sar 网络历史数据的用法
sar 由 sysstat 提供，按固定间隔把系统指标记录到 /var/log/sa/ 下的按日文件中，网络维度用 sar -n DEV 查看。它给出网卡级别的历史吞吐量，把数据外传的时间窗与这些数值对照，可以判断异常时段是否伴随明显的流量抬升。采样间隔决定分辨率，短时突发会被平均值掩盖；虚拟网卡与隧道接口也可能不纳入统计，因此要逐接口查看而不能只看汇总值。
基本信息
| 命令 | sar -n DEV -f /var/log/sa/saDD -s <起> -e <止> |
|---|---|
| 关注指标 | rxkB/s、txkB/s 与包速率的突增 |
| 数据文件 | /var/log/sa/ 下按日命名的记录文件 |
| 分辨率 | 由采集间隔决定，间隔越长细节越少 |
典型使用场景
- 判断某时间段是否存在异常外传的流量特征
- 为主机上发生的数据上传提供数量级估计
- 对比事件前后网卡吞吐的变化，辅助确认时间窗
- 核查虚拟网卡与隧道接口上的流量是否被记录
- 评估历史数据的可用范围，确认可回溯的最早时间
查看历史网络数据
查看历史网络数据
ls -l /var/log/sa/ | head # 有哪些按日数据文件
sar -n DEV -f /var/log/sa/sa15 -s 09:00:00 -e 12:00:00 | head -40
sar -n DEV 1 5 # 实时采样，用于对照基线
sar -n EDEV -f /var/log/sa/sa15 | tail -20 # 网卡错误与丢包统计
cat /var/lib/sysstat/sa15 > /mnt/ev/sa15 2>/dev/null # 按实际路径归档原始数据sar -n DEV 输出读法
| 列 | 含义 | 判读要点 |
|---|---|---|
| IFACE | 网卡或接口名 | 虚拟与隧道接口要单独确认 |
| rxpck/s、txpck/s | 每秒收发包数 | 小包高频与外传模式相关 |
| rxkB/s、txkB/s | 每秒收发千字节数 | 突增是外传的直接线索 |
| rxcmp/s 等 | 压缩与多播等计数 | 异常值反映链路层行为 |
把时间轴与日志事件的分钟级时间点对齐，才能解释流量变化：仅有吞吐曲线而没有对应事件，无法说明流量来自哪个进程或哪次操作。
把原始按日文件整体归档比只看摘要更有价值，归档时可以重新计算任意接口与时间段，不必依赖当时的过滤条件。
虚拟网卡与隧道接口可能不纳入统计，只看物理网卡会低估流量；涉及容器或叠加网络环境时先确认采集覆盖范围。