云服务器 CPU 一夜跑满？五个判断依据、十分钟定位与三种必须隔离

「早上打开监控，CPU 一夜都跑满，但我什么都没跑」——这种事的答案通常只有两个：要么有人在用你的机器，要么有个循环在空转。

而这两件事的处理方式完全相反：前者要「断」，后者要「改」。所以第一步不是「重启」，是「分清是哪一种」。本文讲清「五个判断依据」、说明「为什么「重启就能好」反而说明问题没解决」、给一套「十分钟定位法」，最后说清「哪些情况必须立刻隔离」。

五款高性价比档位速查

有需要云服务器的，可以先看这张表——五个价位段每款都是高性价比，价格从 22 元拉到 480 元。

商家	推荐款	配置	带宽与流量	月费	被利用后的影响
云途	HK.N4.A	2 核 2G 20G	200Mbps / 500G	22 元	核少，被占立刻有感
isvoro	HK CN2 Core	2 核 2G 30G	100Mbps / 300G	25 元	同上，流量异常更明显
rabisu	Aydn VPS x8	4 核 8G 60G	—	34.5 元	核多，单核被占不易察觉
zji	香港 BGP 在售机型	6 核 16G 480G	55Mbps / 1T	450 元	独立 IP，可查反向连接
sixtynet	LAX-MEDIUM	8 核 8G 160G	10Gbps / 20T	480 元	大带宽，被跑流量损失大

一、五个判断依据

「有余进程」和「有人在用」，可以从五个地方分开。

依据	余进程	有人在用
出站连接	很少或没有	明显的外连
进程启动时间	和业务同时启动	某天突然出现
文件位置	在业务目录里	在临时目录或隐藏目录
CPU 形态	稳定高位	忽高忽低
流量方向	以入站为主	出站明显偏大

五条里，「出站方向」最好判断也最可靠：正常业务以「接请求」为主，出站流量通常小；而被利用的机器，往往是「往外发」或者「往外连」，出站会明显偏大。所以打开监控先看出站曲线，就能在十秒内分出方向。而这一步不需要任何工具。

判断方法：先看出站曲线。

出站突增，先当「被利用」处理。

而<'云途'+'> 那种小带宽档位，出站突增最显眼。

第一条。「出站连接」是硬证据。

还有「回滚点」。动手之前先确认「能不能退回去」，比动手之后才发现退不回去要便宜得多。而回滚点不一定是快照，有时候保存一份旧配置、留着旧机器不关，就已经够用。isvoro 那类档位，isvoro」那种产品线，档位选择空间大，这一步的试错成本低一些。

所以「有陌生外连就要查」。

第二条。「启动时间」能看出「什么时候进来的」。

所以「和日志时间对齐」。

还有一个细节：把「谁在什么时间改了什么」写成一张表，比写在脑子里可靠得多。这张表在交接的时候尤其值钱，因为新人最先问的就是「这台机器跟别的有什么不一样」。

带宽和流量是两件事，混起来最容易误判。带宽决定「同一时刻能多快」，流量决定「一个月能用多少」。前者不够表现为「卡」，后者不够表现为「突然断」，症状完全不同，处理方法也不一样。

关于「可接受」的定义，值得提前写清楚。比如「能接受多久打不开」「能接受多慢」，这两个数一写下来，很多技术选择就自动有了答案，也不需要每次都重新讨论。

还要算「扩容的单价」。有些方案起步价很低，但加一档内存、加一块盘的单价明显偏高，等你需要扩的时候就发现总价被反超。所以比价不能只比「入门那档」，还要看「下一档贵多少」。

最后提醒：任何方案都有失效的时候。所以除了「怎么做得更好」，还该想一句「如果这套不灵了，退到哪里」。有这个退路，选择会从容很多。

关于「备份」，最常见的误解是「有备份就等于安全」。而真正决定安全的，是「备份能不能恢复」。所以每季度至少要真恢复一次，否则那份备份只是一份心理安慰。

再看「更新」。统计上，被利用最多的入口不是「未知漏洞」，而是「已知但没打补丁的老漏洞」。所以「及时更新」这件事，效果远好于「再多装一层防护」。

而<'zji'+'> 那种独立 IP，外连对象很容易识别。

再看一个容易被当成小事的点：变更要记时间。很多人改完配置就忘了，一周后出问题根本对不上。而在一次事故里，「最近改了什么」往往就是答案的一半，所以哪怕只在日志里写一行，也比凭记忆强。云途 那类档位，云途」那种产品线，价格区间覆盖得开，这一步的试错成本低一些。

再看「巡检」。真正有用的巡检不是「看一眼面板绿不绿」，而是「核对三个数」：磁盘余量、备份时间、证书到期。三个数都对，八成问题就不会在半夜找上门。

二、重启就能好反而更糟

「重启一下就好了」听起来是好事。

但它意味着「根因还在」。

而下次可能是一周后，也可能是三小时后。

所以「重启能好」这件事，在排查上是一个坏信号：它说明问题「只是被暂时清掉」，而不是「被解决」。而更麻烦的是，重启会「抹掉现场」——进程没了、连接断了、内存没了。所以正确的顺序是「先留证据，再重启」。而这一条与实际直觉正好相反。

判断方法：重启前先留一份现场。

关于「谁在动」这件事也值得说一句。多人协作时，同一个东西被两个人分别改过，问题就很难定位。所以哪怕只有两个人，也该有一个「改动前说一声」的约定，成本极低，省下的却是整晚的排查。rabisu 那类档位，rabisu」那种产品线，档位选择空间大，这一步的试错成本低一些。

而<'rabisu'+'> 那种 60G 盘，留快照很方便。

再看「重启后的观察」。

「重启后多久复现」是重要信息。

所以「记下复现间隔」。

还有一条：「反复重启」会掩盖问题。

而「每次都好了」会让人以为「没事」。

再看「替代做法」。

最后一个建议：把「出事了第一步做什么」写成一页纸，贴在显眼的地方。人在紧张时判断力会下降，一页纸能把反应速度提上来，而这往往就是「停机二十分钟」和「停机两小时」的差别。

再看「峰值」。很多方案标的是「峰值带宽」，意思是「最好情况下能到」，而不是「一直能到」。所以判断实际能力，要看「晚高峰能不能到」，而不是「上午能不能到」。

再看「成本感」。同样一笔钱，花在「看得见的配置」和「看不见的稳定性」上，感受完全不同。而真正决定长期体验的，往往是后者，只是它不体现在参数表里。

流量这一项尤其值得单独核算。多数方案给的是一个总量，超了之后要么限速、要么按量收费，而这两者的实际代价差得很远。把「超出之后怎么算」写进表里，比只看「给多少」更有意义。

再补一个容易被忽略的账：月费只是开始，续费价才是长期成本。很多方案首年优惠、次年回到原价，按三年算总支出可能差出四成。所以「便宜」这个结论至少要按两年来算，否则第一年省下的钱，第二年就还回去了。

再看「留痕」。出了问题之后，最先被删掉的往往是最有用的证据。所以处理顺序永远是「先隔离、再留证、后清理」，而不是反过来。顺序错一次，可能就要重查一周。

「先停掉可疑服务」比「整机重启」好。

所以「能停服务就别重启」。

而<'isvoro'+'> 那种档位，单服务重启很快。

最后是「解析」。它只占很小一段耗时，但一旦慢就是几百毫秒。而这一段的排查最简单，换个解析服务试一次就有结论，成本低到几乎可以忽略。

还有「顺序」的问题。同时改三件事，出了问题分不清是哪件；一次只改一件，慢一点但每一步都有结论。前者看起来快，实际常常要推倒重来。

三、十分钟定位法

十分钟内，能定位到「是哪一类」。

第 1–2 分钟：看三个曲线（CPU、出站、磁盘）。

第 3–5 分钟：看进程排序（按 CPU、按启动时间）。

第 6–8 分钟：看外连（有没有陌生目标）。

第 9–10 分钟：看定时任务与启动项。

再看「可观测」这件事。日志、指标、告警三者缺一个都不完整：日志回答「发生了什么」，指标回答「趋势如何」，告警回答「现在要不要管」。只做其中一个，遇到复杂问题还是要靠猜。

这四步的价值在于「顺序」：先看「资源形态」再「看进程」，比反过来快得多——因为「哪个资源吃紧」决定了「该看哪类进程」。而多数人一上来就翻进程列表，几百个进程看着都一样，反而看不出重点。所以「先看资源，后看进程」这个顺序，能省掉大量眼力。

判断方法：按四步顺序走，每步记一行。

而<'sixtynet'+'> 那种大带宽，出站一看就能判断。

第 1–2 分钟。「三个曲线」定位资源类型。

所以「CPU 高看计算，磁盘高看写」。

再补一句关于「测点」的话。同一条线路，从不同城市测出来的结果能差一倍，所以「别人测得快」不代表「你这里也快」。判断网络质量，最好在你真实用户所在的城市里测，而不是在机房里测。

还有一点：并发连接数也能成为瓶颈。带宽够、延迟也低，但连接一多就排队，这种情况在「短连接多」的业务上很常见。所以评估网络时，连「能同时维持多少连接」也值得问一句。

最后一个建议：把每次决策的理由写下来，哪怕只有一句。三个月后回头看，那一句往往比结论本身更有价值，因为它解释了「当时为什么这么想」。

还有一个常被忽略的支出：监控与日志的存储。指标数据和访问日志每天都在长，而它们往往和业务数据抢同一块盘。把这一块单独预留出来，能省掉后面好几次「盘满了要清谁」的纠结。

另一个常被漏掉的是「退出成本」。换商家时数据要搬、域名要改、证书要重签，一两天的功夫足够抵掉半年省下的差价。所以判断一个方案值不值，要连同「以后想走的时候走不走得掉」一起算进去，而这一项往往是最贵的。

第 3–5 分钟。「按启动时间排序」最有效。

所以「最新的那个最可疑」。

第 6–8 分钟。「陌生外连」是决定性证据。

所以「有外连就是被利用」。

而<'zji'+'> 那种整机产品，外连日志留得最全。

再看「优先级」。同时有三件事要处理时，正确的排序不是「哪件最容易」，而是「哪件不做会立刻出血」。这个顺序能把「看起来忙但没进展」的状态扭转过来。

四、六种常见的「自己跑满」

不是所有满载都是别人的错。

一：死循环（代码逻辑问题）。

二：任务堆积（上一个还没跑完）。

三：缓存失效（大量回源查询）。

四：日志文件过大（写盘变慢）。

五：索引缺失（查询扫全表）。

还有一个习惯很值钱：把常用的几条命令存成脚本。不是为了自动化，而是为了「下次不用重新想」。而这些脚本积累半年之后，本身就是一份最好的运维文档。

六：连接泄漏（不断新建连接）。

六种里，「任务堆积」最典型：一个「每五分钟跑一次」的任务，如果单次耗时超过五分钟，就会「越堆越多」，最终把资源吃光。而它的特征是「每天早上最满、白天缓解」——因为夜里任务跑得慢，白天被人为清理。所以「看曲线形状」就能猜出是哪一种。

判断方法：看「满载是平的还是起伏的」。

而<'rabisu'+'> 那种多核机型，单核满载最容易被掩盖。

第一种。「死循环」最典型的特征是「单核 100%」。

所以「单核满、多核闲」就是它。

还有「双向」这个问题。去程快、回程慢是常见情况，而建站业务主要是往下发数据，所以回程差比去程差更伤。只看单向测速的结论，往往是偏乐观的。

关于「线路等级」，实际差距只在拥挤时段显现。空闲时几条线路看起来差不多，一到晚上差出数倍。所以「值不值」这个问题，本质上是「你的用户在不在那个拥挤时段活跃」。

第四种。「日志过大」也会拖慢一切。

还有一笔是「空闲成本」。为了避免高峰，很多人会按峰值买配置，结果一年里大部分时间资源是闲着的。而闲着的那部分，恰恰是最容易被砍掉的预算，砍掉之后再做弹性扩容，往往比一次性买满更划算。

最后提醒一句：任何「便宜」都是相对的。相对的是「你的实际需求」，而不是「别人的报价」。所以真正的比价动作，是先把自己的三项下限写下来，再拿报价去对，而不是拿着报价去找「哪个数字最小」。

再看「用户视角」。技术指标好看，不等于用户舒服。而用户的感受往往集中在「最慢的那一次」上，所以与其优化平均，不如先把最差的那一撮找出来。

所以「先看日志目录大小」。

第六种。「连接泄漏」会表现为内存上涨。

所以「内存曲线」也要看。

而<'isvoro'+'> 那种小内存档位，泄漏最快暴露。

再看「时间同步」。多台机器之间时间不准，日志就会乱序，排查时把因果搞反。所以哪怕只有两台，也该把时间同步配好，这件事一次配置、长期受益，几乎不需要维护。

按月付还是按年付，也是个实打实的差别。年付通常有折扣，但它把「试错成本」一次性放大到全年：如果三个月后发现不合适，多付的那九个月基本要不回来。所以「先月付跑一段时间、确认稳定再转年付」这个顺序，几乎总是更稳。

五、必须立刻隔离的三种情况

有三种情况，不要「先查再说」。

一：有明显的陌生外连。

二：有不明进程在写敏感目录。

三：出站流量远超正常。

三种情况的共同点是「损失在持续扩大」：陌生外连可能在传数据、不明进程可能在改文件、超标流量可能在烧钱。所以这时候「查清再动手」这个原则要反过来——先切断，再查。而具体做法是「断外网但保留控制通道」，这样既能止损，又能继续查。

判断方法：先断外联，再查原因。

关于「优化线路」，也要说清它的边界。优化能减少绕路，但改变不了物理距离，所以跨洋的底噪永远在那儿。想再快，只能换更近的机房，而不是买更贵的线路。

最后一句：网络问题有一半不在网络。看起来「网慢」，实际可能是「服务端处理慢」，而两者的区分方法只有一个——把请求拆成几段分别计时，看时间花在哪一段。

按人算也有一笔账。同样一个方案，让熟练的人维护和让不熟练的人维护，差出来的时间远超硬件差价。所以「哪个方案我这边更熟」这个问题，值得在比价表里单独列一行，而不是当成主观偏好跳过。

再说一句关于「口令」的。绝大多数被拿下的站点，入口都是弱口令或者长期不换的旧口令。而改一次口令只要两分钟，性价比高过任何防护手段，只是它不像装插件那样「看起来做了什么」。

还有一个常被忽略的点：复杂度本身就是成本。每多一层结构，就多一处可能出问题的地方，也多一处要有人维护。所以在方案上，「能少一层就少一层」通常是对的。

而<'sixtynet'+'> 那种大带宽，超标流量的代价最大。

第一条。「陌生外连」就是最明确的信号。

所以「不用犹豫」。

第三条。「流量超标」是钱的问题。

所以「先限速再查」。

还有一条：「保留控制通道」很关键。

否则「断网」就等于「断了自己查的路」。

而<'云途'+'> 那种档位，隔离策略要提前想。

还有「权限」这件事。程序用最高权限跑，就等于一次失误就是全部损失。而把不同服务拆给不同账号，虽然麻烦一点，但能让一次失误只影响一小块，这个交换在任何场景下都划算。

最后一个细节：把「哪些端口对外开放」写成一张表。多数暴露面就是那么几行，把它列出来之后，能关的关掉，剩下的自然就有了明确的关注对象。

六、事后怎么加固

处理完之后，还要做三件事。

一：查入口（怎么进来的）。

二：换凭据（口令、密钥）。

三：补监控（同类问题要能早发现）。

关于「重启」，也得有个共识：重启能解决很多问题，但它同时抹掉了「现场」。所以重启之前先看一眼关键指标、留一份日志，比直接重启要划算——尤其是那种「过几天又出现」的毛病。

三件事里，「补监控」最容易被跳过却最有长期价值：因为同一个入口被利用两次的概率很高——攻击者手里有你的「访问清单」。所以处理完之后，要把「出站突增」「陌生进程」「异常登录」这三条加进告警。而这恰恰是「下一次能不能早发现」的关键。

判断方法：三件事做完才算处理完。

而<'zji'+'> 那种整机产品，日志留得久便于回溯。

第一条。「查入口」不能只看「清理结果」。

再看「丢包」。丢一点包带来的影响，往往比延迟高一点更明显，因为它会触发重传，把整条链路的节奏都打乱。所以测速表上如果只有延迟没有丢包，那张表其实不完整。

再说一句「数据比感觉可靠」这件事。很多争论最后都卡在「我觉得」，而一句「上周这个数是几」往往就能解决。所以与其反复讨论，不如先把一个数记下来，讨论的起点就变了。

所以「清文件不等于修好」。

最后是「隐性涨价」。流量超出、备份空间、快照保留、IP 数量，这些项目经常不在首页价格里。把它们逐条问清楚列进同一张表，才是真正的可比价格，否则两份报价看着接近，实际差一半。

关于「验证」，建议养成一个习惯：任何改动之前先记下「改动前的那几个数」。没有对照，改完之后就没法判断「到底有没有变好」，最后只能凭印象。

第二条。「换凭据」要一次换干净。

所以「所有相关账号都换」。

第三条。「补监控」是长期收益。

所以「三条告警必加」。

最后提醒：「CPU 跑满」先看出站方向，再决定断还是改。

而这个判断顺序，决定了你是「止损」还是「白查」。

还有一个观念要纠正：安全不是「装了什么」，而是「少了什么」。少一个入口、少一个旧插件、少一个用不上的账号，暴露面就小一层。所以安全的动作里，「删」往往比「加」更有效。

本文讨论服务器资源异常占用的判断与处理方法，不针对任何具体商家，也不对任何产品的安全性作评价与承诺。文中提到的五个判断依据、十分钟定位法、六种自主满载与三种隔离场景均为通用参考；实际成因取决于系统配置、程序逻辑与使用情况，同一现象可能有多种解释，自查结果不构成任何安全结论。文中所述命令需在了解其影响后执行，涉及断网、停服务等操作前请确认影响范围。本文不构成任何安全建议，亦不代表本站立场。因依据本文内容执行操作所产生的直接或间接损失，作者及本站不承担任何责任。