流量消耗
被控、主控、AI 分析和打开的面板各用多少网络流量，上报间隔和服务器数量对流量的影响，以及如何降低流量。
本页的数字是用 3R Monitor 1.0.5 实测的。测试服务器为 Debian 12，运行 Nginx、MariaDB、PHP-FPM、SSH 和 cron。流量在网卡上统计，已经包含 TCP/IP 的开销。1.1.0 和 1.1.1 版发送的上报内容相同，只多了几个很小的字段（1.1.1 加了每块网卡的收发字节数），所以这些数字仍然适用；漏洞数据的下载量在 1.1.0 中减少了，按 1.1.0 估算。你的服务器因服务、磁盘和进程数量不同会略有差别，但数量级是一样的。
一览
| 项目 | 流量 |
|---|---|
| 一台被控，默认间隔（3 秒） | 约 每小时 2.4 MB：每天 58 MB，每月 1.7 GB |
| 一台被控，间隔 10 秒 · 30 秒 · 60 秒 | 每天 18 · 7.4 · 4.5 MB |
| 访问量大的网站，开启访问统计（每秒 100 次请求） | 每天约多 46 MB |
| 主控 | 所有被控流量之和，再加每天几 MB 的自身流量（漏洞检查 1 到 10 MB） |
| AI 分析（如果开启） | 使用默认的 token 上限时，每天最多约 10 MB |
| 打开的面板 | 每台服务器每小时约 0.2 MB，只在页面打开时产生 |
| HTTP 监控项 | 每次检测下载一次页面 |
面板开不开，被控发送的数据都一样。 不管有没有人在看，被控都按自己的间隔上报。打开面板只会增加主控和这个浏览器之间的流量。
被控
上报的内容
被控每个间隔向主控发送一次上报：CPU、内存、磁盘、网络、服务，以及访问日志里新增的行。为了让上报尽量小：
- 上报经过 gzip 压缩；
- 很少变化的部分（监听端口、占用最高的进程、软件、证书）只在有变化时发送，另外每 10 分钟发一次完整上报；
- 两次上报之间和主控的连接保持不断，所以每次上报不需要重新建立连接（间隔不超过 90 秒时）。
默认间隔下，一次上报上行约 1.4 KB，主控的回复下行约 0.6 KB。被控流量约 70% 是上行，即从服务器发往主控。
上报间隔
所有服务器的间隔在 设置 → 默认阈值 → 被控 → 被控上报间隔（秒） 中设置；单台服务器在它自己的设置里改（服务器 → 设置 → 上报间隔（秒））。被控在下一次上报时就会按新间隔运行。
一台被控的流量（网站没有访问）：
| 间隔 | 每小时 | 每天 | 每月（30 天） |
|---|---|---|---|
| 1 秒 | 7.0 MB | 168 MB | 5.0 GB |
| 3 秒（默认） | 2.4 MB | 58 MB | 1.7 GB |
| 10 秒 | 0.75 MB | 18 MB | 540 MB |
| 30 秒 | 0.31 MB | 7.4 MB | 220 MB |
| 60 秒 | 0.19 MB | 4.5 MB | 135 MB |
| 300 秒 | 0.05 MB | 1.2 MB | 36 MB |
流量并不和间隔严格成反比：每次上报都有固定开销（HTTP 头、TCP），间隔越长，两次上报之间变化的数据也越多。即便如此，从 3 秒改成 10 秒也能省下约 70%。
间隔变长的影响：
- 实时曲线、地图和服务器卡片刷新得更慢。
- 使用默认的 离线判定（秒） 时，至少连续 3 个间隔没有上报才算离线：间隔 60 秒时要 3 分钟。如果给某台服务器单独设置了 离线判定（秒），请至少设为它间隔的 3 倍。
- CPU 和内存告警仍然按 持续多少秒才告警（默认 120 秒）判断，只是这段时间里的测量次数更少。
访问统计
服务器上有 Apache 或 Nginx 访问日志时，每次上报还会带上自上次以来每个 IP 的请求次数（每次最多 300 个 IP）；每分钟再带一次请求最多的 100 个 IP 访问了哪些路径、用的什么 User-Agent。
| 网站访问量 | 每天增加的流量 |
|---|---|
| 访问很少 | 接近 0 |
| 每秒 10 次请求（每天约 86 万次） | 约 11 MB |
| 每秒 100 次请求（每天约 860 万次） | 约 46 MB |
因为列表有上限，流量的增长比请求数慢得多。某台服务器不需要访问统计的话，在它的 /etc/3rmonitor/agent.conf 里设置 access_logs = off（见配置文件）。
HTTP 还是 HTTPS
走 HTTPS 和 HTTP/2 时（例如用 install.sh --https 安装），流量和 HTTP 基本一样：测试中多 2%。只要主控能从互联网访问，就请使用 HTTPS（见 HTTPS）。
间隔超过 90 秒时，每次上报都要新建连接。走 HTTPS 时每次上报会多一次 TLS 握手，约 4 到 6 KB；间隔 300 秒时每天仍不到 3 MB。
偶尔发生的传输
| 项目 | 时机 | 大小 |
|---|---|---|
| 安装被控 | 一次 | 约 15 MB（程序本身，从主控下载） |
| 被控更新 | 每个新版本一次 | 约 15 MB |
| 软件清单（漏洞检查用） | 第一次上报、软件有变化时，以及每天至少一次 | 压缩后几 KB 到几十 KB |
| 黑白名单规则 | 只在规则变化时，且只在开启了拦截的服务器上 | 几 KB；按整个国家拦截时会更大 |
| 向 1.1.1.1 查询公网 IP | 每 15 分钟一次，仅当网卡和云元数据里都找不到公网 IP 时 | 每次约 5 KB，每天约 0.5 MB。设置 public_ip = off 或固定 IP 可以避免。 |
主控上的被控
和主控一起安装的被控（主控 + 被控）上报到 127.0.0.1，流量不会离开这台服务器。
主控
主控接收所有被控的上传，并给它们回复。N 台服务器使用相同间隔时，把被控的数字乘以 N：
| 服务器数量（间隔 3 秒） | 主控下行（接收） | 主控上行（发送） | 每月合计 |
|---|---|---|---|
| 10 | 17 MB/小时 | 7 MB/小时 | 17 GB |
| 50 | 85 MB/小时 | 35 MB/小时 | 87 GB |
| 100 | 170 MB/小时 | 70 MB/小时 | 174 GB |
换算成带宽，100 台服务器、间隔 3 秒，平均约 0.5 Mbit/s。间隔 10 秒时，上表的数字约减少 70%。
很多云服务商只对 出站 流量计费。对被控来说，出站主要是上报（上行）；对主控来说，出站是给被控的回复，以及打开的面板收到的数据。
主控自身的后台流量
| 项目 | 时机 | 流量 |
|---|---|---|
| 漏洞检查，首次启用 | 新安装时一次 | 补齐最近 48 小时的 CVE 变更：最初几分钟内最多约 20 MB |
| 漏洞检查，之后 | 每 10 分钟检查 CVE 变更，每 6 小时更新 KEV 列表，每天更新停止维护数据，每 6 小时检查一遍所有服务器 | 每天约 1 到 10 MB，主要是有变更的 CVE 记录：每条每天只下载一次，网络上约 2.5 KB，通常每天有 300 到 3,000 条变更。1.0.12 及之前，同样的记录每小时都会重新下载，每天约 40 MB。 |
| AI 分析 | 报告、漏洞评估、告警分析、助手和值守，仅在你开启时 | 与你的模型服务商之间收发的文本：每个 token 约 4 字节，所以默认 200 万 token 的 每日 token 上限 意味着每天最多约 10 MB。装在主控上的本地 Ollama 不产生互联网流量。 |
| IP 归属国家库（DB-IP） | 每月一次 | 约 4 MB |
| 到 3rsoft.com.pa 检查更新 | 每 6 小时 | 每次约 7 KB |
| 告警邮件 | 有事件时 | 每封几 KB |
漏洞检查可以在 设置 → 漏洞检查 中关闭，国家库更新可以在 设置 → 地图 中关闭，AI 分析可以在 AI 分析 → 设置 中关闭。见安全与隐私。
浏览器里的面板
页面打开期间
打开的面板和主控之间保持一条实时连接（Server-Sent Events）。主控会推送：
- 你能看到的每台服务器每上报一次，推送一份这台服务器的简短摘要；
- 每个监控项每检测一次，推送检测结果；
- 每 15 秒一次心跳。
这条连接是压缩的：测试中只有不压缩时的约 1/20。不过每次更新都是一个单独的小网络包，所以总量随服务器数量和上报频率增长：
| 显示的服务器数量（间隔 3 秒） | 每小时 | 每天 8 小时，一个月 | 全天开着，一个月 |
|---|---|---|---|
| 1 | 0.2 MB | 50 MB | 150 MB |
| 10 | 1.6 MB | 390 MB | 1.2 GB |
| 50 | 8 MB | 1.9 GB | 5.8 GB |
访问量大的网站所在的服务器约为 1.5 倍。服务器间隔为 10 秒时，约为上表的三分之一。
- 服务器详情页（或总览里这台服务器的侧边面板）还会在每次上报时收到这台服务器的完整数据：这台服务器每小时约多 0.3 MB。
- 只有页面开着时才有流量。 后台标签页或最小化的窗口仍然保持连接：关掉标签页才会停止。
- 全天运行的大屏（见大屏模式）另外每 5 分钟完整同步一次，每 6 小时重建一次页面，增加得很少。一块显示 10 台服务器的大屏全天开着，每月约 1.2 GB。
- 只包含部分分组的分享链接只会收到这些分组的更新。
- 不要关闭压缩：反向代理如果去掉了压缩，这条连接的流量会变成约 8 倍。
打开面板时
第一次打开时，浏览器要下载界面：约 320 KB，西班牙文或中文界面另加 90 到 100 KB。之后浏览器会缓存它，直到主控升级。以后再打开面板只下载当前数据：几 KB，外加每台服务器约 1.5 KB。
网站监控
监控项由主控自己执行，所以这部分流量发生在主控和被监控的地址之间：
| 类型 | 每次检测 |
|---|---|
| HTTP(S) | 完整的响应，最多 2 MB（网站支持时会压缩传输），另加约 1 KB |
| SSL 证书 | 一次 TLS 握手，约 5 KB |
| TCP 端口、Ping、DNS | 不到 1 KB |
HTTP 监控项的流量主要取决于页面大小。一个 100 KB 的页面每 60 秒检测一次，每天就是 144 MB，主控和网站各产生这么多。请让 HTTP 监控项检测一个小地址，例如健康检查 URL 或轻量的页面；大页面请用更长的检测间隔。
如何降低流量
- 加大上报间隔：用 10 秒代替 3 秒，被控流量约减少 70%，告警仍然在几秒内发出。重要的服务器可以保留 3 秒，其他服务器用 30 或 60 秒。
- 不需要的服务器上关闭访问统计：
access_logs = off。 - 关掉不用的面板标签页。 墙上的大屏请使用只包含要显示的分组的分享链接。
- HTTP 监控项检测轻量的地址。
- 关闭不用的功能：漏洞检查、每月的 IP 国家库更新、AI 分析（或调低它的 每日 token 上限）。
估算你的流量
每天大致为：
- 被控：服务器数量 × 间隔表中的每天流量，再加上访问量大的网站的访问统计。
- 面板：每个打开的屏幕，打开小时数 × 显示的服务器数量 × 0.2 MB（间隔 3 秒时；10 秒时为三分之一）。
- 网站监控：每个 HTTP 监控项，页面大小 × 每天检测次数（86,400 ÷ 间隔）。
例子：20 台服务器，间隔 10 秒，其中一台是每秒 10 次请求的网站；一台电脑每天开着面板 8 小时；10 个 HTTP 监控项，页面 20 KB，每 60 秒检测一次：
| 每天 | |
|---|---|
| 被控：20 × 18 MB + 11 MB | 371 MB |
| 面板：8 小时 × 20 台服务器 × 0.07 MB | 11 MB |
| 网站监控：10 × 20 KB × 1,440 | 288 MB |
| 合计 | 670 MB（每月约 20 GB） |