多远程站点OpenSUSE设备与本地服务器间异常高SSH流量排查求助

我所在的团队负责管理多个远程站点，每个站点都运行着多台OpenSUSE Linux设备。这些站点日常会生成数据并回传到本地服务器，通常每天的数据量不到1GB。

最近我们为这些站点新增了Starlink作为网络提供商，之后就出现了数据用量异常飙升的情况——最高时一天能达到100GB。我们完全不清楚是什么在传输数据，急需解决这个问题。

背景信息 #

各站点的网络配置如下：

• 采用FS双WAN网关（SG-3110）实现Starlink和本地运营商两条线路的负载均衡
• 站点内所有设备通过独立的FS交换机连接到网关
  这套网络配置是和Starlink同步部署的，属于新上线的环境。

问题详情 #

Starlink的流量用量异常高，而且没有明显规律。不同站点的情况差异很大，有的站点完全没有异常，有的则能达到日均100GB的流量消耗。
站点1、站点2的Starlink流量数据均显示出异常高峰。
问题是在新网络配置上线后出现的，不过不同站点首次出现异常的时间间隔了几周不等。
我可以通过网关监控所有设备的出入流量，发现异常高流量并非集中在某1-2台设备，而是站点内所有设备都存在这个情况。

已做排查动作 #

为了找出问题根源，我在几台有异常的设备上用Wireshark抓包分析，发现了以下情况：

• 所有异常流量都发生在我们自己的设备之间：要么是站点内设备互访，要么是站点设备和本地服务器通信
• 大部分流量是从站点设备发往某一台特定本地服务器的SSH数据包。其中一台站点设备的发包速率约为上行230包/秒、下行80包/秒，对应这台服务器的平均数据速率达到了5Mbps

之后我在接收流量的本地服务器上尝试用iftop和nethogs工具排查，但除了能实时看到流量涌入外，没找到什么有用的线索。

求助 #

现在我们的远程站点会莫名向本地服务器上传大量数据，传输行为随机，不同站点的严重程度也不一样，完全找不到原因。

有没有大佬能帮忙分析可能的诱因？或者给我一些后续排查的方向？任何帮助都非常感谢！

备注：内容来源于stack exchange，提问作者Theo