入站流量远远超过出站流量是否正常？

Question

我在 coloc 主机上有一个 Web 服务器。所有“计划”活动都通过 HTTP 进行。（没有 FTP 服务器，没有 bittorrent 客户端，没有 IRC 机器人等）

我的入站流量始终比出站流量高 5-10 倍。（例如，在过去 24 小时内，我提供了 228MB 的数据，但收到了 1.94GB。）

1. 这是网络服务器的标准/预期吗？（我是否可能会因为数据包大小与 0 字节响应压倒了正常的反向关系而遭到挫败的恶意尝试的抨击？）

2. 如果这不是预期的，我应该使用什么工具来调查流量来自哪里？（服务器运行的是 Ubuntu 10.04。）

Answer 1

对于某些协议，是的。不给别人。答案是这取决于哪种流量对您的环境来说是“正常”的。

考虑一下网络浏览（让我们暂时同意它代表办公室的正常互联网流量）：

我想看看这个问题，所以我连接到serverfault.com然后去

GET questions/361329 HTTP/1.1
host: serverfault.com

我的出站流量（请求）的总大小：如果我们包括所有协议开销和我的浏览器将为图像等发出的额外请求，则可能为 1K。

serverfault.com 服务器处理我的请求并返回数百 KB 的 HTML、图像等。

出站流量：1k。入站流量：19k（从那个冒号开始）。

如果您是该等式的服务器的一半，那么您的出站流量远远超过您的入站流量是正常的。从匿名 ISP 的网络托管网络中查看此图：

现在，如果您的流量看起来不像您认为的那样，一个好的流量监控系统（或使用tcpdump/ ethereal/ 等几分钟）可能会让您了解正在发生的事情，或者至少在哪些端口上与谁通话.