本文目录导读：
深入解析 vnstat：历史流量统计原理、配置与实战指南
目录导读
- vnstat 简介 – 为什么选择 vnstat 作为流量统计工具？
- 核心原理 – vnstat 如何采集和存储历史流量数据？
- 数据库结构与文件存储 – 数据究竟存在哪里？
- 常见场景配置 – 单网卡、多网卡、虚拟网桥的统计配置
- 数据查询与报表生成 – 按小时/日/月/年查询历史流量
- 数据保留与清理策略 – 如何控制历史数据存储周期？
- 自动化与监控集成 – 脚本化告警与 Grafana 接入
- 常见问题与问答 – 解决 vnstat 使用中的真实困惑
- – 让历史流量为你所用的最佳实践
vnstat 简介
在服务器运维、网络监控、带宽计费场景中，历史流量数据是诊断网络瓶颈、评估带宽利用率、执行成本审计的关键依据。
而 vnstat（vnStat）是一款轻量级、无守护进程依赖、直接基于内核接口的网络流量统计工具，与 iptraf、nload 等实时工具不同，vnstat 天然设计为持久化记录，它通过轮询 /sys/class/net/ 或 /proc/net/dev 中的计数器，再结合时间戳写入本地数据库，实现低资源消耗的历史流量统计。
关键特性：
- 无需额外数据库,使用自带文件型数据库（.db 文件）
- 支持每日、每月、每小时的流量统计
- 可同时在多个接口上工作
- 支持导出为 CSV、JSON 格式，便于二次处理
核心原理：vnstat 如何统计历史流量？
vnstat 的工作流程可以简化为三个步骤：
-
数据采集
vnstat 通过libpcap或直接从/sys/class/net/读取网络接口的收发字节计数器，它不需要持续的守护进程，而是通过 cron 定期启动（通常每分钟一次）来采集瞬时值，并与上次采样值做差，得到该时段的流量增量。 -
时间戳对齐
每次采集不仅记录字节数，还绑定系统时间。
vnstat 会将增量数据归并到对应的“小时槽”、“日槽”、“月槽”。- 小时槽：每小时的第 0~59 分钟内的流量累加至该小时
- 日槽：UTC 00:00 ~ 23:59 的流量归为当天
- 月槽：按自然月汇总
-
数据库写入
经过归并后的数据以二进制格式写入vnstat.db，该文件内部按接口分段，每个接口又按时间粒度（小时、天、月）分别存储摘要，每条记录只包含：时间段标识（如 2025-04-07）、收发字节数、数据包数。
技术细节：
vnstat 不会保存原始包内容，只保存聚合后的计数器变化量，这种设计极度节省磁盘空间（一个接口一年数据仅需数百 KB）。
数据库结构与文件存储
vnstat 的数据文件默认存放于：
- Linux：
/var/lib/vnstat/ - macOS (Homebrew)：
/usr/local/var/lib/vnstat/ - FreeBSD：
/var/db/vnstat/
文件结构：
/var/lib/vnstat/
├── eth0 # 接口 eth0 的未压缩数据库
├── eth0_monthly
├── eth0_hourly
└── vnstat.db # 新版统一数据库（v2.x 起默认）vnstat 2.x 版本使用单个 SQLite 格式的 vnstat.db（不再是多个文件），大大提升了数据管理的便利性。
你可以使用 sqlite3 直接查询：
sqlite3 /var/lib/vnstat/vnstat.db "SELECT * FROM day WHERE interface='eth0' LIMIT 5;"
常见场景配置
1 基础安装与初始化
Ubuntu/Debian：
sudo apt install vnstat sudo systemctl enable vnstat sudo systemctl start vnstat
CentOS/RHEL 8+：
sudo dnf install epel-release sudo dnf install vnstat
首次启用接口：
sudo vnstat -i eth0 --enable # 启用监控 sudo vnstat -i eth0 --create # 创建数据库（v2.x 自动创建）
2 多网卡统计
若服务器有 eth0（公网）、eth1（内网）、docker0（Docker 桥接），你既可以选择全监控，也可以在配置文件中排除：
编辑 /etc/vnstat.conf：
Interface "eth0" Interface "eth1" # 排除虚拟接口 ExcludedInterfaces "docker0 veth* br-*"
然后重启 vnstat。
3 虚拟网桥 / VPN 接口的处理
对于 OpenVPN 的 tun0 或 Kubernetes 的 cali* 接口，vnstat 默认会采集，但往往流量是上层接口（如 eth0）的重复。
建议在 vnstat.conf 中通过通配符排除：
ExcludedInterfaces "tun* tap* cali* veth*"
如果你真正需要统计 VPN 出口流量（例如计费），则保留该接口，并为其单独创建数据库别名。
数据查询与报表生成
查询昨日流量：
vnstat -d 1
查询本月总流量（–m 后跟月份序号或名称）：
vnstat -m # 或某个月 vnstat -m 202503
查询实时流量一小时内的逐分钟趋势（–l 参数）：
vnstat -l
生成按小时分布的 24 小时流量：
vnstat -h
导出 JSON 供监控系统使用：
vnstat --json
导出 CSV（适合导入电子表格）：
vnstat --exportdb | grep "d;eth0" > export.csv
数据保留与清理策略
vnstat 默认永久保留所有历史数据，但由于其数据压缩效率极高（每年约 200KB/接口），绝大多数场景无需清理。
但如果需要限制存储周期，可在 vnstat.conf 中设置：
# 保留最近多少天的日数据（默认 -1 表示永久） MaxDays 365 # 保留最近多少月的数据 MaxMonths 36 # 每小时数据的保留时间（天） MaxHours 720 # 保留 30 天的小时数据
手工清理旧数据：
vnstat --cleandb # 根据 MaxDays 等配置自动清理
注意： 如需完全重置某个接口的数据库，使用：
vnstat -i eth0 --delete vnstat -i eth0 --create
自动化与监控集成
1 每分钟流量采集的 cron（手动方式）
虽然 vnstat 自己带有系统服务（默认每分钟采集一次），但如果你需要更高频采集，可添加 cron：
* * * * * /usr/bin/vnstat -i eth0 --update
2 脚本监控流量异常（示例：每日流量超限告警）
#!/bin/bash
THRESHOLD_GB=100
USAGE=$(vnstat -d 1 --json | jq '.interfaces[0].traffic.days[0].rx + .interfaces[0].traffic.days[0].tx')
USAGE_GB=$((USAGE / 1073741824))
if [ "$USAGE_GB" -gt "$THRESHOLD_GB" ]; then
echo "昨日流量 ${USAGE_GB} GB 超限！" | mail -s "流量告警" admin@example.com
fi
3 集成到 Grafana
使用 vnstat 的 JSON API + Prometheus node_exporter 或直接使用 InfluxDB 采集器。
推荐方式：通过以下脚本将 vnstat 数据写入 InfluxDB：
vnstat --json | jq '.interfaces[0].traffic.days[0]' | influx write -b vnstat
或者直接使用社区开发的 vnstat_exporter 对接 Prometheus。
常见问题与问答
Q1：vnstat 统计的流量比运营商计费少，为什么？
原因：运营商通常按物理层帧（含 MAC 头部、填充、帧间隙）计费，而 vnstat 只统计IP 层净荷字节，差异约为 2%~5%，运营商可能计入 IGMP、ARP 等广播流量，vnstat 则默认过滤。
解决方案：无法完全精确对齐，但可以在 vnstat 统计值基础上乘以 1.05 系数做近似。
Q2：重启服务器后 vnstat 数据会丢失吗？
不会，vnstat 的数据存储在磁盘数据库文件中，重启后自动读取，但若重启前系统时间发生跳跃（如 NTP 回拨），可能导致某一小时的流量被遗漏或被分配错误的时间槽。
建议：确保 NTP 在 vnstat 服务启动前已同步。
Q3：vnstat 显示“No data available yet”，怎么办？
排查步骤：
- 确认接口是否被 vnstat 识别：
vnstat --iflist - 确认数据库已创建：
ls -la /var/lib/vnstat/ - 检查服务是否运行：
systemctl status vnstat - 查看日志：
journalctl -u vnstat
Q4：vnstat 能统计到过去的历史流量吗？
不能，vnstat 只能从你启用监控的那一刻开始记录，它无法回溯系统历史中的 /proc 计数器，因为计数器是累计值，没有被持久化的时间戳索引。
如果你之前没有启用，就永远无法获取之前的历史。
Q5：vnstat 和 iftop、nload 的区别？
| 工具 | 数据持久化 | 是否记录历史 | 资源消耗 | 主要用途 |
|---|---|---|---|---|
| vnstat | ✅ 是 | ✅ 按小时/日/月 | 极低 | 长期历史统计 |
| iftop | ❌ 否 | 中 | 实时查看连接流量 | |
| nload | ❌ 否 | 低 | 实时带宽仪表盘 |
让历史流量为你所用
vnstat 是Linux 运维中性价比最高的历史流量统计工具，它无需复杂的数据库、无需持续运行的守护进程，只需一个系统服务和几百 KB 的磁盘空间，就能为你忠实地记录每一字节的网络流量。
最佳实践建议：
- 所有服务器都默认安装 vnstat，哪怕当前不需要历史审计，未来诊断问题时它会成为救星。
- 开启 JSON 输出，配合 Prometheus + Grafana 构建可视化仪表盘。
- 按需配置数据保留周期，避免无限制增长（虽然数据很小）。
- 将 vnstat 与带宽计费系统打通，通过自动导出报表实现月度流量对账。
如果你正在寻找一个不依赖云服务、完全本地、极简但强大的流量统计解决方案，vnstat 就是你的答案，从今天开始启用它，明天你就能看到第一份完整的历史流量报告——而这份报告，可能会帮你发现一个隐藏已久的网络拥塞点，或是一台未授权的高流量服务器。
