Linux监控实战:磁盘IO与网络深度解析

在Linux服务器运维中，磁盘IO和网络是最容易成为性能瓶颈的两大子系统。一次线上故障，可能就是因为某个进程疯狂写磁盘，或者某个异常连接耗尽了带宽。本文系统梳理 Linux 下磁盘IO与网络监控的核心工具与实战技巧，帮助你在故障发生时快速定位问题根因。

一磁盘IO监控

1. iostat - 系统级IO全景监控

iostat（I/O Statistics）是 sysstat 软件包中的核心工具，用于监视系统磁盘I/O活动并汇报CPU使用情况。它适合从宏观层面判断系统是否存在I/O瓶颈。

# 安装

yum install -y sysstat  # CentOS/RHEL

apt install -y sysstat   # Debian/Ubuntu

命令格式

iostat[选项] [时间间隔] [次数]

常用参数

CPU指标说明

磁盘扩展指标说明（iostat -x）

性能判断要点

• %iowait 过高
   → 硬盘存在I/O瓶颈
• %idle 高但系统响应慢
   → 可能是内存不足导致CPU等待分配内存
• %idle 持续低于10%
   → CPU资源紧张
• await 远大于 svctm
   → I/O队列过长，需要优化
• %util 接近100%
   → 磁盘I/O满负荷（但不等于带宽用满）
• avgrq-sz
   越大越可能是顺序IO，越小越可能是随机IO

补充说明

svctm 指标在较新版本的 sysstat 中已被标记为不可靠（deprecated），因为现代存储设备可以并行处理I/O，svctm 的计算方式不再准确。建议重点关注 await 和 %util。

实战命令

# 每1秒采样，共5次，查看所有设备负载

iostat 1 5

# 每2秒显示磁盘统计，共3次

iostat -d 2 3

# 查看指定设备的扩展统计

iostat -x sda sdb 2 3

# 查看TPS和吞吐量（KB单位）

iostat -d -k 1 1

# 查看设备利用率和响应时间（最常用）

iostat -d -x -k 1 1

# 以MB为单位显示所有信息

iostat -m

2. iotop - 进程级IO监控

iostat 只能看到系统整体的I/O情况，如果需要定位哪个进程在疯狂读写磁盘，就需要 iotop。它类似 top 命令，但专注于磁盘I/O维度。

# 安装

yum install -y iotop    # CentOS/RHEL

apt install -y iotop     # Debian/Ubuntu

iostat vs iotop

iostat = 系统级IO监控（看设备整体）iotop = 进程级IO监控（看具体进程）排查问题时通常先用 iostat 确认瓶颈，再用 iotop 定位进程。

常用参数

交互快捷键

实战命令

# 只显示正在产生I/O的进程（最常用）

iotop -oP

# 每2秒刷新，共输出5次

iotop -d 2 -n 5

# 非交互模式写日志（后台运行）

nohup iotop -b -o -n 10 -d 5 -t > /tmp/iotop.log &

# 监控指定PID的IO

iotop -botq -p 8382

# 过滤IO大于0.2%的进程并记录时间

iotop -b | awk -F'%' '{if($(NF-1) > 0.2 && $(NF-1) ~ /[0-9]/ && $0 !~ /DISK/) print strftime("%Y-%m-%d %H:%M:%S"),$0}'

3. sar -d 磁盘活动监控

sar（System Activity Reporter）是 sysstat 套件的核心命令，可以收集、报告和保存系统活动数据。使用 -d 参数可监控磁盘IO，功能类似 iostat，但 sar 的优势在于可以查看历史数据。

# 命令格式sar [options] [-A] [-o file] t [n]# t=采样间隔  n=采样次数

磁盘监控输出字段

sar 磁盘分析要点

• avgqu-sz
   越低，设备利用率越好
• svctm
   应小于 await，否则说明队列排队严重
• %util
   接近 100% 说明磁盘已满负荷
• sar 的数据保存在 /var/log/sa/saDD，可回溯历史

# 每3秒采样，共5次，监控磁盘IO

sar -d 3 5

# 查看昨天的磁盘IO数据

sar -d -f /var/log/sa/sa$(date -d yesterday +%d)

二网络监控

1. netstat / ss - 网络连接状态监控

netstat 用于显示IP、TCP、UDP、ICMP协议相关的统计数据，是检查本机网络连接状态的经典工具。

重要提醒：netstat 已被 ss 取代

在较新的Linux发行版（如 CentOS 8+、Ubuntu 18.04+）中，netstat 属于 net-tools 包，已不再默认安装。推荐使用 ss（来自 iproute2 包）作为替代，ss 速度更快，尤其在连接数较多的服务器上优势明显。

常用参数

输出结构说明

netstat 输出分为两部分：

Active Internet connections（有源TCP连接）：

TCP连接状态速查

实战命令

# 查看所有TCP连接

netstat -atnp

# 查看所有UDP连接

netstat -aunp

# 各协议统计信息

netstat -s

# 显示网卡列表

netstat -i

# 显示路由表

netstat -r

# 统计各TCP状态的连接数（排障必备）

netstat -n | awk '/^tcp/ {++S[$NF]}; END {for(a in S) print a, S[a]}'

# 查找TIME_WAIT最多的前20个IP

netstat -n | grep TIME_WAIT | awk '{print $5}' | sort | uniq -c | sort -rn | head -20

# 统计每个IP到本机的连接数

netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr

# 查看80端口的所有连接IP及数量

netstat -plan | grep :80 | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nk1

# 检查ESTABLISHED连接数量

netstat -ntu | grep ESTABLISHED | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn

补充：ss 替代命令对照

# ss 等价命令（更快更高效）

ss -tnlp                                

# 等价于 netstat -tnlp

ss -s                                   

# 等价于 netstat -s（汇总统计）

ss -tn state established