
等待原来的发向远程TCP的链接中断请求的确认
TIME-WAIT
等待足够的时间以确保远程TCP接收到链接中断请求的确认
CLOSED
没有任何链接状态

分享一个小技巧，能够查看全部的状态的数字，输入命令 netstat -an | awk '/^tcp/ {++sta[$NF]} END {for(key in sta) print key, "\t", sta[key]}' ，回车，见下图，

还有一个命令 ss ，它与 netstat 相似，见下图，

这个命令有个缺点，不会显示进程的名字，netstat 命令就能够。

netstat -lnp 查看当前系统启动哪些端口
netstat -an 查看网络链接情况
netstat -ltnp 查看当前系统启动的tcp端口
netstat -lunp 查看当前系统启动的udp端口
netstat -ltunp 查看当前系统启动的tcp和udp端口
netstat -an | awk '/^tcp/ {++sta[$NF]} END {for(key in sta) print key, "\t", sta[key]}' 能够查看全部的状态的数字。
课件地址在 centos7.aminglinux.com 
ss -an 与 netstat 殊途同归，都是查看状态的，不过它不会显示进程的名字
ss -an | grep -i listen 查看状态为 listen 的状况

10.10 linux抓包

命令tcpdump 默认没有安装, yum install tcpdump

tcpdump 最简单的用法: tcpdump -nn

命令这边的 -nn 中第1个 n 表示IP用数字的形式显示出来，若是不加就会显示成主机名

指定端口: tcpdump -nn port 22

排除相关端口: tcpdump -nn not port 22

加入条件查询: tcpdump -nn not port and host 115.192.98.9

指定数据包长度和个数:

tcpdump -nn -c 100

还能够指定存放的文件，文件名随便取:

tcpdump -nn -c 100 -w /root/network.cap

file 查看文件信息:  file /root/network.cap  ,查看到文件的大体信息

这个文件没法用 cat 命令查看，结果会出现一堆乱码，可使用 file 命令查看一下大体信息，也可使用 tcpdump 命令查看，须要加上 -r 

tcpdump -r /root/network.cap

结果就是一些数据流

tshark命令

须要安装wiresherk   :  yum install wireshark

安装完毕，往下操做，输入命令 tshark -n -t a -R http.request -T fields -e "frame.time" -e "ip.src" -e "http.host" -e "http.request.method" -e "http.request.uri" ，回车，见下图，

这个命令的结果相似于web的访问日志，包含时间、IP地址、访问的域名，连接等信息。

总结： tcpdump -nn -i ens33 查看数据的流向，可查看ip地址和端口 tcpdump -i ens33 不加-nn查看主机名，没有ip地址和端口 tcpdump -nn -i ens33 port 123 查看指定端口123的数据流向 tcpdump -nn -i ens33 not port 22 查看非指定端口22的数据流向 tcpdump -nn -i ens33 not port 22 and host 192.168.218.128 查看非指定端口22和ip地址是 192.168.218.128 的数据流向 tcpdump -nn -i ens33 -c 10 查看10个数据的流向 tcpdump -nn -i ens33 -c 10 -w /tmp/1.cap 查看10个数据的流向而且指定存放的路径/tmp/1.cap  tcpdump -r /tmp/1.cap 查看数据存放的文件