centos/linux 下安装监控工具 sar,iosta,syssta

用途

报告虚拟内存统计信息。

语法

vmstat [ -f ] [ -i ] [ -s ] [ -I ] [ -t ] [ -v ] [ PhysicalVolume ... ] [ Interval [ Count ] ]

描述

vmstat 命令报告关于内核线程、虚拟内存、磁盘、陷阱和 CPU 活动的统计信息。由vmstat 命令生成的报告可以用于平衡系统负载活动。系统范围内的这些统计信息（所有的处理器中）都计算出以百分比表示的平均值，或者计算其总和。

如果调用 vmstat 命令时不带标志，则报告包含系统启动后虚拟内存活动的摘要。如果指定-f 标志，则vmstat 命令报告自从系统启动后派生的数量。PhysicalVolume 参数指定物理卷的名称。

Interval 参数指定每个报告之间的时间量（以秒计）。第一个报告包含系统启动后时间的统计信息。后续报告包含自从前一个报告起的时间间隔过程中所收集的统计信息。如果没有指定Interval 参数，vmstat 命令生成单个报告然后退出。Count 参数只能和Interval 参数一起指定。如果指定了 Count 参数，其值决定生成的报告数目和相互间隔的秒数。如果Interval 参数被指定而没有Count 参数，则连续生成报告。Count 参数不允许为 0。

在 AIX 4.3.3 及更新版本包含有此方法的增强，用于计算 CPU 等待磁盘 I/O 所花时间（wio 时间）的百分比。某些情况下，AIX 4.3.2 以及该操作系统更早的版本中使用的该方法在 SMP 上会给出夸张的 wio 时间报告。

AIX 4.3.2 和更早版本中使用的方法如下：在每个处理器的每一次时钟中断（每个处理器一秒钟 100 次），确定上一个 10 毫秒时间要归入四种类别（usr/sys/wio/idle）中的哪一个。如果在时钟中断的时候，CPU 正忙于 usr 方式，那么 usr 将获取该时钟周期添加到其类别中。如果在时钟中断的时候，CPU 正忙于内核方式，那么 sys 类别获取该时钟周期。如果 CPU 不忙的话，则检测是否有磁盘 I/O 正在进行。如果有任何正在进行的磁盘 I/ O，则累加 wio 类别。如果没有磁盘 I/O 正在进行且 CPU 不忙，则 idle 类别获取该时钟周期。由于所有的空闲 CPU 都被归入 wio 类别，而不管正在等待 I/O 的线程数量，所以会产生夸大的 wio 时间报告。例如，只有一个 I/O 线程的系统可能会报告 90% 以上的 wio 时间，而不管它拥有的 CPU 数量。sar（%wio）、vmstat（wa）和iostat（% iowait）命令报告 wio 时间。

操作系统 AIX 4.3.3 及其更新版本使用的方法如下：如果一个未完成的 I/O 在空闲的 CPU 上启动，则操作系统 AIX 4.3.3 中的更改将只把该 CPU 标记成 wio。当只有少量线程在进行 I/O 而系统其它部分是空闲的，此方法能报告低得多的 wio 时间。例如，一个有四个 CPU 和一个正在进行 I/O 的线程的系统将报告最多 25% 的 wio 时间。有 12 个 CPU 和一个正在进行 I/O 的线程的系统只报告最大为 8% 的 wio 时间。NFS 客户机通过 VMM 读取／写入，biods 在 VMM 中花费的等待 I/O 完成的时间现在报告为 I/O 等待时间。

内核为内核线程、调页和中断活动维护统计信息，vmstat 命令通过使用perfstat 内核扩展来对其进行访问。磁盘输入／输出统计信息由设备驱动程序维护。对于磁盘，利用活动时间和传送信息数量来确定平均传送速率。活动时间的百分数根据报告期间驱动器忙的时间量来计算。

由 vmstat 命令生成的以下报告示例包含栏标题及其描述：

kthr：内核线程状态在采样间隔期间每秒钟更改一次。

r	置于运行队列中的内核线程数目。
b	置于等待队列（等待资源、等待输入／输出）的内核线程数目。

内存：关于使用虚拟内存和实内存的信息。如果虚拟页已经被访问的话，虚拟页可以被认为是活动的。一页为 4096 个字节。

avm	活动虚拟页。
fre	空闲列表的大小。注: 大部分实内存都用作文件系统数据的高速缓存。对于保持较小的空闲列表，这是很正常的。

页：关于缺页故障和调页活动的信息。这些是间隔的平均值，以秒为单位给出。

re	页面调度程序输入／输出列表。
pi	从调页空间调度进的页面。
po	调出到调页空间的页面。
fr	释放的页（页面替换）。
sr	通过页替换算法扫描的页面。
cy	按页替换算法的时钟周期。

故障：采样间隔平均每秒的捕获和中断率。

in	设备中断
sy	系统调用。
cs	内核线程上下文切换。

Cpu：CPU 使用时间故障百分比。

us	用户时间。
sy	系统时间。
id	CPU 空闲时间。
wa	CPU 空闲时间，在此期间系统有未完成的磁盘/NFS I/O 请求。请参阅上面的详细描述。

磁盘：每秒向指定物理卷提供的传送数目，该过程在采样间隔中发生。PhysicalVolume 参数可以用于指定一到四个名称。每个指定驱动器的传送统计信息按指定顺序给出。该计数代表向物理设备的请求数。它并不暗示读取或写入的数据量。几个逻辑请求可以组合成为一个物理请求。

如果指定一个 -I 标志，I/O 定向视图将会出现以下栏目变化。

kthr	除了栏 r 和 b之外，栏p 也将显示。 p 每秒等待实际物理 I/O 的线程数。
页	将显示新栏 fi 和 fo，代替 re 和 cy 栏。 fi 每秒调入的文件。 fo 每秒调出的文件。

标志

注:

如果在命令行中输入了 -f（或 -s）标志，系统将仅接受 -f（或 -s）标志，将忽略其它标志。如果同时指定了 -f 和 -s 标志，系统将仅接受第一个标志，忽略第二个标志。

-f	报告从系统启动后的派生数目。
-i	显示从系统启动后每个设备造成的中断数目。
-I	用新的输出栏显示 I/O 定向视图，p 在标题 kthr 下；栏fi 和fo 在标题页面下，而不是栏下；re 和cy 在页标题中。
-s	将总数结构中的内容写入到标准输出，该结构包含从系统初始化后调页事件的绝对计数。-s 标志只能与 -v 标志一起使用。如下描述了这些事件：地址翻译错误每次发生地址转换页面故障时增加。解决页面故障可能需要 I/O，也可能不需要。存储保护页面故障（失去锁定）不包含在此计数之内。入页随虚拟内存管理器读入的每页增加。计数随调页空间和文件空间的入页增加。它和出页统计信息一起表示实际 I/O（由虚拟内存管理器启动）的总量。出页随虚拟内存管理器写出的每页增加。计数随调页空间和文件空间的出页而增加。它和入页统计信息一起表示实际 I/O（由虚拟内存管理器启动）的总量。调页空间入页只随 VMM 启动的来自调页空间的入页而增加。调页空间出页只随 VMM 启动的来自调页空间的出页而增加。总回收当不启用一个新的 I/O 请求也可以满足地址翻译错误时增加。如果页面以前已经被 VMM 请求过的，但是 I/O 还没有完成；或者页面被预读算法提前提取，但是被故障段隐藏了；或者如果页面已经被放入空闲列表中，但还没有重新使用，则会发生此情况。零填充页面故障如果页面故障针对的是工作存储器，且可以通过指定一个帧并以零填充帧来满足它的话，则该值增加。可执行填充页面故障随着每个指令页面故障而增加。用时钟检查页面 VMM 利用时钟算法实施伪最近最少使用（1ru）的页面替换模式。时钟检查过的页面是 aged。为每个时钟检查过的页面增加此计数值。时钟指针的转动随着每次 VMM 时钟旋转而增加（即在每一次完整的内存扫描后）。用时钟释放的页面随着时钟算法从实内存中选择释放的每一个页面而增加。
	回溯随着解决前一个页面故障时出现的每一个页面故障而增加。（必须首先解决新的页面故障，然后可以回溯到最初的页面故障。）锁定丢失 VMM 通过除去对页面的寻址能力来强制并发性锁定。锁定丢失可能产生一个页面故障，每当此类情况发生时，此计数增加。空闲帧等待在收集可用帧时，每次 VMM 等待一个进程时增加。扩展 XPT 等待每次正在进行提交而使得 VMM 等待一个进程时，随着正在被访问的段而增加。暂挂 I/O 等待每次 VMM 等待一个进程时随着要完成的入页 I/O 而增加。启动 I/O 随着每个被 VMM 启动的读取或写入 I/O 请求而增加。此计数应该与入页和出页的总数相等。 iodones 在每次完成 VMM I/O 请求时增加。 CPU 上下文交换随着每次 CPU 上下文交换而增加（新进程的分派）。设备中断每次硬件中断时增加。软件中断每次软件中断时增加。一次软件中断是一个类似于硬件中断（保存一些状态和服务器例程分支）的机器指令。系统调用用软件中断指令来完成，该指令转换控制到系统调用处理程序例程。陷阱不通过操作系统来维护。 syscalls 随着每次系统调用而增加。
-t	打印 vmstat 的每一输出行旁边的时间戳记。时间戳记按照 HH：MM：SS 格式显示。注: 如果指定了 -f、 -s 或 -i 标志，将不打印时间戳记。
-v	将虚拟内存管理器维护的不同统计信息写入标准输出。-v 标志只能与 -s 标志一起使用。内存页实内存的大小（以 4 KB 的页面数目计）。 lruable 页要用于替换的 4 KB 页面的数目。此数目不包含被用于 VMM 内部页和用于内核文本的固定部分的页面。空闲页面空闲 4 KB 页面的数目。内存池指定内存池数目的调整参数（使用 vmo 管理）。固定页面固定的 4 KB 页面的数目。 maxpin 百分比指定能被固定的实内存百分数的调整参数（使用 vmo 管理）。 minperm 百分比实内存百分比的调整参数（使用 vmo 管理）。它指定一临界点，低于此临界点时阻止页面重新调度算法使用文件页面。 maxperm 百分比实内存百分比的调整参数（使用 vmo 管理）。它指定一临界点，高于此临界点时页面取走算法只取走文件页面。 numperm 百分比当前由文件高速缓存使用的内存百分数。文件页面当前由文件高速缓存使用的 4 KB 页面的数目。压缩百分比由压缩页面使用的内存百分数。压缩页面压缩内存页面的数目。 numclient 百分数被客户机页面占用的内存百分数。 maxclient 百分数指定能用于客户机页面的最大内存百分数的调整参数（使用 vmo 管理）。客户机页面客户机页面的数目。已调度的远程出页调度用于客户机文件系统的出页的数目。无 pbuf 而阻塞的暂挂磁盘 I/O 没有可用 pbuf 而阻塞的暂挂磁盘 I/O 请求的数目。Pbuf 是用于保存逻辑卷管理器层上的 I/O 请求的固定的内存缓冲区。无 psbuf 而阻塞的调页空间 I/O 没有可用 psbuf 而阻塞的调页空间 I/O 请求的数目。Psbuf 是用于保存虚拟内存管理器层上的 I/O 请求的固定内存缓冲区。
-v	（由 -v显示的统计信息，接上页）：无 fsbuf 而阻塞的文件系统 I/O 没有可用 fsbuf 而阻塞的文件系统 I/O 请求的数目。Fsbuf 是用于保存文件系统层上的 I/O 请求的固定内存缓冲区。无 fsbuf 而阻塞的客户机文件系统 I/O 没有可用 fsbuf 而阻塞的客户机文件系统 I/O 请求的数目。NFS（网络文件系统）和 VxFS（Veritas）是客户机文件系统。Fsbuf 是用于保存文件系统层上的 I/O 请求的固定内存缓冲区。无 fsbuf 而阻塞的外部页面调度程序文件系统 I/O 没有可用 fsbuf 而被阻塞的外部页面调度程序客户机文件系统 I/O 请求的数目。JFS2 是一个外部页面调度程序客户机文件系统。Fsbuf 是用于保存文件系统层上的 I/O 请求的固定内存缓冲区。

示例

要显示引导后的统计信息摘要，请输入：
```
vmstat
```
要显示 2 秒时间间隔的 5 个摘要，请输入：
```
vmstat 2 5
```
第一次摘要包含引导后的时间统计信息。
要显示引导后包括逻辑磁盘 scdisk13 和 scdisk14 的统计信息摘要，请输入：
```
vmstat scdisk13 scdisk14
```
要显示派生统计信息，请输入：
```
vmstat  -f
```
要显示各事件的计数，请输入：
```
vmstat -s
```
要显示 vmstat的每一输出栏旁边的时间戳记，请输入：
```
vmstat -t
```
要以另一套输出栏显示新的 I/O 定向视图，请输入：
```
vmstat -I
```
要显示所有可用的 VMM 统计信息，请输入：
```
vmstat -vs
```

文件

/usr/bin/vmstat

包含 vmstat 命令。

相关信息

iostat 和vmo 命令。

tcpdump采用命令行方式，它的命令格式为：
　　tcpdump [ -adeflnNOpqStvx ] [ -c 数量 ] [ -F 文件名 ]
　　　　　　　　　　[ -i 网络接口 ] [ -r 文件名] [ -s snaplen ]
　　　　　　　　　　[ -T 类型 ] [ -w 文件名 ] [表达式 ]

　　1. tcpdump的选项介绍
　　　-a 　　　将网络地址和广播地址转变成名字；
　　　-d 　　　将匹配信息包的代码以人们能够理解的汇编格式给出；
　　　-dd 　　　将匹配信息包的代码以c语言程序段的格式给出；
　　　-ddd 　　　将匹配信息包的代码以十进制的形式给出；
　　　-e 　　　在输出行打印出数据链路层的头部信息；
　　　-f 　　　将外部的Internet地址以数字的形式打印出来；
　　　-l 　　　使标准输出变为缓冲行形式；
　　　-n 　　　不把网络地址转换成名字；
　　　-t 　　　在输出的每一行不打印时间戳；
　　　-v 　　　输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息；
　　　-vv 　　　输出详细的报文信息；
　　　-c 　　　在收到指定的包的数目后，tcpdump就会停止；
　　　-F 　　　从指定的文件中读取表达式,忽略其它的表达式；
　　　-i 　　　指定监听的网络接口；
　　　-r 　　　从指定的文件中读取包(这些包一般通过-w选项产生)；
　　　-w 　　　直接将包写入文件中，并不分析和打印出来；
　　　-T 　　　将监听到的包直接解释为指定的类型的报文，常见的类型有rpc （远程过程
调用）和snmp（简单　　　　　　　网络管理协议；）

　　2. tcpdump的表达式介绍
　　　表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，如果一个报文满足表
达式的条件，则这个报文将会被捕获。如果没有给出任何条件，则网络上所有的信息包将会
被截获。
　　　在表达式中一般如下几种类型的关键字，一种是关于类型的关键字，主要包括host，
net，port, 例如 host 210.27.48.2，指明 210.27.48.2是一台主机，net 202.0.0.0 指明
202.0.0.0是一个网络地址，port 23 指明端口号是23。如果没有指定类型，缺省的类型是
host.
　　　第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src ,
这些关键字指明了传输的方向。举例说明，src 210.27.48.2 ,指明ip包中源地址是210.27.
48.2 , dst net 202.0.0.0 指明目的网络地址是202.0.0.0 。如果没有指明方向关键字，则
缺省是src or dst关键字。
　　　第三种是协议的关键字，主要包括fddi,ip ,arp,rarp,tcp,udp等类型。Fddi指明是在
FDDI(分布式光纤数据接口网络)上的特定的网络协议，实际上它是"ether"的别名，fddi和e
ther具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和分析。
其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump将会
监听所有协议的信息包。
　　　除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less,
greater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算是'o
r' ,'||'；
　　　这些关键字可以组合起来构成强大的组合条件来满足人们的需要，下面举几个例子来
说明。
　　　(1)想要截获所有210.27.48.1 的主机收到的和发出的所有的数据包：
　　　　#tcpdump host 210.27.48.1
　　　(2) 想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信，使用命令
：（在命令行中适用　　　括号时，一定要
　　　　#tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \)
　　　(3) 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包
，使用命令：
　　　　#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
　　　(4)如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令：
　　　　#tcpdump tcp port 23 host 210.27.48.1

　　3. tcpdump 的输出结果介绍
　　　下面我们介绍几种典型的tcpdump命令的输出信息
　　　(1) 数据链路层头信息
　　　使用命令#tcpdump --e host ice
　　　ice 是一台装有linux的主机，她的MAC地址是0：90：27：58：AF：1A
　　　H219是一台装有SOLARIC的SUN工作站，它的MAC地址是8：0：20：79：5B：46；上一条
命令的输出结果如下所示：
21:50:12.847509 eth0 < 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h219.33357 > ice.
telne
t 0:0(0) ack 22535 win 8760 (DF)
　　分析：21：50：12是显示的时间， 847509是ID号，eth0 <表示从网络接口eth0 接受该
数据包，eth0 >表示从网络接口设备发送数据包, 8:0:20:79:5b:46是主机H219的MAC地址,它
表明是从源地址H219发来的数据包. 0:90:27:58:af:1a是主机ICE的MAC地址,表示该数据包的
目的地址是ICE . ip 是表明该数据包是IP数据包,60 是数据包的长度, h219.33357 > ice.
telnet 表明该数据包是从主机H219的33357端口发往主机ICE的TELNET(23)端口. ack 22535
表明对序列号是222535的包进行响应. win 8760表明发送窗口的大小是8760.

　　(2) ARP包的TCPDUMP输出信息
　　　使用命令#tcpdump arp
　　　得到的输出结果是：
　　22:32:42.802509 eth0 > arp who-has route tell ice (0:90:27:58:af:1a)
　　22:32:42.802902 eth0 < arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af
:1a)
　　分析: 22:32:42是时间戳, 802509是ID号, eth0 >表明从主机发出该数据包, arp表明是
ARP请求包, who-has route tell ice表明是主机ICE请求主机ROUTE的MAC地址。 0:90:27:5
8:af:1a是主机ICE的MAC地址。

　　(3) TCP包的输出信息
　　　用TCPDUMP捕获的TCP包的一般输出信息是：
　　src > dst: flags data-seqno ack window urgent options
　　src > dst:表明从源地址到目的地址, flags是TCP包中的标志信息,S 是SYN标志, F (F
IN), P (PUSH) , R (RST) "." (没有标记); data-seqno是数据包中的数据的顺序号, ack是
下次期望的顺序号, window是接收缓存的窗口大小, urgent表明数据包中是否有紧急指针.
Options是选项.

　　(4) UDP包的输出信息
　　　用TCPDUMP捕获的UDP包的一般输出信息是：
　　route.port1 > ice.port2: udp lenth
　　UDP十分简单，上面的输出行表明从主机ROUTE的port1端口发出的一个UDP数据包到主机
ICE的port2端口，类型是UDP，包的长度是lenth