像这种情况，一般是Linux centos系统，检查下网站是否被入侵，被上传一些php脚本木马，有可能利用的php ddos 流量向外发包攻击。
再一个就是linux的系统进程被注入木马进程，导致一直向外发送流量。
一般都是网站程序有漏洞，导致服务器的流量向外发包. 服务器安全也有很大的关系，建议做好服务器安全和网站程序安全，包括网站的漏洞修复！也可以通过安全公司来解决，国内也就Sinesafe和绿盟等安全公司 比较专业.
TCP重传率保持在0.02%以内相对正常。
TCP重传率越低越好，越低代表我们的网络越好。
TCP的错误恢复特性是我们用来定位、诊断并最终修复网络高延迟的最好工具。
常见的TCP错误恢复特性有：TCP重传、TCP重复确认和快速重传。
重传数据包是TCP最基本的错误恢复特性之一，用来对付数据包的丢失。
数据包丢失可能原因有很多，如：出故障的应用程序、流量负载沉重的路由器或临时性的服务中断。
数据包层次上的移动速度非常快，而且数据包丢失通常都是暂时的，因此TCP能否检测到数据包丢失并恢复至关重要。
如何决定是否重传：
决定是否重传数据包的主要机制叫做：重传计时器，这个计时器负责维护一个重传超时（RTO--Retransmission timeout）的值。
当使用TCP传输一个数据包时，就启动重传计时器，当收到这个数据包的ACK应答时，计时器就停止。从发送数据包到接收ACK确认之间的时间被称为往返时间（Round-Trip time，RTT），若干个这样的时间平均下来，可计算出最终的RTO值。
一旦RTO值确定下来，重传计时器就被用于每个传输的数据包，以确定数据包是否丢失。
当报文发送之后，但接收方尚未发送TCP ACK报文，发送方假设源报文丢失并将其重传。重传之后，RTO值加倍；如果在2倍RTO值到达之前还是没有收到ACK报文，就再次重传。如果仍然没有收到ACK，那么RTO值再次加倍。如此持续下去，每次重传RTO都翻倍，直到收到ACK报文或发送方达到配置的最大重传次数。
最大重传次数取决于发送操作系统的配置值。
默认情况下，Windows主机默认重传5次。大多数linux系统默认最大15次，两种操作系统都可配置。
TCP重传率是网络质量的体现，网络这块我们主要看TCP重传率，这个基本在大点的公司都有这块监控。
TCP重传率=单位时间内TCP重传包数量/TCP发包总数
我们可以把TCP重传率视为网络质量和服务器稳定性的一个只要衡量指标。
还是根据我们的经验，这个TCP重传率越低越好，越低代表我们的网络越好，如果TCP重传率保持在0.02%（以自己的实际情况为准）以上，或者突增，就可以怀疑是不是网络问题了。