ip monitor 是什么
ip monitor 持续打印内核网络事件流：地址增删、路由变化、链路状态与邻居表更新。排查 VIP 漂移、网络抖动、地址被抢占这类问题时，它给出的是带时间戳的事件时间线，比事后翻日志直接得多。加上 -ts 输出时间戳后，与业务日志对齐非常方便。
基本信息
| 用途 | 订阅地址、路由、链路、邻居等变化事件 |
|---|---|
| 语法 | ip [-ts] monitor [类型] [dev 接口] |
| 常用类型 | address / route / link / neigh / all |
| 输出特点 | 持续输出，需自行截断或先落盘 |
典型使用场景
- VIP 漂移或地址被删除的时间线还原
- 路由抖动与业务超时的对应关系
- 网卡 up 与 down 事件和告警时间的对齐
- 邻居表频繁变化引发的丢包排查
- 变更操作时实时观察网络状态变化
- 定时采集事件用于长期趋势分析
常用示例
常用示例
ip -ts monitor address # 带时间戳观察地址变化
ip -ts monitor link dev eth0 # 只看 eth0 链路事件
ip -ts monitor route # 路由抖动时间线
ip -ts monitor neigh dev eth0 # 邻居表变化
ip -ts monitor all | head -50 # 全面观察，注意输出量
timeout 60 ip -ts monitor address > /tmp/addr-events.log # 定时采集事件类型与含义
| 类型 | 监控内容 | 典型用途 |
|---|---|---|
| address | 地址新增或删除 | VIP 漂移、地址被抢占 |
| link | 链路状态变化 | 网卡上下线与告警对齐 |
| route | 路由表变化 | 抖动、切换与策略路由 |
| neigh | 邻居表变化 | ARP 相关问题排查 |
| all | 全部事件类型 | 先全面看一遍再逐步收窄 |
与业务日志对时间线时一定要加 -ts：几点掉的 VIP、几点开始抖动，一看就清楚，事后复盘能省下大量推测时间。
邻居表与全类型监控输出量很大，直接跑会刷屏；加上类型与 dev 过滤，或先落盘之后再筛查。
它只反映本机内核视角的变化：远端设备引发的问题不一定在这里留下事件，因此不能当作全量网络健康监控使用。
上线观察前先在测试环境把关注类型跑一遍，确认事件的表现形式与出现频率，再放到生产上盯，避免现场被海量输出干扰判断。
它只记录变化、不记录稳定状态：地址长期存在的过程里不会产生输出，长时间没有事件并不代表链路有问题。