Snitch 开源网络流量可视化工具：实时监控连接、异常检测与防火墙拦截

前言

每天打开电脑，它到底在跟谁通信？哪个应用在偷偷往外传数据？大多数人对这些问题其实说不出个所以然。系统自带的网络面板信息太粗糙，Wireshark 又专业到让人劝退。Snitch 想解决的正是这个中间地带的问题——把本机的每一条连接用看得懂的方式呈现出来，顺便把可疑的出站流量拦掉。

项目介绍

Snitch 是一款实时网络流量可视化工具，跨平台、免费、开源（AGPL）。核心逻辑非常朴素：你的机器居中，每个连接就是一个节点，谁连了谁、对方在哪个国家、由哪个进程发起，一目了然。阻断动作交给操作系统原生防火墙（netsh / iptables / pf）执行，Snitch 自己不在用户态做包过滤。所有数据留在本机，默认零对外请求，地理定位也是离线完成的。

项目功能

项目特点

• 跨平台且免费开源：对比 Little Snitch / Lulu，思路相似但不受 macOS 限制；对比 GlassWire，无需账号、默认零对外请求；对比 Wireshark，提供的是高层概览而非原始包剖析。
• 阻断走系统防火墙：规则由后端驱动 netsh、iptables、pf 下发，权限不足时如实标记「未应用」并转为可见性匹配告警，不假装生效。
• 隐私优先：API 默认绑定 127.0.0.1，每个 REST 端点和 WebSocket 都要求令牌；GeoIP 完全离线；威胁情报、webhook、更新检查均为可选开启。
• 数据不出本机：SQLite 滑动窗口与日志文件都只留在本地，无遥测。
• 应急能力实用：Lockdown 保留回环与局域网，UI 依然可达；取证包可一键导出用于事后分析。
• 部署方式灵活：桌面应用、Docker（Linux，host 网络抓包）、无头守护进程 snitchd 覆盖不同场景。

项目技术

安全设计上还有几个细节值得注意：CORS 与 WebSocket Origin 有白名单，只允许 localhost:5173、后端自身来源和 Electron 的 file:// 页面；历史数据按分钟聚合到 host_history 与 process_history 两张表；诊断接口返回的是不含机密的运行时快照。

项目效果

打开界面后，本机位于力导向图中心，周围是当前活跃连接节点，节点间连线随流量变化而浮动。切到世界地图，能看到 IP 对应的地理位置和动画弧线，跨洋连接一眼可辨。时间线滑块可以回看最近 15 到 60 分钟的连接变化。异常检测会在端口扫描或固定间隔外联出现时给出告警，隐私评分随之波动。对某个连接展开详情，能看到进程名、目的地、流量和 60 分钟历史，旁边的按钮可以直接结束进程或阻断 IP。设置面板里可以调语言、保留期、过滤器和网卡，GeoIP 下载需要明确同意。

项目源码

仓库结构大致如下：

snitch/
├── backend/       FastAPI + libpcap 捕获（ctypes，自研解析器）
├── frontend/      React + D3.js UI（8 种语言）
├── electron/      Electron 封装（main、splash、preload）
├── data/          运行时数据（SQLite、geo/ 下的 .mmdb）
└── dist/          编译产物（后端 exe、安装器）

本地开发需要 Python 3.11+、Node.js 18+，Windows 还要装 Npcap，后端需要管理员终端。想快速看效果可以设 SNITCH_DEMO=1，合成流量走真实管线，无需 root、无需 libpcap，适合截图和测试。

安装方式上，macOS 可用 brew install --cask aixisstudio/tap/snitch，Linux 提供 AppImage / .deb / .rpm / .snap，Windows 有 NSIS 安装器（依赖 Npcap），也可以直接用 Pinokio 一键起后端开 UI。

GitHub：https://github.com/aixisstudio/Snitch

总结

Snitch 的定位很清楚：不是抓包分析器，也不是企业级流量审计平台，而是给普通用户看的一扇窗——谁在连、连到哪、能不能拦。它把可视化、异常检测和防火墙编排揉在一起，同时把隐私边界划得很明确：默认不出网、数据不出机、每个外联动作都要你点头。对于想搞清楚本机网络行为、又不想被专业工具门槛挡住的人来说，这是个值得一试的选择。类似的开源工具分享与实战经验，也可以在云栈社区继续交流。