پیداکردن دستگاه پرمصرف با Torch و ابزارهای میکروتیک

مبنای این آموزش مستندات RouterOS با برچسب 7.26 در ۱۵ اکتبر ۲۰۲۶ است؛ این عدد نسخه آزمایش‌شده نت‌مسترز یا توصیه نصب یک انتشار مشخص نیست. پیش از اجرا، نسخه نصب‌شده، نام رابط‌ها و گزینه‌های دستگاه خود را تطبیق دهید.

نمونه یک LAN با bridge-lan و شبکه 192.168.50.0/24 پشت میکروتیک است؛ ether1 سمت اینترنت و NAT روی همین روتر انجام می‌شود. دستگاه .10 را برای یک انتقال کنترل‌شده انتخاب می‌کنیم. نام‌ها فرضی‌اند؛ در Interfaces و IP → Addresses رابط واقعی سمت کاربران را پیدا کنید. برای VLAN یا PPPoE، رابط منطقی و مسیر واقعی را با طرح شبکه تطبیق دهید؛ ether1 نام عمومی اینترنت همه روترها نیست.

مشاهده فقط با دسترسی مجاز و برای رفع مسئله مشخص انجام شود. زمان، رابط و فعالیت مورد بررسی را ثبت کنید و اطلاعات بیشتری از نیاز عیب‌یابی نگه ندارید. روی روتر پرترافیک، مدت مشاهده را کوتاه و بار CPU را کنترل کنید؛ اگر کیفیت سرویس افت کرد، Torch را متوقف کنید.

برای یافتن IP داخلی کاربران، از سمت LAN پیش از ترجمه آدرس شروع کنید. مشاهده WAN بعد از NAT می‌تواند آدرس روتر را جای دستگاه‌ها نشان دهد. ترافیک داخلی و اینترنت نیز در یک نگاه به LAN از هم جدا نمی‌شوند؛ مقصد، مسیر و زمان انتقال را کنار نرخ ببینید.

/interface/print
/ip/address/print detail
/tool/torch interface=bridge-lan duration=10s

در WinBox نیز از Tools → Torch، Interface را انتخاب و Start کنید؛ پس از مشاهده Stop بزنید. در Terminal، Ctrl+C اجرا را متوقف می‌کند. فرمان نمونه پس از ده ثانیه تمام می‌شود.

برای مثال آموزشی، اگر هنگام دانلود کنترل‌شده دستگاه .10 مقدار TX بالا رود، جهت با انتظار سازگار است. در آپلود کنترل‌شده RX باید بالا برود. این بررسی ساده، احتمال اشتباه گرفتن جهت یا رابط را کم می‌کند. نرخ‌ها بر حسب بیت در ثانیه‌اند؛ عدد MB/s نرم‌افزار دانلود را بدون تبدیل با Mbps مقایسه نکنید.

هر IP ممکن است چند ردیف برای ارتباط‌ها و پروتکل‌های مختلف داشته باشد. بزرگ‌ترین ردیف لزوماً پرمصرف‌ترین دستگاه نیست؛ جریان‌های همان IP را در یک بازه یکسان کنار هم ببینید. TX و RX یک رابط را هم با شمارنده سمت دیگر مسیر جمع نکنید؛ یک انتقال ممکن است دوبار شمرده شود.

/tool/torch interface=bridge-lan src-address=192.168.50.10/32 duration=10s
/tool/torch interface=bridge-lan src-address=192.168.50.10/32 ip-protocol=tcp port=443 duration=10s

فیلتر src-address با ستون SRC-ADDRESS در Torch تطبیق دارد؛ برای همین نمونه LAN، دستگاه را با آن انتخاب کنید. فیلتر dst-address را صرفاً چون ترافیک «دانلود» است به IP داخلی تغییر ندهید. برای آدرس IPv6، پارامترهای src-address6 و dst-address6 جدا هستند.

در مرجع 7.26، port یک شماره یا any می‌پذیرد؛ port=80,443 معتبر نیست. برای بررسی پورت دیگر، اجرای جدا بگیرید. نمونه دوم TCP/443 را می‌بیند و ترافیک UDP/443 مانند QUIC را پوشش نمی‌دهد؛ نتیجه آن را کل مصرف دستگاه فرض نکنید. شماره پورت یا IP مشترک CDN هم نام دقیق برنامه، URL یا محتوای رمز‌شده را ثابت نمی‌کند.

/ip/dhcp-server/lease/print detail where active-address=192.168.50.10

در lease فعال، active-address، active-mac-address، host-name و server را بررسی کنید و با اطلاعات شبکه دستگاه تطبیق دهید. اگر DHCP جای دیگری است یا دستگاه IP ثابت دارد، نبودن lease به معنی نبودن دستگاه نیست؛ به ثبت آدرس‌ها و بررسی همان کلاینت رجوع کنید. نام ارسالی دستگاه و IP متغیر، مدرک قطعی هویت فرد نیستند.

با مسئول همان دستگاه، یک کار مشخص مثل انتقال فایل آزمایشی را شروع و متوقف کنید و تغییر نرخ همان IP را بسنجید. اگر مصرف ادامه داشت، بکاپ، همگام‌سازی و به‌روزرسانی‌های مجاز را بررسی کنید. برای جداکردن علت، هر بار یک تغییر مشخص کافی است؛ قطع اینترنت کل واحد یا خاموش‌کردن بی‌برنامه بکاپ، آزمون خوبی نیست. راهنمای DHCP و رزرو به ثابت نگه‌داشتن آدرس دستگاه مشخص کمک می‌کند.

Torch در زمان اجرا IP FastPath و FastTrack را برای همه ترافیک موقتاً خاموش می‌کند و پس از توقف، امکان کار آن‌ها برمی‌گردد. ممکن است CPU بیشتر درگیر شود یا صفی که قبلاً دور زده می‌شد ناگهان اثر کند. نتیجه کنترل سرعت را پس از توقف Torch و با اتصال تازه دوباره بسنجید؛ آموزش Queue و PCQ این آزمون را جدا توضیح می‌دهد.

Torch فقط ترافیکی را می‌بیند که در رابط انتخاب‌شده به CPU می‌رسد. عبور سخت‌افزاری بین پورت‌های bridge یا مسیریابی L3 Hardware Offload می‌تواند از دید آن خارج بماند. برای کامل‌کردن یک مشاهده، offload را روی شبکه فعال بی‌برنامه خاموش نکنید؛ ابتدا مسیر و روش پایش مناسب همان سخت‌افزار را مشخص کنید.

بسته ورودی پیش از تصمیم فایروال می‌تواند در Torch دیده شود، حتی اگر بعداً drop شود. برای تشخیص ردشدن، شمارنده قاعده مرتبط را هم بررسی کنید. دیدن RX بدون TX فقط یک سرنخ است؛ مسیر برگشت متفاوت یا مقصد بی‌پاسخ هم می‌تواند چنین تصویری بسازد.

اگر جدول خالی یا نرخ غیرمنتظره بود، بررسی کنید انتقال آزمایشی واقعاً فعال باشد، رابط و خانواده آدرس را درست انتخاب کرده باشید و فیلترها محدودتر از نیاز نباشند. سپس مسیر offload، NAT و برگشت را بررسی کنید. نبودن ردیف، اثبات نبود مصرف نیست.

برای گزارش دوره‌ای، ثبت از قبل با ابزار مناسب و پوشش مشخص لازم است. Traffic Flow می‌تواند اطلاعات جریان را به collector بفرستد، اما ترافیک خارج از CPU را ثبت نمی‌کند؛ فعال‌کردن آن به‌تنهایی گزارش کامل یا بازیابی گذشته نیست. این صفحه سامانه جمع‌آوری گزارش را راه‌اندازی نمی‌کند. راهنمای تمام‌شدن حجم اینترنت شرکت مقایسه دوره و واحد و مصرف ضروری را توضیح می‌دهد.

در پایان، Torch را متوقف کنید و رابط، زمان، IP بررسی‌شده، فعالیت متناظر و نتیجه کنترل بعدی را ثبت کنید. اگر فقط از فرمان‌های مشاهده همین صفحه استفاده کرده‌اید، صف یا قاعده جدیدی برای حذف ساخته نشده است؛ هر تغییر جداگانه شبکه باید با طرح برگشت خودش انجام شود.