运维如何定位流量来源

在运维（尤其是线上系统排障、安全溯源、成本分析）场景中，“定位流量来源”通常指：
搞清楚请求是谁发起的、从哪条链路进来的、去了哪个服务、为什么这么多。

下面按常见场景 + 实用方法 + 工具系统讲一下。

一、先明确：你要定位的是哪类“流量来源”

二、从网络层定位（最基础）

1. 看 IP 和连接

# 实时连接
ss -tnp
netstat -tnp

# 按 IP 统计连接数
netstat -nt | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr

2. 抓包分析（精准但重）

tcpdump -i eth0 port 80 -nn

适合：

• 确认是否真的打到本机
• 看 TCP 行为（重传、异常）

三、从接入层定位（最常用）

1. Nginx / Gateway 日志

关键字段：

• $remote_addr：真实客户端 IP
• $http_x_forwarded_for：经过代理的源头
• $request_uri：哪个接口
• $upstream_addr：转发到哪

log_format main '$remote_addr - $http_x_forwarded_for - $request_uri - $upstream_addr';

统计示例：

awk '{print $1}' access.log | sort | uniq -c | sort -nr | head

2. CDN / SLB / 云厂商

• 看 访问日志（Access Log）
• 看 监控面板（按地域 / 运营商）
• 开启 真实客户端 IP 透传

四、从应用层定位（最细）

1. 在接口中埋点

• userId
• traceId
• source（App / Web / 第三方）

示例：

{
  "userId": "123",
  "source": "mini-program",
  "traceId": "abc-123"
}

2. 链路追踪（强烈推荐）

• SkyWalking
• Jaeger
• Zipkin

可定位：

• 哪个服务发起
• 哪台机器
• 耗时分布

五、从业务维度定位（给老板看）

1. 按渠道

• Web
• App
• 小程序
• 开放 API

2. 按活动

• 活动 ID
• 推广码
• UTM 参数

六、异常流量定位（安全视角）

常见特征

• 单 IP 高频
• User-Agent 异常
• 固定路径扫描
• 无 Referer

处理手段

• 限流（Nginx / Sentinel）
• 封 IP
• WAF 规则
• 风控策略

七、推荐的一套标准定位流程

1. 监控发现异常（QPS / 带宽 / CPU）
2. 接入层日志看来源 IP + URI
3. 链路追踪看服务调用
4. 业务日志看用户 / 渠道
5. 必要时抓包确认

如果你愿意，可以告诉我：

• 用的是 Nginx / K8s / 云厂商 哪个？
• 是 正常流量分析 还是 异常/攻击排查？

我可以直接给你可复制的命令或配置。