在CentOS系统中，准确掌握在线人数及系统负载情况是保障服务器安全与稳定运行的核心任务，系统管理员不仅要关注当前登录的用户数量，更需深入分析网络连接状态、用户行为历史以及资源占用情况，通过结合基础查询命令与高级网络监控工具，可以构建一套完善的用户监控体系，从而有效预防资源耗尽和恶意入侵,确保服务器在最优状态下运行。
基础用户登录状态查询
对于CentOS系统管理员而言，最直接的需求是了解当前有哪些用户登录了服务器，Linux系统提供了多个原生命令来满足这一需求，其中最常用且功能最强大的是w命令。
w命令不仅显示当前登录的用户，还提供了丰富的附加信息，执行w后，系统会输出包含USER、TTY、FROM、LOGIN@、IDLE、JCPU、PCPU和WHAT等列的数据，USER指代登录用户名；TTY显示用户使用的终端类型；FROM则记录了用户连接的远程IP地址，这对于安全审计至关重要，IDLE时间表示用户最后一次操作到现在的空闲时间，如果该时间过长，可能意味着会话被遗忘，存在安全风险，JCPU和PCPU分别代表该终端所有进程占用的CPU时间和当前进程占用的CPU时间，通过分析这些数据,管理员可以快速判断是否存在非授权登录或异常高耗能的用户会话。
除了w命令，who命令也是一个轻量级的选择，它主要显示登录用户、终端、登录时间和远程主机，相比于w，who的信息更为精简，适合快速查看用户列表，而uptime命令虽然不直接列出用户，但它能提供系统负载平均值和当前运行时间，结合用户数量,可以评估系统整体压力。
网络连接与并发数深度分析
在Web服务器或应用服务器的场景下，“在线人数”往往指代的是并发网络连接数，而非单纯的SSH登录用户数，单纯依赖w命令远远不够，必须使用ss或netstat命令来分析TCP/IP连接状态。
ss（Socket Statistics）命令是现代CentOS系统中替代netstat的推荐工具，因为它能够更快速、更详细地显示网络连接信息，要查看当前所有建立的TCP连接，可以使用ss ant | grep ESTAB | wc l，这条命令通过过滤状态为ESTABLISHED（已建立连接）的行并统计数量，得出当前的并发连接数，对于Web服务器，关注TIME_WAIT状态的连接同样重要，过多的TIME_WAIT连接可能表明系统处理大量短连接，存在端口耗尽的风险，使用ss ant | grep TIME_WAIT | wc l可以快速统计这类连接。
在进行深度分析时，管理员应重点关注连接来源IP的分布，如果发现某个特定IP在短时间内建立了大量连接，这通常是DDoS攻击或恶意爬虫的特征，通过ss nt | awk '{print $6}' | sort | uniq c | sort rn可以统计各个IP的连接数并按降序排列,帮助管理员迅速定位异常流量来源。
用户历史审计与安全管控
掌握当前在线人数只是监控的一部分，追溯历史登录行为对于系统安全同样关键，CentOS通过last和lastb命令提供了完善的审计功能。
last命令记录了用户成功的登录历史，包括登录时间、退出时间、持续时间以及来源IP，通过查看这些日志，管理员可以发现异常的登录时段，例如在凌晨非工作时间发生的登录行为，如果发现可疑IP，应立即结合防火墙规则（如firewalld或iptables）进行封禁。
相对地，lastb命令用于查看登录失败的历史记录，大量的登录失败尝试通常意味着暴力破解攻击，定期检查lastb，如果发现某个IP尝试了数百次密码输入，必须将其加入黑名单，为了增强安全性，建议系统安装并配置fail2ban等工具，它能自动监控日志并根据预设规则封禁恶意IP,从而将安全防护从人工审计转变为自动化响应。
在管理在线用户时，有时需要强制干预，发现某个已登录账户正在进行破坏性操作，或者管理员需要释放资源，此时可以使用pkill命令强制终止指定用户的会话，执行pkill 9 t pts/1可以强制终止在pts/1终端上的所有进程，在执行此操作前，务必确认终端号,以免误杀正常工作的进程。
构建自动化监控解决方案
为了实现更高效的管理，依靠手动输入命令不仅效率低下，而且容易遗漏，基于EEAT原则,我们建议实施一套自动化的监控脚本方案。
管理员可以编写一个Shell脚本，定期（如每分钟）执行上述命令，并将关键指标（如当前登录用户数、并发连接数、负载平均值）记录到日志文件中，或者通过邮件/钉钉机器人发送告警，设定一个阈值，当并发连接数超过5000或系统负载超过10时,自动触发告警通知。
利用/etc/security/limits.conf配置文件，可以限制特定用户或用户组能够开启的最大进程数和最大登录会话数，这种预防性的配置措施能够从底层防止某个用户或服务因程序错误而耗尽系统资源，配置* hard maxlogins 10可以限制除root外的所有用户最多只能有10个并发登录会话。
对于高并发的生产环境，建议引入Prometheus + Grafana监控体系，通过在CentOS上部署node_exporter，可以以图形化的方式实时展示在线用户数、网络连接数等关键指标，不仅直观美观，而且便于进行历史趋势分析,为容量规划提供数据支持。
相关问答
Q1：在CentOS中，w命令和who命令的主要区别是什么，应该优先使用哪一个？
A：w命令和who命令虽然都能显示登录用户，但侧重点不同。who命令主要提供静态的用户登录信息，如用户名、终端、登录时间和远程主机，信息相对简单，而w命令不仅包含了who的所有信息，还额外提供了当前系统负载、用户空闲时间（IDLE）、以及当前进程占用的CPU时间（JCPU/PCPU）。w命令能让管理员更直观地了解用户正在做什么以及系统当前的繁忙程度，在进行系统状态检查和故障排查时，应优先使用功能更全面的w命令。
Q2：如何快速识别并处理CentOS服务器上的恶意扫描或暴力破解攻击？
A： 快速识别恶意攻击通常分两步，利用lastb命令查看登录失败的日志，统计特定IP的失败次数；使用ss nt结合awk和sort命令分析当前TCP连接，查找连接数异常高的IP，一旦确认恶意IP，应立即使用firewallcmd permanent addrichrule='rule family="ipv4" source address="恶意IP" reject'命令将其封禁，并执行firewallcmd reload使规则生效，为了长期安全，建议部署fail2ban服务，它能自动监控/var/log/secure等日志文件，对频繁尝试登录失败的IP实施自动封禁，极大提升服务器的安全防护等级。 能帮助您更好地管理CentOS服务器，如果您在日常运维中有独特的监控技巧或遇到过棘手的用户管理问题，欢迎在评论区分享您的经验和见解,让我们共同探讨解决方案。
