奇怪的 vps 短连接风暴二象性

接上一个帖子: VPS 持续高带宽下载却无法定位进程

这个 vps 很奇怪，我有一个 docker 程序监听 3210 端口，并且用 nginx 反代这个服务。可以直接通过域名来访问这个服务，域名是用 cf dns 解析的。

然后奇怪的现象是白天每隔段时间就会触发一次短连接风暴，会有大量的 tcp 连接到来。

经过排查后发现大量都是 TIME-WAIT 连接，也就是相当于 close 掉的 tcp 连接:

$ ss -s
Total: 361
TCP:   619 (estab 216, closed 385, orphaned 2, timewait 373)

Transport Total     IP        IPv6
RAW	  0         0         0
UDP	  3         0         3
TCP	  234       87        147
INET	  237       87        150
FRAG	  0         0         0

并且当我打开我的监控探针时候，它就不出现了，呈现了二象性:

ps. 针对 timewait 的连接，没有办法检测它的 Process ，因为已经杀死了。

所以就想监控一下这个 tcp 连接，等到发生风暴时候使用 tcpdump 来抓包一下。结果一直等不到。有趣。