## 症状现象
月底账单显示流量大幅超出预期，或者按流量计费的账户余额掉得飞快。惊讶之余先冷静：流量不会凭空产生，每一字节都有出处。排查的目标是把超出的流量与具体来源对上——哪个方向、哪些连接、哪些 URL。先分清出方向还是入方向，多数超支案例出在出方向。两条线并行走：控制台的流量监控看总量趋势，服务器上的日志与工具看明细。
## 第一线：网卡流量与连接对账
先看总量的形状。顺云控制台的带宽监控曲线能看出：超出是持续性的还是尖峰式的，哪几天哪个时段开始异常，曲线形状先记下来，后面的日志聚合要拿时间窗去对。登服务器用 iftop 看当下的连接明细：
bash iftop -n -P -i eth0
出方向流量大的连接是重点：单个外部 IP 长期高速拉取，是单点下载或被采集；大量分散 IP 各取一点，更像爬虫或被扫。iftop 抓到方向后，去访问日志里做定量聚合。
## 第二线：日志聚合找 URL
Nginx 访问日志按 URL 与流量字段聚合，找出最耗流量的路径：
bash
awk '{print $7}' access.log | sort | uniq -c | sort -rn | head
再按客户端 IP 聚合一次，聚合时把时间窗限定在异常时段，正常时段的数据会稀释目标。常见的三个嫌疑依次核实：一，大文件被盗链，站外页面直接引用你的图片视频，日志里 Referer 列暴露来源；二，被镜像站同步，User-Agent 与请求规律异常规律；三，搜索引擎爬虫放量，UA 标明身份，量级可查证，也可通过协议约束抓取频率。
## 处置与预防
对号入座后处置各有不同：盗链上 Referer 校验与防盗链配置；镜像站封其抓取 IP 加访问频率限制；爬虫过猛用 robots 约束加限流兜底；确认是业务自然增长，那就调带宽方案。预防三件套：大静态资源走对象存储或 CDN，别让源站扛下载；入口层配 limit_rate 限制单连接速度；控制台设置带宽使用告警，超阈值就收到通知而不是等账单。流量账单是最诚实的运营报表，看懂它就是看懂了业务的访问结构。处理完持续观察一个完整计费周期，确认回落到基线再关案。