Muchos principiantes confunden ancho de banda y tráfico:

Ya tenemos una solución de monitorización y alertas con Prometheus + Grafana, que es una monitorización profesional más completa. Lo que recomienda este artículo es un enfoque más ligero: primero tener claro el tráfico mensual, luego decidir si desplegar un sistema mayor.

Mi recomendación es simple:

1. Instalar vnStat en todos los VPS para registrar el tráfico diario y mensual a largo plazo.
2. Cuando sospeches que el tráfico ha aumentado de repente, usar nload para ver la velocidad en tiempo real.
3. Cuando aún no estés seguro de quién está consumiendo tráfico, usar iftop para encontrar el origen de la conexión.
4. Configurar alertas de dos niveles al 80% y 90% del tráfico mensual.
5. Si es un servidor en la nube de pago por uso, añadir también alertas de presupuesto y una política de límite máximo.

Las ventajas son bajo coste, bajo uso de recursos y una ruta de diagnóstico clara. Incluso una instancia pequeña de 1 núcleo y 512MB puede ejecutarlo, y no necesitas desplegar una gran pila de monitorización solo para vigilar el tráfico.

Primero mira cómo se llama tu interfaz de red pública:

ip -br addr

Los resultados comunes pueden ser:

lo               UNKNOWN        127.0.0.1/8 ::1/128
eth0             UP             203.0.113.10/24
ens3             UP             203.0.113.10/24

Los ejemplos siguientes asumen que la interfaz es eth0. Si tu máquina muestra ens3, enp1s0 u otro nombre, solo tienes que reemplazar eth0 en los comandos.

Debian / Ubuntu:

sudo apt update
sudo apt install -y vnstat
sudo systemctl enable --now vnstat

AlmaLinux / Rocky Linux / Fedora:

sudo dnf install -y vnstat
sudo systemctl enable --now vnstat

Tras la inicialización, consulta:

vnstat -i eth0
vnstat -d -i eth0
vnstat -m -i eth0

Verás algo similar a:

rx      /      tx      /     total
1.12 TiB /  340 GiB    /   1.45 TiB

Dos detalles a tener en cuenta:

• rx es tráfico entrante, tx es tráfico saliente; cada proveedor tiene sus propias reglas de facturación: algunos solo cuentan la salida, otros cuentan ambas direcciones.
• Justo después de instalar vnStat no hay datos históricos; normalmente hay que esperar de unos minutos a unas horas para tener estadísticas estables.

Si tu plan es de 3TB de tráfico mensual, te recomiendo calcular de forma conservadora: sumar tanto la entrada como la salida. Así, aunque las reglas del proveedor sean más flexibles, no subestimarás el riesgo.

Instalar:

sudo apt install -y nload

Ejecutar:

nload eth0

Muestra la velocidad actual de entrada/salida. Es útil para responder preguntas como:

• ¿Está el sitio web siendo golpeado por rastreadores?
• ¿Sigue subiendo una tarea de copia de seguridad?
• ¿Algún contenedor Docker está sincronizando sin parar?
• ¿Un proxy o servicio de descarga está saturando la salida?

Si solo ves un tráfico mensual anómalo pero el nload actual no muestra velocidad evidente, el problema puede haber pasado ya, y necesitas revisar registros, tareas programadas o registros históricos de copias de seguridad.

Instalar:

sudo apt install -y iftop

Al ejecutarlo, recomiendo añadir -n para evitar que las búsquedas inversas DNS ralenticen la interfaz:

sudo iftop -n -i eth0

Verás qué IPs de las conexiones actuales suben/bajan más. Juicios habituales:

• Muchas IPs desconocidas accediendo a 80/443: pueden ser rastreadores, ataques CC, hotlinking o abuso de API.
• Una única dirección interna/de almacenamiento de objetos con tráfico muy alto: pueden ser copias de seguridad, sincronización o descargas de imágenes.
• Alguna IP extranjera ocupando la salida durante mucho tiempo: comprueba si hay tareas de proxy, descarga, transcodificación o descarga de modelos de IA.

Si descubres que el sitio web está siendo atacado, puedes consultar Qué hacer cuando un sitio web en VPS sufre ataques CC. Si los registros, imágenes o volúmenes de Docker se descontrolan, también puedes leer Diagnóstico de Docker llenando el disco; muchas veces los problemas de disco y tráfico aparecen juntos.

El siguiente script es adecuado para escenarios mínimos: se ejecuta una vez al día, emite warning al superar el 80% y critical al superar el 90%. Puedes enviar la salida a correo, Telegram Bot, Webhook de WeCom o tu propio sistema de monitorización.

Crear el script:

sudo nano /usr/local/bin/vps-traffic-alert.sh

Rellenar:

#!/usr/bin/env bash
set -euo pipefail

IFACE="eth0"
LIMIT_GB="3000"
WARN_PERCENT="80"
CRIT_PERCENT="90"

MONTH_TOTAL_GB=$(vnstat -i "$IFACE" --oneline b | awk -F';' '{print $11}' | awk '{print $1}')
USED_PERCENT=$(awk -v used="$MONTH_TOTAL_GB" -v limit="$LIMIT_GB" 'BEGIN { printf "%.0f", used / limit * 100 }')

MESSAGE="VPS traffic usage: ${MONTH_TOTAL_GB}GB / ${LIMIT_GB}GB (${USED_PERCENT}%) on ${IFACE}"

if [ "$USED_PERCENT" -ge "$CRIT_PERCENT" ]; then
  echo "CRITICAL: $MESSAGE"
  exit 2
fi

if [ "$USED_PERCENT" -ge "$WARN_PERCENT" ]; then
  echo "WARNING: $MESSAGE"
  exit 1
fi

echo "OK: $MESSAGE"

Dar permisos y probar:

sudo chmod +x /usr/local/bin/vps-traffic-alert.sh
/usr/local/bin/vps-traffic-alert.sh

Luego crea un systemd timer o cron. Ejemplo simple de cron:

sudo crontab -e

Comprobar una vez al día a las 9 de la mañana:

0 9 * * * /usr/local/bin/vps-traffic-alert.sh >> /var/log/vps-traffic-alert.log 2>&1

Si tu plan es de 1TB, cambia LIMIT_GB="3000" a LIMIT_GB="1000". Si el proveedor solo cuenta el tráfico saliente, puedes modificar aún más el script para leer solo tx, pero en la etapa de principiante recomiendo mirar primero el total de forma conservadora.

En las siguientes situaciones, no pienses solo en limpiar el tráfico:

1. Superar el 70% del plan durante dos meses consecutivos significa que el crecimiento ya no es ocasional.
2. Tener que detener servicios manualmente cada fin de mes significa que el plan no se ajusta al negocio.
3. El proveedor limita directamente a 1Mbps tras superar el umbral, afectando la disponibilidad del servicio en línea.
4. Tu tráfico proviene principalmente de archivos estáticos, imágenes o paquetes de descarga; deberías considerar almacenamiento de objetos o CDN.
5. Tu negocio es streaming, sitios de descarga o distribución de archivos grandes; deberías priorizar comprar un plan de gran tráfico en lugar de una instancia pequeña normal.

Si te preguntas por qué el tráfico saliente es caro, puedes leer Explicación del coste del tráfico saliente en VPS internacionales. Si usas un servidor en la nube de pago por uso, asegúrate de leer Cómo evitar facturas descontroladas en servidores en la nube de pago por uso.

Error 1: Si el proveedor dice tráfico ilimitado, no hace falta monitorizar.

Muchos "tráfico ilimitado" siguen teniendo cláusulas de uso justo, y tras superar cierto umbral oculto pueden limitar la velocidad o pedirte que actualices. También tenemos una explicación dedicada: ¿Es realmente ilimitado el tráfico de un VPS ilimitado?.

Error 2: Mirar solo el panel, no las estadísticas locales del servidor.

El panel del proveedor es la referencia final, pero puede tener retraso; las estadísticas locales detectan anomalías más rápido. Cuando los dos datos no coincidan, prevalece la factura del proveedor, pero usa los datos locales para las alertas.

Error 3: Reinstalar el sistema en cuanto ves tráfico alto.

Primero usa iftop, los registros de Nginx y los registros de Docker para localizar el origen. Reinstalar pierde pruebas y puede que no resuelva la causa raíz.

Error 4: Monitorizar solo CPU y memoria.

Muchos sitios pequeños caen no por falta de CPU, sino porque el ancho de banda está siendo golpeado, el tráfico se ha agotado o la salida está limitada. La monitorización de tráfico debería formar parte de la inspección básica junto con disco, certificados y estado de servicios.

• Usar ip -br addr para encontrar el nombre de la interfaz de red pública.
• Instalar y habilitar vnStat.
• Revisar vnstat -m -i eth0 semanalmente.
• Instalar nload para ver la velocidad en tiempo real cuando haya anomalías.
• Instalar iftop para encontrar el origen de las conexiones cuando haya anomalías.
• Configurar umbrales de alerta del 80% y 90% según el plan.
• Cuando el tráfico mensual supere el 70% de forma sostenida, considerar actualizar, migrar, añadir CDN o separar recursos estáticos.

La monitorización de tráfico VPS no necesita una plataforma compleja desde el principio. Para la mayoría de sitios personales, equipos pequeños y servicios autoalojados, vnStat + nload + iftop + 一个阈值脚本 ya resuelve el 80% del problema.

La verdadera clave es: no esperes a que el proveedor te limite la velocidad o llegue la factura para empezar a investigar. Con saber cuánto has usado este mes, de dónde viene el tráfico anómalo y cuándo se activarán los umbrales, puedes decidir de antemano si limitar la velocidad, añadir caché, migrar recursos estáticos o cambiar a un plan VPS más adecuado.