sudo iftop -n -N -P最有效，因同时禁用DNS解析（-n）和端口服务名转换（-N），避免卡顿与显示错误，并通过-P直接显示端口号，快速识别高流量服务；默认按2秒流量降序排列，首行即当前带宽占用最高连接。
直接用 sudo iftop -n -N -P 启动，界面默认就按当前 2 秒流量从高到低排序，排在第一行的主机对就是此刻带宽占用最高的。
为什么这个命令最有效
它同时关闭了 DNS 解析（-n）和端口服务名解析（-N），避免因查询延迟导致显示卡顿或不准；加上 -P 显示端口号，能一眼看出是哪个服务在发流量。不加这些参数时，iftop 可能花时间查 DNS，甚至卡住或显示不全。
快速定位关键信息
启动后注意三处：
- 左侧 IP:端口 → 右侧 IP:端口：箭头方向代表流向，“=>”是本机向外发送，“
- 最右三列数字：分别对应“2秒平均”“10秒平均”“40秒平均”，重点关注第一列（实时性最强）
- 底部 TX/RX/TOTAL 行：确认整体流量是否异常，比如 TX（发送）远高于 RX（接收），说明本机可能是被利用作反射源或正在外传数据
进一步缩小范围的操作
如果连接太多看不过来，进界面后可直接按快捷键：
-
l 键：输入某个 IP 段（如
192.168.1.）或端口（如:80），只留匹配项 - 1 键：按 2 秒平均流量重新排序（默认就是，但按一下可强制刷新）
- P 键：暂停画面，方便截图或抄录
- q 键：退出
确认是哪块网卡在跑流量
默认监控第一个活跃接口（常为内网卡 eth0）。若怀疑是外网被占满，务必指定公网接口：
-
sudo iftop -i eth1 -n -N -P（常见于阿里云/腾讯云的外网网卡） - 先用
ip -br a查清哪些接口有公网 IP，再针对性监控
