群晖 NAS 有异常的网络发送，数据量巨大，暂时未定位到原因。

[Junzhou]

设备信息

型号 DS220+，DSM7.0，两根网线，LAN1 LAN2

具体情况

每个小时的第 15 分钟开始到第 25 分钟之间，LAN1 和 LAN2 交替以 2MB/s （ 16Mbps ）的速度向外发送数据，10 分钟发送了大约 1.2G 的数据，实在想不明白到底什么服务需要对外发送这么大量的数据。

下图是监控数据。

已排除的可能

1. FRP，frp 的相关穿透配置仅限于 LAN1 的地址，未对 LAN2 的地址有任何穿透转发。看发送情况是 LAN1 和 LAN2 交替发送。

2. OneDrive 的同步，没有这么大的同步量，这几个周期发送了好几十 G 的数据了，OneDrive 同步任务可以排除。

3. 相关 Docker 容器的网络发送，只有 FRP 容器两个。qinglong 容器一个。

4. Synology Active Insight，这玩意定期上产系统的运行信息，按理说不可能发送这么巨大的流量。

其他问题

DSM7.0 Universal Search 应用点击 检查索引数据库，会一直检查，导致 CPU 在数天内持续占用 50%左右，手动取消后占用恢复正常。

我使用 iftop 未定位到原因。各位有什么排查策略吗？

[xtx]

lan1，lan2 分别连的什么？

[Junzhou]

@xtx 室内的路由器，同一个路由器。

[sutking]

排除法，先排除硬件，拔一根网线留一根，看情况，然后再把另外一根插上，拔掉之前没拔的那一根，看情况；然后软件，把服务、进程挨个停掉，观察。

[wtks1]

是不是装了迅雷相关的软件？

[SaberJack]

能通过上级路由器看下流量包不 能的话就可以分析出来了

[Junzhou]

@wtks1 没有万物下载，迅雷等相关的 bt pt 工具，没有做种，已经排除。
@sutking lan2 没有的话，会一直通过 lan1 发送数据。这个排除法太耗时了，试图起了一个 netdata 来监控网络情况，效果不尽人意。现在考虑抓包看看流量到底发到哪里。

[wangkai0351]

不知道群晖现在安全性做的如何，注意排查

[Junzhou]

@SaberJack 在等下个发送周期。

[ByteCat]

从路由器里面看不行吗，我用的高恪都可以看到数据流向

[Junzhou]

@ByteCat 不行，桥接的自如的路由器，我的路由是老路由器，看不到数据流向，只能在路由器上抓包。

[512357301]

有个笨办法，换端口，并且只限制某几个端口可以连外网，类似于 vps 的安全组。
我之前在 aws 搭的 win10 就出现过这种情况，怀疑是被当成肉鸡了，后来在安全组限制入站端口后，瞬间风平浪静，(不过最终也不确定是什么原因导致的，也可能是 win10 自动更新的锅)
aws ec2 每月限制 15G 的进和出流量，我当时竟然能跑满。。。，限制端口后，每个月顶天了 8 个 G

[mmlmml1]

在 NAS 上运行 tcpdump 试试看？实在不行可以尝试直接做一根抓包网线，参考 /t/352400 。

[gBurnX]

上面都在答些啥。

iptraf -> netstat 找到进程。

[SZP1206]

有点好奇，期待下后续

[matrix67]

可以使用 tcptrack

tcptrack -i eth0 。 直接定位出那个端口，以及连的 ip+port 实时速率。

或者使用 nethogs 。不过这个好像是看瞬时值的。要在你抓到流量大的时候启动它，把相关进程打出来。

[matrix67]

或者 tcpdump -s 80 就采样 dump 一下包，然后丢到 wireshark 里面看那个 ip+端口占的数据最多。

楼上说的 iptraf 也是一条路子。

[darkaforest]

直接 tcpdump 出来用 wireshark 看看不就一目了然了吗，建议敏感数据直接脱离物理网络存储，最好再加上物理防护措施。 如果觉得不值得这么干，那说明其实也没多敏感，随便它偷着往外传啥吧。

[ly841000]

大家都好友善，国内厂商的话不被骂上天？！！！！！！

[PrinceofInj]

@ly841000 两大 NAS 厂家都是台企，如果用来存储敏感数据，最好还是做好防范。

[geniussoft]

@ly841000 群晖算是非常有操守的企业了，相对来说。
这边 FRP 、OneDrive 都开着，就认为一定是群晖的锅，这个推测不合理吧。