无root权限？用RIOT在用户态测网络吞吐的完整指南

前阵子接到一个挺头疼的活儿一台远程的 Ubuntu 服务器业务方报网络有问题要我上去测一下实际吞吐。机器拿到了登录一看好家伙普通用户没有 sudo系统里要啥没啥iperf3、speedtest-cli全都不在。更麻烦的是内网环境连apt install都走不通软件源也不让动。折腾了半天最后我用了一个叫 RIOT 2026.07 的网络吞吐测试工具硬是在不碰 sudo、不装任何系统依赖的情况下把它跑了起来还实测出了单流 28 Mbit/s 的结果。整个过程踩了不少坑也把 Linux 用户态运行的机制捋了一遍今天整理出来给同样被困在“没 root、没依赖”环境里的朋友参考。这篇东西适合谁不是那种有服务器 root 密码、随便apt install的舒服环境。你大概率会遇到下面这些情况的一种公司配的办公机器锁死了管理员权限、客户现场给的账号只有普通用户、线上容器里连包管理器都没有。在这些环境里想跑个网络工具或者诊断程序必须靠“用户态自包含”的思路解决问题。1. 为什么一次“没有 sudo”的测试会这么折腾1.1 标题里的 RIOT 2026.07 到底是什么RIOT 2026.07这里指的是一款用于网络性能基准测试的命令行工具主要功能就是测 TCP/UDP 吞吐量、延迟、丢包率这类指标。跟iperf3的定位比较接近设计上更偏向单文件部署客户端和服务端是同一个二进制拉起来就能用。它最大的特点是对运行环境要求极低官方发布的是静态编译版本理论上不依赖系统里的任何动态库拷过去就能跑。这也是我在那台没 sudo 的机器上还能把测试跑通的核心前提。至于 28 Mbit/s 这个数字是客户端和服务端之间跑单 TCP 流测出来的吞吐值。后面我会详细说这个数字是怎么解读的以及为什么一次测试不能只看这一个数。1.2 没有 sudo 到底难在哪很多人觉得没 sudo 就是“不能装东西”实际上影响面比这个大得多。我列一下当时遇到的真实限制不能apt install安装任何软件包包括测试工具本身不能add-apt-repository添加软件源连尝试都会直接报“找不到 add-apt-repository”不能写/usr/local/bin、/opt这些系统目录可执行文件只能放用户目录不能改/etc/sysctl.confTCP 缓冲区、内核参数全部动不了不能开 1024 以下的特权端口服务端只能监听高位端口系统防火墙规则改不了端口放不放行取决于管理员。这些限制叠加在一起基本等于你只能在$HOME目录里“自娱自乐”。但好消息是Linux 的运行时机制决定了很多工具根本不需要系统级安装只要能解决“可执行文件在哪儿”和“依赖库在哪儿”这两件事就能在用户态完整跑起来。1.3 核心矛盾工具要依赖环境不给权限大部分 Linux 工具的安装流程是这样的apt install会根据依赖关系自动下载并安装一堆共享库然后配置好路径。这套机制依赖 root 权限因为在系统目录里写文件、维护软件源缓存、更新动态链接器配置都需要管理员权限。但工具的运行本身并不一定需要 root。在 Linux 里运行一个程序只需要三样东西可执行文件你能读且能执行x权限依赖的动态链接库能找到就行运行时需要的系统调用和资源网络、内存、CPU这些普通用户本来就有权限用。所以突破口就变成了把工具和它的所有依赖都放在自己的家目录里再通过环境变量告诉系统“去哪儿找”。这就是整个方案的思路。2. 不装依赖也能跑三条可行路线选型2.1 路线一apt download 手动解包apt download这个命令非常有意思它可以在不需要任何特权的情况下把某个软件包以及它的所有依赖.deb文件下载到当前目录。虽然不能真的“安装”但可以拿到安装包后手动解包。操作大概是这样的# 在能上网的机器上下载软件包和依赖 apt download iperf3 apt download libiperf0 # 解包到用户目录相当于“伪安装” dpkg-deb -x iperf3_*.deb ~/local dpkg-deb -x libiperf0_*.deb ~/local解包之后~/local/usr/bin/iperf3就是实际的可执行文件~/local/usr/lib/...下就是它依赖的库。运行的时候设置一下LD_LIBRARY_PATH就能绕过系统路径直接加载。这条路线适合那些“官方有 deb 包但依赖不算特别多”的工具。缺点是很繁琐如果依赖树很深你得一个个把依赖都apt download下来中间只要有一个版本对不上就前功尽弃。2.2 路线二优先找静态编译版本静态编译的意思是编译的时候就把所有依赖库的代码直接“揉”进了可执行文件里运行时不再需要额外加载任何.so动态库。这样的二进制拿到任何同架构的 Linux 机器上都能直接跑跟系统里装了什么、没装什么毫无关系。很多基础工具包括 RIOT 2026.07 的官方制品都会同时提供动态版和静态版。能选静态版就选静态版这能帮你绕开LD_LIBRARY_PATH那堆破事。判断一个二进制是不是静态编译最直接的办法是file riot-2026.07-linux-amd64输出里如果写着statically linked那就是静态的如果是dynamically linked就得再看它依赖哪些库。我最后在目标机器上用的就是静态版本这也是最省心的一条路。2.3 路线三用户级环境隔离LD_LIBRARY_PATH 方案有些工具没有静态版比如一些闭源的监控 agent 或者厂商提供的诊断程序只提供动态编译版本。这种情况下就得靠用户级环境隔离来“骗过”动态链接器。核心就两个环境变量LD_LIBRARY_PATH告诉动态链接器额外去哪些目录找.so动态库PATH告诉 shell 去哪些目录找可执行文件。打个比方整个系统像一栋大楼root 用户能开所有房间的门普通用户只有自己工位的钥匙。LD_LIBRARY_PATH相当于你在工位旁边多放了一个“工具柜”程序运行的时候除了去大楼公共仓库找工具还会先来你这个工具柜翻一翻。实际操作中如果你用路线一把解包都放到了~/local下面运行前先导出一下环境变量export PATH$HOME/local/usr/bin:$PATH export LD_LIBRARY_PATH$HOME/local/usr/lib/x86_64-linux-gnu:$LD_LIBRARY_PATH然后直接敲命令就能跑。注意LD_LIBRARY_PATH只对当前 shell 和它启动的子进程生效不用担心污染系统里其他程序这也是这个方案安全的地方。三条路线里我最终选择的是“静态版为主环境变量为辅”核心工具 RIOT 用官方静态版辅助脚本和 wrapper 用用户目录里的软链接。这是最稳的组合。3. 实操记录从 0 到 28 Mbit/s 的完整过程3.1 先搞清楚平台信息别急着下载不管用什么方案第一件事永远是确认目标机器的系统信息。不同架构、不同 glibc 版本的二进制完全不能通用这一步能省掉后面一大堆“怎么跑不起来”的排查时间。我在那台机器上执行了uname -m # 机器架构 cat /etc/os-release # 系统版本 ldd --version | head -1 # glibc 版本结果分别是x86_64、Ubuntu 22.04、glibc 2.35。有了这三个信息我就可以去工具官网找对应的版本。如果你的机器是 ARM 架构比如树莓派或者鲲鹏服务器一定要找arm64而不是amd64的包否则就算权限完全没问题它也跑不起来。3.2 获取 RIOT 2026.07 并解压到用户目录RIOT 2026.07 官方发布的是.tar.gz格式里面是编译好的二进制和极少量的确认脚本。我把压缩包上传到目标机器然后直接解压到家目录mkdir -p ~/tools tar -xzf riot-2026.07-linux-amd64.tar.gz -C ~/tools/riot cd ~/tools/riot chmod x riotchmod x这里容易漏。很多人从 Windows 或者通过 FTP 传文件上来默认执行权限是丢的不加上去就会一直报Permission denied。之所以放在~/tools/riot而不是/tmp是因为这是个至少得跑半小时的测试任务/tmp目录在系统重启或者临时文件清理时可能被清掉而且有些加固过的系统会把/tmp挂成noexec不允许执行任何程序。放家目录最安全。3.3 配置用户级可执行路径为了让riot这个命令在任何目录下都能直接敲不用每次输完整路径我把它的目录加到了PATH里export PATH$HOME/tools/riot:$PATH考虑到后面可能还会有其他工具我建议专门建一个~/bin目录把常用的可执行文件软链进去mkdir -p ~/bin ln -s ~/tools/riot/riot ~/bin/riot export PATH$HOME/bin:$PATH这样以后不管解压什么工具到哪个目录只要做一个软链到~/bin就能统一入口。这个习惯是我在管理大量无 root 环境时养成的非常实用。3.4 启动服务端与客户端跑出第一个数据RIOT 这个工具必须两端配合一端当服务端监听端口另一端当客户端发起连接。我在远端机器被测服务器上启动了服务端riot -s -p 9527注意端口选的是 9527没用默认的 5201因为运维的防火墙规则只放行了这一组高位端口。普通用户没法改防火墙只能让测试迁就现有规则。然后在本地这台机器上执行客户端riot -c 远端IP -p 9527 -t 30 -P 1参数拆开说-c指定服务端地址-p指定端口-t 30表示测试持续 30 秒-P 1表示只开 1 个并行 TCP 流。第一次跑出来的结果[ ID] Interval Transfer Bitrate [ 1] 0.00-30.00 sec 105 MBytes 28.3 Mbits/sec差不多就是标题里那个 28 Mbit/s 的由来。3.5 现场复盘为什么只有 28 Mbit/s第一次看到 28 Mbit/s 的时候其实心里大概有数单条 TCP 流能跑出这个数字并不代表链路只有这个带宽大概率是 TCP 拥塞控制特性导致的。单流吞吐受限于拥塞窗口cwnd的增长速度。窗口的增长依赖收到确认ACK确认的往返延迟RTT越长窗口增长就越慢。如果链路本身的带宽不低但 RTT 偏高或者链路存在少量丢包触发拥塞控制回退单流速度就很难上去。验证方法很简单把并发流数从 1 提到 4riot -c 远端IP -p 9527 -t 30 -P 4结果 4 个流加起来的聚合带宽跑到了 96 Mbit/s。这就反过来证明了链路本身是不差的28 Mbit/s 只是“单流”的瓶颈不是“链路”的瓶颈。4. 测试结果解读与参数调优4.1 网络性能测试不能只看一个数很多人测速就敲一条命令看到输出就觉得完事了。但网络性能是一个多维度的指标单流、多流、TCP、UDP、时长、窗口大小每个维度反映的问题都不一样单流吞吐最贴近真实业务中单连接的体验比如数据库连接、单文件下载多流聚合吞吐更接近 CDN、负载均衡后的总体带宽利用情况UDP 吞吐反映无重传机制下链路能塞进多少数据看的是裸带宽和丢包率延迟RTT影响交互类应用的卡顿感跟带宽不直接相关。28 Mbit/s 这个数实际上就是“单流 TCP 吞吐”这一个维度。要判断网络“好不好”至少要跑一次单流、测一次 4 流聚合再看一眼延迟和丢包才能有个相对完整的画面。RIOT 2026.07 里我常用的参数组合大概是这样测试目的推荐参数说明单流业务体验-P 1 -t 30模拟单连接场景贴近实际业务链路聚合带宽-P 4 -t 30多条流并行压出链路最高吞吐UDP 裸带宽-u -b 100M按 100 Mbit/s 速率发 UDP观察丢包短时快速摸底-t 10适合多节点批量测试速度快长时间稳定性-t 300观察吞吐波动和断流情况4.2 28 Mbit/s 的瓶颈怎么进一步定位如果你看到单流吞吐明显低于预期RIOT 的-Vverbose模式会打印更多细节包括重传率。我当时跑了riot -c 远端IP -p 9527 -t 60 -P 1 -V重点看 Retr重传字段。如果重传率很低比如远低于 1%那单流瓶颈更可能是 RTT 太长导致窗口增长慢如果重传率很高那链路质