在麒麟OS中精准定位内网高流量进程，须用nethogs按进程+IP:Port拆解实时带宽，辅以iftop过滤内网网段并显示端口，最后通过系统监视器按“网络I/O”排序交叉验证并终止可疑进程。
在麒麟OS中精准定位向内网IP（如192.168.x.x、10.x.x.x、172.16–31.x.x）持续发送或接收大量数据的进程，不能只看总流量——必须穿透到连接层识别目标地址与端口归属，否则容器进程、沙盒应用或内核线程会隐藏真实源头。
先用nethogs按进程拆解实时内网带宽
这是唯一能直接将流量绑定到具体进程+IP:Port对的工具，无需反向解析，专治内网P2P、NAS同步、局域网备份等隐蔽传输场景。
1. 打开终端，执行：sudo apt-get install nethogs -y安装工具。
2. 运行：sudo nethogs enp0s3（将enp0s3替换为你实际的有线网卡名；无线网卡通常是wlp2s0）。
3. 界面立即显示每行一个进程，包含PID、用户、程序名、发送速率（sent）、接收速率（recv）及远程IP:Port——重点观察“DEST”列是否为内网地址（如192.168.1.100:445）。
4. 按Shift + R可切换按发送速率降序排列，快速揪出正在狂传文件到内网NAS的rclone或samba进程。
注意：若某行“DEST”显示为“?”,说明该连接未绑定明确远程地址，大概率是本地回环或UDP广播，暂可忽略。
再用iftop锁定内网连接的精确端口与进程名
当nethogs中进程名显示为“-”或你怀疑是容器内进程时，iftop能补全端口级上下文，确认是否为SMB共享、Windows文件复制或内网数据库同步。
方法一：基础内网流量过滤
1. 终端中执行：sudo iftop -f "host 192.168.1.0/24"（将192.168.1.0/24替换为你实际的内网网段，如10.0.0.0/8）。
2. 界面第三列（NET列右侧）会显示“PID/Program name”，若显示正常进程名（如nautilus、smbd），即可直接确认；若为“-”，说明该socket由内核或未命名服务发起。
方法二：强制显示端口号并聚焦活跃连接
1. 先查网卡名：ip -br a | grep UP | awk '{print $1}'，记下如ens11f0这类名称。
2. 运行：sudo iftop -i ens11f0 -P -f "dst port 445 or dst port 139"——【-P参数必须加，否则SMB等常见端口会被隐藏】，这条命令直指Windows文件共享常用端口。
3. 按o键仅显示当前屏幕可见连接，避免滚动遗漏；按l键可临时锁定某行高亮追踪。
最后用系统监视器交叉验证并终止可疑进程
图形化工具用于最终确认和一键干预，尤其适合非命令行用户快速收尾。
第一步：启动并筛选
1. 点击左下角“开始菜单”，搜索“系统监视器”并打开。
2. 切换到“进程”选项卡，点击表头“网络 I/O”列一次，按降序排列。
3. 观察顶部几个进程的“网络 I/O”值是否持续跳动（单位为B/s），同时右键→“属性”，在“详细信息”页查看其启动命令是否含rsync、scp、smbclient或minio等内网传输关键词。
第二步：强制结束
① 右键选中目标进程 → 选择“结束进程”。
② 若提示权限不足，说明是系统服务，需回到终端执行：sudo kill -9 PID（PID从系统监视器第一列获取）。
③ 结束后立即回到nethogs界面，确认对应行速率归零且DEST连接消失。
