Scopri quale app sta usando la rete sul Mac

Qualcosa sta usando la connessione. L'indicatore Wi-Fi è occupato mentre non stai facendo nulla, una connessione in tethering brucia il traffico disponibile in un pomeriggio, oppure una video chiamata si degrada ogni volta che ti metti a lavorare. macOS può rispondere, ma gli strumenti sono sparsi e il numero più evidente in ciascuno è cumulativo anziché in tempo reale, e così si finisce sul processo sbagliato.

Risposta breve: la scheda Rete di Activity Monitor indica il processo, ma le colonne contano i totali dall'avvio di ciascun processo. Per ciò che sta spostando dati in questo momento, usa nettop. Per sapere con quali host remoti un processo sta comunicando, usa lsof -i.

Activity Monitor indica il processo

Apri Activity Monitor e seleziona la scheda Rete. Ogni processo che ha spostato dati compare con i byte inviati e ricevuti.

Ordinare quelle colonne è ciò che porta sul processo sbagliato. Sono totali accumulati dall'avvio di ciascun processo, quindi un daemon in esecuzione dall'ultimo riavvio supera l'app che satura il collegamento in questo minuto. Ordinare per "Byte ricevuti" mette in cima, in modo affidabile, la riga sbagliata.

Due righe allarmano e di solito non dovrebbero:

• mDNSResponder gestisce il DNS e il rilevamento della rete locale per l'intero sistema. Su un Mac acceso da settimane può mostrare gigabyte. È un proxy per tutto il resto che risolve i nomi, non un'app che scarica in background.
• kernel_task compare perché il lavoro di rete attraversa il kernel. Vedi kernel_task con CPU alta per la stessa attribuzione errata in forma CPU.

In fondo alla finestra c'è un grafico in tempo reale dei dati in ingresso e in uscita al secondo. Quel grafico, non le colonne, è ciò che va osservato mentre cambi qualcosa.

nettop mostra cosa si muove adesso

nettop è lo strumento che risponde alla domanda vera. È incluso in macOS e non richiede installazione.

nettop -P -L 1 -J bytes_in,bytes_out

,bytes_in,bytes_out,
syslogd.362,0,22701,
apsd.368,685304,414375,
mDNSResponder.480,4189609493,104188210,

-P aggrega per processo anziché per connessione, -L 1 prende un singolo campione e esce invece di restare interattivo, e -J seleziona le colonne. Eseguilo in modo interattivo senza -L e si aggiorna sul posto, ed è la modalità da usare mentre indaghi.

Per osservare i delta anziché i totali, prendi due campioni a pochi secondi di distanza e confrontali. Un processo che ha guadagnato decine di megabyte tra i due è quello da indagare. Un processo con un totale enorme e nessun cambiamento tra i campioni è cronologia inattiva.

lsof -i mostra dove si connette

Quando hai un nome, la domanda successiva è di solito dove sta inviando i dati.

sudo lsof -i -n -P | grep ESTABLISHED

-n salta il DNS inverso e -P salta la risoluzione dei nomi delle porte, così l'output è veloce e letterale. Ottieni il processo, la porta locale e l'indirizzo remoto per ogni connessione aperta. Senza sudo vedi solo i tuoi processi, e spesso basta.

Risolvere quegli indirizzi è il punto in cui conta l'onestà: un IP che appartiene a un grande provider cloud dice quasi nulla, perché gran parte di internet è ospitata lì. Trattalo come un indizio, non come un'identificazione.

Le risposte abituali

Prima di assumere che qualcosa non vada, controlla le cose che devono usare la rete senza che glielo chiedi.

Aggiornamento Software merita una menzione a parte perché scarica in background per impostazione predefinita e un installer completo di macOS pesa diversi gigabyte. Su una connessione a consumo quella sola impostazione è spesso l'intero problema.

Quello che macOS non ti dice

Tre limiti, perché diversi articoli popolari li saltano:

• Non esiste una cronologia integrata della banda per app. Activity Monitor e nettop riportano entrambi dall'avvio del processo o dal momento in cui hai iniziato a osservare. Nulla in macOS tiene un registro per app che puoi consultare in seguito.
• I totali per processo non sono totali per app. Un browser distribuisce il traffico su più processi renderer, e un daemon di supporto può trasportare il traffico di diverse app insieme.
• Il traffico attraverso una VPN o un'estensione di sistema può essere attribuito all'estensione anziché all'app che l'ha generato.

Uno strumento che pretenda una scomposizione storica completa per app o sta installando un filtro di rete proprio, o sta stimando, e vuoi sapere quale delle due prima di fidarti del numero.

Un controllo ripetibile

1. Osserva il grafico in tempo reale di Activity Monitor in fondo alla scheda Rete, non le colonne.
2. Prendi due campioni nettop -P -L 1 a pochi secondi di distanza e confrontali.
3. Per il processo che è cresciuto, esegui lsof -i -n -P per vedere dove è connesso.
4. Metti in pausa l'app o il servizio di sincronizzazione sospetto e conferma che il grafico scende.
5. Se nulla scende, il traffico non proviene da un'app utente; controlla Aggiornamento Software e iCloud.

Il passo quattro è quello che si salta, ed è ciò che separa un'identificazione da una congettura.

Dove si inserisce un monitor

Mole tiene il throughput di rete in tempo reale nella barra dei menu accanto a CPU, memoria e stato termico, così una connessione occupata è visibile quando succede, non ricostruita dopo. Riporta il throughput che può misurare e non installa un filtro di rete per pretendere una cronologia per app che macOS non fornisce.

Domande frequenti

Perché mDNSResponder usa così tanti dati?

Risolve i nomi e gestisce il rilevamento della rete locale per l'intero sistema, quindi il traffico di molti altri processi viene contato su di esso. Non sta scaricando nulla di proprio.

Posso vedere quanti dati ha usato un'app ieri?

Non da macOS. Non esiste una cronologia integrata per app. Gli strumenti di terze parti che lo offrono installano un'estensione di rete per osservare il traffico da soli.

Come trovo cosa sta usando i dati su un hotspot?

Attiva la Modalità dati bassi per quella rete in Impostazioni di Sistema > Wi-Fi > Dettagli, che ferma diversi servizi in background tra cui i download automatici degli aggiornamenti, poi usa il confronto nettop sopra per ciò che resta.

Un'attività di rete alta è un segno di malware?

È raramente il primo segno, e le spiegazioni abituali sopra coprono quasi ogni caso. Esaminale prima di trattare un traffico di background costante come sospetto.