iftopコマンドでLinuxのネットワーク通信をリアルタイム監視する方法｜接続先・帯域の確認と実務活用も

この記事のポイント

・iftop は接続先ホスト単位で帯域をリアルタイム表示できる監視ツール
・インターフェース指定（-i eth0）と BPF フィルタで絞り込み監視が可能
・「どのサーバーとの通信が帯域を食っているか」の特定に最適
・nethogs（プロセス単位）や tcpdump と使い分けることで調査が速くなる

# RHEL 9 / AlmaLinux 9 / Rocky Linux 9
# EPEL リポジトリを有効化してからインストール
# dnf install -y epel-release
# dnf install -y iftop

# RHEL 8 / CentOS Stream 8 も同様
# dnf install -y epel-release && dnf install -y iftop

# インストール確認
# which iftop
/usr/sbin/iftop

# Ubuntu 22.04 / 24.04
# apt update && apt install -y iftop

# インストール確認
# iftop --version
iftop 1.0pre4

# sudo iftop

# インターフェースを明示指定する場合（推奨）
# sudo iftop -i eth0

# AlmaLinux 9 / Rocky Linux 9 では NIC 名が異なる場合がある
# ip a で確認してから指定する
# ip a | grep -E 'eth|ens|enp'
3: ens3:  mtu 1500 qdisc mq state UP group default qlen 1000

# sudo iftop -i ens3
                   12.5Kb          25.0Kb          37.5Kb          50.0Kb    62.5Kb
+-----------------+--------------+---------------+--------------+----------+
192.168.10.5       => 203.0.113.22         3.21Kb  2.98Kb  3.01Kb
                   <=                       884b    920b    896b
192.168.10.5       => 198.51.100.8          2.10Kb  1.95Kb  2.00Kb
                   <=                       512b    488b    500b
192.168.10.5       => 10.0.0.1                68b     64b     65b
                   <=                        64b     64b     64b
--------------------------------------------------------------------
TX:             cumm:   3.82KB   peak:   4.12KB      rates:   5.39Kb  4.97Kb  5.01Kb
RX:             cumm:   1.46KB   peak:   1.70KB      rates:   1.46Kb  1.47Kb  1.46Kb
TOTAL:          cumm:   5.28KB   peak:   5.82KB      rates:   6.85Kb  6.44Kb  6.47Kb

# 特定のホスト（IP アドレス）とのみの通信を表示
# sudo iftop -i ens3 -f "host 203.0.113.22"

# 特定のポートのみ表示（HTTPS = 443）
# sudo iftop -i ens3 -f "port 443"

# 特定のネットワーク範囲との通信を表示
# sudo iftop -i ens3 -f "net 10.0.0.0/8"

# AND/OR の組み合わせ
# sudo iftop -i ens3 -f "host 203.0.113.22 and port 443"

# 10 秒間だけキャプチャして標準出力に結果を出す
# sudo iftop -t -s 10 -i ens3

# ファイルに保存する場合
# sudo iftop -t -s 10 -i ens3 2>/dev/null | tee /tmp/iftop_$(date +%Y%m%d%H%M).log

# 出力例（バッチモード）
# ===================================================================
# Host name (port/service if enabled)  last 2s   last 10s  last 40s cumulative
# -------------------------------------------------------------------
# 1 192.168.10.5                    =>  3.21Kb    2.98Kb    3.01Kb    2.89KB
#   203.0.113.22                    <=   884b      920b      896b     9.13KB

# Step 1: iftop で帯域を食っているホスト IP を特定
# sudo iftop -i ens3 -n

# Step 2: nethogs で帯域を食っているプロセスを特定
# sudo nethogs ens3

# Step 3: ss でそのプロセスの接続を確認（PID=1234 の場合）
# ss -tnp | grep 1234
ESTAB  0    0    192.168.10.5:52888   203.0.113.22:443   users:(("rsync",pid=1234,fd=5))

# SELinux のアクセス拒否ログを確認
# ausearch -m avc -ts recent | grep iftop

# 拒否されている場合は audit2allow でポリシーを作成するか、
# SELinux を Permissive モードにして動作確認する（本番環境では推奨しない）
# setenforce 0   # 一時的に Permissive に（再起動で元に戻る）

# RHEL 系では EPEL リポジトリが必要
# dnf repolist | grep epel
epel        Extra Packages for Enterprise Linux 9 - x86_64

# EPEL が見つからない場合はリポジトリを追加
# dnf install -y epel-release
# dnf install -y iftop

# 依存ライブラリを確認
# ldd $(which iftop) | grep "not found"
    libpcap.so.1 => not found

# libpcap が不足している場合
# dnf install -y libpcap      # RHEL 系
# apt install -y libpcap0.8   # Ubuntu 系