先别急着重装，按这个顺序排查一遍，基本都能定位到： - 先看流量去哪了：装个 vnstat 看每天用量曲线，再用 iftop 或 nethogs 看实时是哪个进程、连向哪个 IP 在跑流量，源头一下就清楚了。 - 常见偷跑流量的几种情况：机器被入侵挂了挖矿或发包脚本；自己写的爬虫、同步任务失控一直在跑；面板、探针这类服务对外上报；还有就是之前开的 PT、BT 下载忘了关。 - 重点检查这几处：cr