家里网突然变慢，怎么查谁在跑流量？
NAS、电视、手机、摄像头都连着网，卡顿时很难逐台排查。用 Neko Master 按时间、设备 IP 和域名缩小范围，十几台设备也能顺着线索查下去。
晚上看视频一直转圈，测速也比平时低。家里没人主动下载，但 NAS 、电视盒子、手机、摄像头加起来十几台设备，逐台断网排查很费时间。
更省事的办法，是先确认三个线索：流量从什么时候开始上涨、哪个局域网 IP 用得最多、它主要连接了哪些域名。范围缩小后，再去路由器的 DHCP 列表核对设备。
Neko Master 就是做这件事的。它从 Clash 、 Mihomo 或 Surge 网关读取连接数据，按来源 IP 、域名、目标 IP 、规则和代理节点整理成图表。面板不会给宽带提速，也不会读取聊天或网页正文，它更像一张家庭网络用量清单。
先看你家的网络能不能用
这套方法需要一个受支持的数据入口：
- Clash / Mihomo，包括常见的 OpenClash 环境；
- Surge v5 及以上版本；
- 一台能运行 Docker 的 NAS 、 Linux 主机或小主机；
- Neko Master 所在设备能访问网关控制接口。
如果家里只有运营商光猫或普通路由器，而且没有 Clash 、 Mihomo 、 Surge 控制接口，装好面板也不会出现流量数据。它目前不支持所有路由器，也不会主动扫描整个局域网。
用 Docker 跑起来
家庭排查先用 SQLite 即可，ClickHouse 、多网关 Agent 可以留到以后。下面只公开 Web 端口 3000，数据保存在当前目录的 data 文件夹：
mkdir -p neko-master/data
cd neko-master
export COOKIE_SECRET="$(openssl rand -hex 32)"
docker run -d \
--name neko-master \
-p 3000:3000 \
-v "$PWD/data:/app/data" \
-e COOKIE_SECRET="$COOKIE_SECRET" \
--restart unless-stopped \
foru17/neko-master:latest
浏览器打开：
http://部署机器的局域网IP:3000
只映射 3000 时，核心页面可以使用；浏览器实时 WebSocket 没有单独转发时，界面会退回约 5 秒一次的 HTTP 刷新。家庭排查通常够用。
首次进入后，建议立即在安全设置里开启访问控制，并使用密码管理器生成较长的随机 Token 。当前版本的新数据库默认关闭访问控制，面板不适合直接暴露到公网。
接入 OpenClash 或 Mihomo
在后台新增网关，填写：
- 名称，例如“家庭网关”；
- 类型选择 Clash / Mihomo；
- 网关的局域网地址；
- External Controller 端口；
- 配置过 Secret 时一并填写。
项目文档用 9090 作为示例端口，实际值以自己的网关配置为准。保存后先看总览页是否出现流量，再继续排查。
没有数据时，常见原因包括：控制接口未开启、接口只监听 127.0.0.1、容器里误填了本机 127.0.0.1、端口或 Secret 不对，以及 Docker 主机无法访问网关。
控制接口包含敏感信息。扩大监听范围时应同时配置 Secret，并用防火墙限制访问来源；无认证接口不应映射到公网。
按“时间、设备 IP 、域名”往下查
1. 找到卡顿发生的时间段
先在总览页选择覆盖故障时间的区间，观察下载、上传和连接数。
下载持续升高，常见于系统更新、云盘同步、视频缓存或 NAS 下载；上传持续偏高，可能来自照片备份、监控录像、网盘上传或 BT 做种。流量高本身不能证明设备异常，后台任务同样会占满带宽。
2. 在设备页找来源 IP
设备页按来源 IP 汇总流量。把时间范围切到刚才的卡顿时段，先看下载、上传、总流量和连接数排名靠前的 IP 。
这里显示的“设备”通常还是 192.168.x.x 这样的地址，不会自动变成“客厅电视”或“某某手机”。复制可疑 IP，再到路由器的 DHCP 客户端或租约列表里，用 IP 、 MAC 地址和设备备注确认身份。
平时给常用设备设置固定 DHCP 租约并写好备注，后续排查会快很多。
3. 查看它连过哪些域名
点进可疑设备，继续看热门域名和目标 IP：
- 系统更新域名，对照手机、电脑、游戏机的更新记录；
- 云存储或对象存储域名，检查备份和同步任务；
- 视频、 CDN 域名，检查电视或播放器；
- 只有目标 IP 时，结合流量方向和设备用途继续判断。
域名只能提供线索。多个服务可能共用 CDN，加密 DNS 、直接连接 IP 、代理端远程解析也会让信息不完整，因此不宜仅凭一个陌生域名就判断具体 App 。
4. 暂停任务做一次对照
找到疑似设备后，暂停下载、备份或同步任务，等待面板刷新。曲线回落后再恢复任务，如果流量同时重新出现，判断会更可靠。
例如晚上 8 点电视卡顿，总览里上传持续偏高；设备页显示 192.168.1.23 占用最多；DHCP 列表确认它是一台 NAS；暂停云备份后上传曲线回落。这类对照比盯着一个陌生域名猜用途更稳。
上面的 IP 仅作演示，请按自己网络中的记录核对。
流量不高，网络还是卡
卡顿时没有明显流量峰值，可以换一条排查线：Wi-Fi 信号与信道干扰、光猫或路由器负载、 DNS 响应、运营商线路、目标网站状态，以及丢包和高延迟。
Neko Master 看到的是网关连接和流量统计，无法单独证明宽带线路质量，也不能代替抓包和完整网络诊断。
部署前还要知道几件事
连接元数据会暴露访问域名、目标 IP 、来源设备 IP 、代理链和流量大小，data 目录应限制访问并纳入备份。网关 Token 也保存在本地数据库中，截图、日志和问题反馈都需要脱敏。
默认在线 GeoIP 查询会把待查询的公网 IP 发送给外部服务。对隐私要求较高的环境，可以按项目文档配置本地 GeoLite2 City 与 ASN 数据库，并限制在线回退。
项目当前采用 MIT License，本次核验版本为 v1.3.10。更新前先备份 data 目录，重要统计不宜作为计费、执法或强合规审计的唯一依据。
你家最常见的流量大户是 NAS 、电视、手机，还是监控设备？如果继续写下一篇，你更需要 OpenClash 控制接口的安全配置，还是跨设备 Agent 部署？