Linux服务器性能评估与优化（五)--内核参数

野性酷女 2022-08-12 01:14 294阅读 0赞

网络内容总结（感谢原创）

之前文章[《Linux服务器性能评估与优化(一)》][Linux]太长，阅读不方便，因此拆分成系列博文：

[《][Linux][Linux服务器性能评估与优化(一)--CPU][Linux][》][Linux]

[《][Linux][Linux服务器性能评估与优化(二)--内存][Linux_--][》][Linux]

[《][Link 1][Linux服务器性能评估与优化(三)--磁盘i/o][Link 1][》][Linux]

[《][Link 2][Linux服务器性能评估与优化(四)--网络][Linux][》][Linux]

[《][Link 3][Linux服务器性能评估与优化（五)--内核参数][Link 3][》][Linux]

# #

## 1、Linux内核参数优化 ##

--------------------

内核参数是用户和系统内核之间交互的一个接口，通过这个接口，用户可以在系统运行的同时动态更新内核配置，而这些内核参数是通过Linux Proc文件系统存在的。因此，可以通过调整Proc文件系统达到优化Linux性能的目的。

### **一、sysctl命令** ###

sysctl命令用来配置与显示在/proc/sys目录中的内核参数．如果想使参数长期保存，可以通过编辑/etc/sysctl.conf文件来实现。

命令格式：

sysctl \[-n\] \[-e\] -w variable=value

sysctl \[-n\] \[-e\] -p (default /etc/sysctl.conf)

sysctl \[-n\] \[-e\] –a

常用参数的意义：

-w  临时改变某个指定参数的值，如

\# sysctl -w net.ipv4.ip\_forward=1

-a  显示所有的系统参数

-p从指定的文件加载系统参数,默认从/etc/sysctl.conf 文件中加载，如：

\# echo 1 > /proc/sys/net/ipv4/ip\_forward

\# sysctl -w net.ipv4.ip\_forward=1

以上两种方法都可能立即开启路由功能，但如果系统重启，或执行了

\# service network restart

命令，所设置的值即会丢失，如果想永久保留配置，可以修改/etc/sysctl.conf文件，将 net.ipv4.ip\_forward=0改为net.ipv4.ip\_forward=1

### **二、linux内核参数调整：linux 内核参数调整有两种方式** ###

方法一：修改/proc下内核参数文件内容，不能使用编辑器来修改内核参数文件，理由是由于内核随时可能更改这些文件中的任意一个，另外，这些内核参数文件都是虚拟文件，实际中不存在，因此不能使用编辑器进行编辑，而是使用echo命令，然后从命令行将输出重定向至 /proc 下所选定的文件中。如：将 timeout\_timewait 参数设置为30秒：

\# echo 30 > /proc/sys/net/ipv4/tcp\_fin\_timeout

参数修改后立即生效，但是重启系统后，该参数又恢复成默认值。因此，想永久更改内核参数，需要修改/etc/sysctl.conf文件

方法二．修改/etc/sysctl.conf文件。检查sysctl.conf文件，如果已经包含需要修改的参数，则修改该参数的值，如果没有需要修改的参数，在sysctl.conf文件中添加参数。如：

net.ipv4.tcp\_fin\_timeout=30

保存退出后，可以重启机器使参数生效，如果想使参数马上生效，也可以执行如下命令：

\# sysctl  -p

### **三、sysctl.conf 文件中参数设置及说明** ###

**1、常见配置**

net.ipv4.ip_local_port_range = 1024 65536  
    net.core.rmem_max=16777216 
    net.core.wmem_max=16777216 
    net.ipv4.tcp_rmem=4096 87380 16777216  
    net.ipv4.tcp_wmem=4096 65536 16777216  
    net.ipv4.tcp_fin_timeout = 30 
    net.core.netdev_max_backlog = 30000 
    net.ipv4.tcp_no_metrics_save=1 
    net.core.somaxconn = 262144 
    net.ipv4.tcp_syncookies = 1 
    net.ipv4.tcp_max_orphans = 262144 
    net.ipv4.tcp_max_syn_backlog = 262144 
    net.ipv4.tcp_synack_retries = 2 
    net.ipv4.tcp_syn_retries = 2

net.ipv4.ip\_local\_port\_range：用来指定外部连接的端口范围，默认是32 768到61 000，这里设置为1024到65 536。

net.core.rmem\_max：指定接收套接字缓冲区大小的最大值，单位是字节。

net.core.wmem\_max：指定发送套接字缓冲区大小的最大值，单位是字节。

net.ipv4.tcp\_rmem：此参数与net.ipv4.tcp\_wmem都是用来优化TCP接收/发送缓冲区的，包含3个整数值，分别是min、default、max。

对于tcp\_rmem，min表示为TCP socket预留的用于接收缓存的最小内存数量，default表示为TCP socket预留的用于接收缓存的默认的内存值，max表示用于TCP socket接收缓存的内存最大值。

对于tcp\_wmem，min表示为TCP socket预留的用于发送缓存的内存最小值，default表示为TCP socket预留的用于发送缓存的默认的内存值，max表示用于TCP socket发送缓存的内存最大值。

net.ipv4.tcp\_fin\_timeout：此参数用于减少处于FIN-WAIT-2连接状态的时间，使系统可以处理更多的连接。此参数值为整数，单位为秒。

例如，在一个tcp会话过程中，在会话结束时，A首先向B发送一个fin包，在获得B的ack确认包后，A就进入FIN-WAIT-2状态等待B的fin包，然后给B发ack确认包。net.ipv4.tcp\_fin\_timeout参数用来设置A进入FIN-WAIT-2状态等待对方fin包的超时时间。如果时间到了仍未收到对方的fin包就主动释放该会话。

net.core.netdev\_max\_backlog：该参数表示当在每个网络接口接收数据包的速率比内核处理这些包的速率快时，允许发送到队列的数据包的最大数量。

net.ipv4.tcp\_syncookies：表示是否打开SYN Cookie。tcp\_syncookies是一个开关，该参数的功能有助于保护服务器免受SyncFlood攻击。默认值为0，这里设置为1。

net.ipv4.tcp\_max\_orphans：表示系统中最多有多少TCP套接字不被关联到任何一个用户文件句柄上。如果超过这里设置的数字，连接就会复位并输出警告信息。这个限制仅仅是为了防止简单的DoS攻击。此值不能太小。这里设置为262 144。

net.ipv4.tcp\_max\_syn\_backlog：表示SYN队列的长度，预设为1024，这里设置队列长度为262 144，以容纳更多的等待连接。

net.ipv4.tcp\_synack\_retries：这个参数用于设置内核放弃连接之前发送SYN+ACK包的数量。

net.ipv4.tcp\_syn\_retries：此参数表示在内核放弃建立连接之前发送SYN包的数量。

### **四、Linux内核优化之TCP/IP相关参数** ###

所有的TCP/IP调优参数都位于/proc/sys/net/目录。 例如， 下面是最重要的一些调优参数， 后面是它们的含义：  
　　1. /proc/sys/net/core/rmem\_max — 最大的TCP数据接收缓冲  
　　2. /proc/sys/net/core/wmem\_max — 最大的TCP数据发送缓冲  
　　3. /proc/sys/net/ipv4/tcp\_timestamps — 时间戳在(请参考RFC 1323)TCP的包头增加12个字节  
　　4. /proc/sys/net/ipv4/tcp\_sack — 有选择的应答  
　　5. /proc/sys/net/ipv4/tcp\_window\_scaling — 支持更大的TCP窗口。 如果TCP窗口最大超过65535(64K)， 必须设置该数值为1  
　　6. rmem\_default — 默认的接收窗口大小  
　　7. rmem\_max — 接收窗口的最大大小  
　　8. wmem\_default — 默认的发送窗口大小  
　　9. wmem\_max — 发送窗口的最大大小  
　　/proc目录下的所有内容都是临时性的， 所以重启动系统后任何修改都会丢失。  
　　建议在系统启动时自动修改TCP/IP参数：  
  
　　把下面代码增加到/etc/rc.local文件， 然后保存文件， 系统重新引导的时候会自动修改下面的TCP/IP参数：  
　　echo 256960 > /proc/sys/net/core/rmem\_default  
　　echo 256960 > /proc/sys/net/core/rmem\_max  
　　echo 256960 > /proc/sys/net/core/wmem\_default  
　　echo 256960 > /proc/sys/net/core/wmem\_max  
　　echo 0 > /proc/sys/net/ipv4/tcp\_timestamps  
　　echo 1 > /proc/sys/net/ipv4/tcp\_sack  
　　echo 1 > /proc/sys/net/ipv4/tcp\_window\_scaling  
  
　　TCP/IP参数都是自解释的， TCP窗口大小设置为256960, 禁止TCP的时间戳(取消在每个数据包的头中增加12字节)， 支持更大的TCP窗口和TCP有选择的应答。  
　　上面数值的设定是根据互连网连接和最大带宽/延迟率来决定。  
　　注： 上面实例中的数值可以实际应用， 但它只包含了一部分参数。  
  
　　另外一个方法： 使用 /etc/sysctl.conf 在系统启动时将参数配置成您所设置的值：  
　　net.core.rmem\_default = 256960  
　　net.core.rmem\_max = 256960  
　　net.core.wmem\_default = 256960  
　　net.core.wmem\_max = 256960  
　　net.ipv4.tcp\_timestamps = 0  
　　net.ipv4.tcp\_sack =1  
　　net.ipv4.tcp\_window\_scaling = 1

=========================================================================

tcp\_syn\_retries：INTEGER  
默认值是5  
对于一个新建连接，内核要发送多少个 SYN 连接请求才决定放弃。不应该大于255，默认值是5，对应于180秒左右时间。(对于大负载而物理通信良好的网络而言,这个值偏高,可修改为2.这个值仅仅是针对对外的连接,对进来的连接,是由tcp\_retries1决定的)  
  
tcp\_synack\_retries：INTEGER  
默认值是5  
对于远端的连接请求SYN，内核会发送SYN ＋ ACK数据报，以确认收到上一个 SYN连接请求包。这是所谓的三次握手( threewayhandshake)机制的第二个步骤。这里决定内核在放弃连接之前所送出的 SYN+ACK 数目。不应该大于255，默认值是5，对应于180秒左右时间。(可以根据上面的tcp\_syn\_retries来决定这个值)  
  
tcp\_keepalive\_time：INTEGER  
默认值是7200(2小时)  
当keepalive打开的情况下，TCP发送keepalive消息的频率。(由于目前网络攻击等因素,造成了利用这个进行的攻击很频繁,曾经也有cu的朋友提到过,说如果2边建立了连接,然后不发送任何数据或者rst/fin消息,那么持续的时间是不是就是2小时,空连接攻击?tcp\_keepalive\_time就是预防此情形的.我个人在做nat服务的时候的修改值为1800秒)  
  
**tcp\_keepalive\_probes：INTEGER**  
默认值是9  
TCP发送keepalive探测以确定该连接已经断开的次数。(注意:保持连接仅在SO\_KEEPALIVE套接字选项被打开是才发送.次数默认不需要修改,当然根据情形也可以适当地缩短此值.设置为5比较合适)  
  
tcp\_keepalive\_intvl：INTEGER  
默认值为75  
探测消息发送的频率，乘以tcp\_keepalive\_probes就得到对于从开始探测以来没有响应的连接杀除的时间。默认值为75秒，也就是没有活动的连接将在大约11分钟以后将被丢弃。(对于普通应用来说,这个值有一些偏大,可以根据需要改小.特别是web类服务器需要改小该值,15是个比较合适的值)  
  
tcp\_retries1：INTEGER  
默认值是3  
放弃回应一个TCP连接请求前﹐需要进行多少次重试。RFC 规定最低的数值是3﹐这也是默认值﹐根据RTO的值大约在3秒 - 8分钟之间。(注意:这个值同时还决定进入的syn连接)  
  
tcp\_retries2：INTEGER  
默认值为15  
在丢弃激活(已建立通讯状况)的TCP连接之前﹐需要进行多少次重试。默认值为15，根据RTO的值来决定，相当于13-30分钟(RFC1122规定，必须大于100秒).(这个值根据目前的网络设置,可以适当地改小,我的网络内修改为了5)  
  
tcp\_orphan\_retries：INTEGER  
默认值是7  
在近端丢弃TCP连接之前﹐要进行多少次重试。默认值是7个﹐相当于 50秒 - 16分钟﹐视 RTO 而定。如果您的系统是负载很大的web服务器﹐那么也许需要降低该值﹐这类 sockets 可能会耗费大量的资源。另外参的考tcp\_max\_orphans。(事实上做NAT的时候,降低该值也是好处显著的,我本人的网络环境中降低该值为3)  
  
tcp\_fin\_timeout：INTEGER  
默认值是60  
对于本端断开的socket连接，TCP保持在FIN-WAIT-2状态的时间。对方可能会断开连接或一直不结束连接或不可预料的进程死亡。默认值为60秒。过去在2.2版本的内核中是 180 秒。您可以设置该值﹐但需要注意﹐如果您的机器为负载很重的web服务器﹐您可能要冒内存被大量无效数据报填满的风险﹐FIN-WAIT-2 sockets 的危险性低于 FIN-WAIT-1 ﹐因为它们最多只吃 1.5K 的内存﹐但是它们存在时间更长。另外参考tcp\_max\_orphans。(事实上做NAT的时候,降低该值也是好处显著的,我本人的网络环境中降低该值为30)  
  
tcp\_max\_tw\_buckets：INTEGER  
默认值是180000  
系统在同时所处理的最大 timewaitsockets 数目。如果超过此数的话﹐time-wait socket 会被立即砍除并且显示警告信息。之所以要设定这个限制﹐纯粹为了抵御那些简单的 DoS 攻击﹐千万不要人为的降低这个限制﹐不过﹐如果网络条件需要比默认值更多﹐则可以提高它(或许还要增加内存)。(事实上做NAT的时候最好可以适当地增加该值)

tcp\_tw\_recycle：BOOLEAN  
默认值是0  
打开快速 TIME-WAITsockets 回收。除非得到技术专家的建议或要求﹐请不要随意修改这个值。(做NAT的时候，建议打开它)：

> 当net.ipv4.tcp\_tw\_recycle= 1：
> 
> 就有可能导致服务器收到SYN但是不会向客户端发送SYN+ACK包，结果导致客户端重传的发生。
> 
> 原因是打开tcp\_tw\_recycle参数后，服务器会识别这些SYN包的时间戳（net.ipv4.tcp\_timestamps = 1），如果SYN数据包时间戳不是顺序的，导致服务器认为SYN包不可信而丢弃, 结果服务器收到SYN但是不会向客户端发送SYN+ACK包。

tcp\_tw\_reuse：BOOLEAN  
默认值是0  
该文件表示是否允许重新应用处于TIME-WAIT状态的socket用于新的TCP连接(这个对快速重启动某些服务,而启动后提示端口已经被使用的情形非常有帮助)  
  
tcp\_max\_orphans：INTEGER  
缺省值是8192  
系统所能处理不属于任何进程的TCP sockets

# #

# 2、Linux文件系统优化 #

--------------------

ulimit -a 用来显示当前的各种用户进程限制。  
　　Linux对于每个用户，系统限制其最大进程数。为提高性能，可以根据设备资源情况，设置各linux 用户的最大进程数，下面我把某linux用户的最大进程数设为10000个：  
　　ulimit -u 10000  
　　其他建议设置成无限制(unlimited)的一些重要设置是：  
　　数据段长度：ulimit -d unlimited  
　　最大内存大小：ulimit -m unlimited  
　　堆栈大小：ulimit -s unlimited  
　　CPU 时间：ulimit -t unlimited  
　　虚拟内存：ulimit -v unlimited  
　　暂时地，适用于通过 ulimit 命令登录 shell 会话期间。

永久修改ulimit：

ulimit -SHn 65535  
    ubuntu limit 设置需修改三个文件：  
   \[/etc/sysctl.conf\]  
    fs.file-max = 65535

\[/etc/pam.d/common-session\]  
    session required pam\_limits.so  
    \[/etc/security/limits.conf\]

*  soft nproc 65535
           *  hard nproc 65535
           *  soft nofile 65535 
           *  hard nofile 65535

说明：\* 代表针对所有用户  
　　noproc 是代表最大进程数  
　　nofile 是代表最大文件打开数  
  
　　2)、让 SSH 接受 Login 程式的登入，方便在 ssh 客户端查看 ulimit -a 资源限制：  
　　a、vi /etc/ssh/sshd\_config  
　　把 UserLogin 的值改为 yes，并把 \# 注释去掉  
　　b、重启 sshd 服务：  
　　/etc/init.d/sshd restart  
　　3)、修改所有 linux 用户的环境变量文件：  
　　vi /etc/profile  
　　ulimit -u 10000  
　　ulimit -n 4096  
　　ulimit -d unlimited  
　　ulimit -m unlimied  
　　ulimit -s unlimited  
　　ulimit -t unlimited  
　　ulimit -v unlimited

我们通过内核参数了解，TCP 连接建立的时候会分配接收缓冲区和发送缓冲区，各 4KB，一共是 8K  
     net.ipv4.tcp\_wmem = 4096 16384 4194304

net.ipv4.tcp\_rmem = 4096 87380 4194304

第一个值是socket 的发送缓存区分配的最少字节数;  
     第二个值是默认值( 该值会被net.core.wmem\_default 覆盖), 缓存区在系统负载不重的情况下可以增长到这个值；  
     第三个值是发送缓存区空间的最大字节数( 该值会被net.core.wmem\_max 覆盖 )。

就是说，每个tcp连接的socket，根据实际情况测试，如果单单建立稳定连接，缓冲区基本不占内存。

[https://zhuanlan.zhihu.com/p/25241630?hmsr=toutiao.io&utm\_medium=toutiao.io&utm\_source=toutiao.io][https_zhuanlan.zhihu.com_p_25241630_hmsr_toutiao.io_utm_medium_toutiao.io_utm_source_toutiao.io]

# #

3、Linux内存调优

--------------------

内存子系统的调优不是很容易，需要不停地监测来保证内存的改变不会对服务器的其他子系统造成负面影响。如果要改变虚拟内存参数(在/proc/sys/vm)，建议您每次只改变一个参数然后监测效果。对与虚拟内存的调整包括以下几个项目：  
  
  
　　配置Linux内核如何更新dirty buffers到磁盘。磁盘缓冲区用于暂存磁盘的数据。相对于内存来讲，磁盘缓冲区的速度很慢。因此，如果服务器使用这类内存，性能会成问题。当缓冲区内的数据完全dirty，使用：sysctl -w vm.bdflush="30 500 0 0 500 3000 60 20 0"  
  
　　vm.bdflush有9个参数，但是建议您只改变其中的3个：  
  
　　1 nfract, 为排队写入磁盘前，bdflush daemon允许的缓冲区最大百分比  
  
　　2 ndirty, 为bdflush即刻写的最大缓冲区的值。如果这个值很大，bdflush需要更多的时间完成磁盘的数据更新。  
  
　　7 nfract\_sync, 发生同步前，缓冲区变dirty的最大百分比  
  
  
　　配置kswapd daemon，指定Linux的内存页数量  
  
　　sysctl -w vm.kswapd="1024 32 64"  
  
  
　　三个参数的描述如下：  
  
　　– tries\_base 相当于内核每次所的“页”的数量的四倍。对于有很多交换信息的系统，增加这个值可以改进性能。  
  
　　– tries\_min 是每次kswapd swaps出去的pages的最小数量。  
  
　　– swap\_cluster 是kswapd 即刻写如的pages数量。数值小，会提高磁盘I/O的性能;数值大可能也会对请求队列产生负面影响。  
  
　　如果要对这些参数进行改动，请使用工具vmstat检查对性能的影响。其它可以改进性能的虚拟内存参数为：  
  
　　\_ buffermem  
  
　　\_ freepages  
  
　　\_ overcommit\_memory  
  
　　\_ page-cluster  
  
　　\_ pagecache  
  
　　\_ pagetable\_cache

# #

# 4、Linux网络调优 #

--------------------

操作系统安装完毕，就要对网络子系统进行调优。对其它子系统的影响：影响CPU利用率，尤其在有大量TCP连接、块尺寸又非常小时，内存的使用会  
  
明显增加。  
  
**1）如何预防性能下降**  
  
　　如下的sysctl命令用于改变安全设置，但是它也可以防止网络性能的下降。这些命令被设置为缺省值。  
  
◆关闭如下参数可以防止黑客对服务器IP地址的攻击  
  
       sysctl -w net.ipv4.conf.eth0.accept\_source\_route=0  
　　sysctl -w net.ipv4.conf.lo.accept\_source\_route=0  
　　sysctl -w net.ipv4.conf.default.accept\_source\_route=0  
　　sysctl -w net.ipv4.conf.all.accept\_source\_route=0  
  
**◆开启TCP SYN cookies****，**保护服务器避免受syn-flood攻击，包括服务取决denial-of-service (DoS) 或者分布式服务拒绝distributed denial-of-  
  
　service (DDoS) (仅适用Red Hat Enterprise Linux AS)  
　　sysctl -w net.ipv4.tcp\_syncookies=1  
  
◆以下命令使服务器忽略来自被列入网关的服务器的重定向。因重定向可以被用来进行攻击，所以我们只接受有可靠来源的重定向。  
  
　　sysctl -w net.ipv4.conf.eth0.secure\_redirects=1  
　　sysctl -w net.ipv4.conf.lo.secure\_redirects=1  
　　sysctl -w net.ipv4.conf.default.secure\_redirects=1  
　　sysctl -w net.ipv4.conf.all.secure\_redirects=1  
  
　　另外，你可以配置接受或拒绝任何ICMP重定向。ICMP重定向是器传输信息的机制。比如，当网关接收到来自所接网络主机的Internet数据报时，网关可以发送重定向信息到一台主机。网关检查路由表获得下一个网关的地址，第二个网关将数据报路由到目标网络。关闭这些重定向得命令如下：  
  
　　sysctl -w net.ipv4.conf.eth0.accept\_redirects=0  
　　sysctl -w net.ipv4.conf.lo.accept\_redirects=0  
　　sysctl -w net.ipv4.conf.default.accept\_redirects=0  
　　sysctl -w net.ipv4.conf.all.accept\_redirects=0  
  
◆如果这个服务器不是一台路由器，那么它不会发送重定向，所以可以关闭该功能：  
　　sysctl -w net.ipv4.conf.eth0.send\_redirects=0  
　　sysctl -w net.ipv4.conf.lo.send\_redirects=0  
　　sysctl -w net.ipv4.conf.default.send\_redirects=0  
　　sysctl -w net.ipv4.conf.all.send\_redirects=0  
  
◆配置服务器拒绝接受广播风暴或者smurf 攻击attacks:  
  
　　sysctl -w net.ipv4.icmp\_echo\_ignore\_broadcasts=1  
  
◆忽略所有icmp包或者pings:  
      sysctl -w net.ipv4.icmp\_echo\_ignore\_all=1  
  
◆有些路由器针对广播祯发送无效的回应，每个都产生警告并在内核产生日志。这些回应可以被忽略：  
　　sysctl -w net.ipv4.icmp\_ignore\_bogus\_error\_responses=1

**2）针对TCP和UDP的调优**  
  
　　下边的命令用来对连接数量非常大的服务器进行调优。  
  
◆对于同时支持很多连接的服务器，新的连接可以重新使用TIME-WAIT套接字。 这对于Web服务器非常有效：  
　　sysctl -w net.ipv4.tcp\_tw\_reuse=1  
　　如果你使用该命令，还要启动TIME-WAIT 套接字状态的快速循环功能：  
　　sysctl -w net.ipv4.tcp\_tw\_recycle=1  
　　每个TCP传输都包含远程客户端的信息缓存，所以有利于提高性能。缓存中存放round-trip时间、最大segment大小、拥塞窗口的信息。  
  
  
◆参数tcp\_fin\_timeout 是套接字关闭时，保持FIN-WAIT-2状态的时间。

一个TCP连接以three-segment SYN序列开始， 以three-segment FIN序列结束。均不保留数据。通过改变tcp\_fin\_timeout的值， 从FIN序列到内存可以空闲出来处理新连接的时间缩短了，使性能得到改进。改变这个值的前要经过认真的监测,避免因为死套接字造成内存溢出。  
  
　　sysctl -w net.ipv4.tcp\_fin\_timeout=30  
  
  
◆服务器的一个问题是，同一时刻的大量TCP连接里有很多的连接被打开但是没有使用。 TCP的keepalive功能检测到这些连接，缺省情况下，在2小时之后丢掉. 2个小时的可能导致内存过度使用，降低性能。因此改成1800秒(30分钟)是个更好的选择：  
　　sysctl -w net.ipv4.tcp\_keepalive\_time=1800  
  
◆对于所有的队列，设置最大系统发送缓存(wmem) 和接收缓存(rmem)到8MB  
  
　　sysctl -w net.ipv4.core.wmem\_max=8388608  
　　sysctl -w net.ipv4.core.rmem\_max=8388608  
  
　　这些设置指定了创建TCP套接字时为其分配的内存容量。 另外，使用如下命令发送和接收缓存。该命令设定了三个值：最小值、初始值和最大值：  
  
　　sysctl -w net.ipv4.tcp\_rmem="4096 87380 8388608"  
　　sysclt -w net.ipv4.tcp.wmem="4096 87380 8388608"  
  
　　第三个值必须小于或等于wmem\_max和rmem\_max。  
  
  
◆(SUSE LINUX Enterprise Server适用) 通过保留路径验证来源数据包。缺省情况下，路由器转发所有的数据包，即便是明显的异常网络流量。通过启动和是的过滤功能，丢掉这些数据包：  
  
　　sysctl -w net.ipv4.conf.eth0.rp\_filter=1  
　　sysctl -w net.ipv4.conf.lo.rp\_filter=1  
　　sysctl -w net.ipv4.conf.default.rp\_filter=1  
　　sysctl -w net.ipv4.conf.all.rp\_filter=1  
  
◆当服务器负载繁重或者是有很多客户端都是超长延时的连接故障，可能会导致half-open连接数量的增加。这对于Web服务器很来讲很平常，尤其有很多拨号客户时。这些half-open连接保存在 backlog connections 队列中。将这个值最少设置为4096 (缺省为1024)。 即便是服务器不接收这类连接，设置这个值还能防止受到denial-of-service (syn-flood)的攻击。  
　　sysctl -w net.ipv4.tcp\_max\_syn\_backlog=4096  
  
◆设置ipfrag参数，尤其是NFS和Samba服务器。这里，我们可以设置用于重新组合IP碎片的最大、最小内存。当ipfrag\_high\_thresh值被指派，碎片会被丢弃直到达到ipfrag\_low\_thres值。当TCP数据包传输发生错误时，开始碎片整理。有效的数据包保留在内存，同时损坏的数据包被转发。例如，设置可用内存范围从256 MB到384 MB  
　　sysctl -w net.ipv4.ipfrag\_low\_thresh=262144  
　　sysctl -w net.ipv4.ipfrag\_high\_thresh=393216

# #

## 5、Linux网络安全设置 ##

--------------------

**1）TCP SYN Flood 攻击**  
  
　　TCP SYN Flood是一种常见，而且有效的远端(远程)拒绝服务(Denial of Service)攻击方式，它透过一定的操作破坏TCP三次握手建立正常连接，占用并耗费系统资源，使得提供TCP服务的主机系统无法正常工作。由於TCP SYN Flood是透过网路底层对服务器Server进行攻击的，它可以在任意改变自己的网路IP地址的同时，不被网路上的其他设备所识别，这样就给防范网路犯罪部门追查犯罪来源造成很大的困难。系统检查  
  
　　一般情况下，可以一些简单步骤进行检查，来判断系统是否正在遭受TCP SYN Flood攻击。  
  
　　1、服务端无法提供正常的TCP服务。连接请求被拒绝或超时。  
　　2、透过 netstat -an 命令检查系统，发现有大量的SYN\_RECV连接状态。  
　　3. iptables的设置，引用自CU防止同步包洪水(Sync Flood)  
  
　　\# iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT  
  
　　也有人写作  
  
　　\#iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT  
  
　　--limit 1/s 限制syn并发数每秒1次，可以根据自己的需要修改  
  
　　防止各种端口扫描  
  
　　\# iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT  
  
　　Ping洪水攻击(Ping of Death)  
  
**　　\# iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT**

2）Linux上的NAT与iptables

谈起Linux上的NAT，大多数人会跟你提到iptables。原因是因为iptables是目前在linux上实现NAT的一个非常好的接口。它通过和内核级直接操作网络包，效率和稳定性都非常高。这里简单列举一些NAT相关的iptables实例命令，可能对于大多数实现有多帮助。

\# 案例1：实现网关的MASQUERADE

\# 具体功能：内网网卡是eth1，外网eth0，使得内网指定本服务做网关可以访问外网

EXTERNAL="eth0"

INTERNAL="eth1"

\# 这一步开启ip转发支持，这是NAT实现的前提

echo 1 > /proc/sys/net/ipv4/ip\_forward

iptables -t nat -A POSTROUTING -o $EXTERNAL -j MASQUERADE

\# 案例2：实现网关的简单端口映射

具体功能：实现外网通过访问网关的外部ip:80，可以直接达到访问私有网络内的一台主机192.168.1.10:80效果

LOCAL\_EX\_IP=11.22.33.44 \#设定网关的外网卡ip，对于多ip情况，参考《如何让你的Linux网关更强大》系列文章

LOCAL\_IN\_IP=192.168.1.1  \#设定网关的内网卡ip

INTERNAL="eth1" \#设定内网卡

这一步开启ip转发支持，这是NAT实现的前提

echo 1 > /proc/sys/net/ipv4/ip\_forward

加载需要的ip模块，下面两个是ftp相关的模块，如果有其他特殊需求，也需要加进来

modprobe ip\_conntrack\_ftp

modprobe ip\_nat\_ftp

这一步实现目标地址指向网关外部ip:80的访问都吧目标地址改成192.168.1.10:80

iptables -t nat -A PREROUTING -d $LOCAL\_EX\_IP -p tcp --dport 80 -j DNAT --to 192.168.1.10

这一步实现把目标地址指向192.168.1.10:80的数据包的源地址改成网关自己的本地ip，这里是192.168.1.1

iptables -t nat -A POSTROUTING -d 192.168.1.10 -p tcp --dport 80 -j SNAT --to $LOCAL\_IN\_IP

在FORWARD链上添加到192.168.1.10:80的允许，否则不能实现转发

iptables -A FORWARD -o $INTERNAL -d 192.168.1.10 -p tcp --dport 80 -j ACCEPT

通过上面重要的三句话之后，实现的效果是，通过网关的外网ip:80访问，全部转发到内网的192.168.1.10:80端口，实现典型的端口映射

特别注意，所有被转发过的数据都是源地址是网关内网ip的数据包，所以192.168.1.10上看到的所有访问都好像是网关发过来的一样，而看不到外部ip

一个重要的思想：数据包根据“从哪里来，回哪里去”的策略来走，所以不必担心回头数据的问题

现在还有一个问题，网关自己访问自己的外网ip:80，是不会被NAT到192.168.1.10的，这不是一个严重的问题，但让人很不爽，解决的方法如下：

iptables -t nat -A OUTPUT -d $LOCAL\_EX\_IP -p tcp --dport 80 -j DNAT --to 192.168.1.10

获取系统中的NAT信息和诊断错误

了解/proc目录的意义

在Linux系统中，/proc是一个特殊的目录，proc文件系统是一个伪文件系统，它只存在内存当中，而不占用外存空间。它包含当前系统的一些参数（variables）和状态（status）情况。它以文件系统的方式为访问系统内核数据的操作提供接口

通过/proc可以了解到系统当前的一些重要信息，包括磁盘使用情况，内存使用状况，硬件信息，网络使用情况等等，很多系统监控工具（如HotSaNIC）都通过/proc目录获取系统数据。

另一方面通过直接操作/proc中的参数可以实现系统内核参数的调节，比如是否允许ip转发，syn-cookie是否打开，tcp超时时间等。

获得参数的方式：

第一种：cat /proc/xxx/xxx，如 cat /proc/sys/net/ipv4/conf/all/rp\_filter

第二种：sysctl xxx.xxx.xxx，如 sysctl net.ipv4.conf.all.rp\_filter

改变参数的方式：

第一种：echo value > /proc/xxx/xxx，如 echo 1 > /proc/sys/net/ipv4/conf/all/rp\_filter

第二种：sysctl \[-w\] variable=value，如 sysctl \[-w\] net.ipv4.conf.all.rp\_filter=1

以上设定系统参数的方式只对当前系统有效，重起系统就没了，想要保存下来，需要写入/etc/sysctl.conf文件中

通过执行 man 5 proc可以获得一些关于proc目录的介绍

查看系统中的NAT情况

和NAT相关的系统变量

/proc/slabinfo：内核缓存使用情况统计信息（Kernel slab allocator statistics）

/proc/sys/net/ipv4/ip\_conntrack\_max：系统支持的最大ipv4连接数，默认65536（事实上这也是理论最大值）

/proc/sys/net/ipv4/netfilter/ip\_conntrack\_tcp\_timeout\_established 已建立的tcp连接的超时时间，默认432000，也就是5天

和NAT相关的状态值

/proc/net/ip\_conntrack：当前的前被跟踪的连接状况，nat翻译表就在这里体现（对于一个网关为主要功能的Linux主机，里面大部分信息是NAT翻译表）

/proc/sys/net/ipv4/ip\_local\_port\_range：本地开放端口范围，这个范围同样会间接限制NAT表规模

\# 1. 查看当前系统支持的最大连接数

cat /proc/sys/net/ipv4/ip\_conntrack\_max

\# 值：默认65536，同时这个值和你的内存大小有关，如果内存128M，这个值最大8192，1G以上内存这个值都是默认65536

\# 影响：这个值决定了你作为NAT网关的工作能力上限，所有局域网内通过这台网关对外的连接都将占用一个连接，如果这个值太低，将会影响吞吐量

\# 2. 查看tcp连接超时时间

cat /proc/sys/net/ipv4/netfilter/ip\_conntrack\_tcp\_timeout\_established

\# 值：默认432000（秒），也就是5天

\# 影响：这个值过大将导致一些可能已经不用的连接常驻于内存中，占用大量链接资源，从而可能导致NAT ip\_conntrack: table full的问题

\# 建议：对于NAT负载相对本机的 NAT表大小很紧张的时候，可能需要考虑缩小这个值，以尽早清除连接，保证有可用的连接资源；如果不紧张，不必修改

\# 3. 查看NAT表使用情况（判断NAT表资源是否紧张）

\# 执行下面的命令可以查看你的网关中NAT表情况

cat /proc/net/ip\_conntrack

\# 4. 查看本地开放端口的范围

cat /proc/sys/net/ipv4/ip\_local\_port\_range

\# 返回两个值，最小值和最大值

\# 下面的命令帮你明确一下NAT表的规模

wc -l /proc/net/ip\_conntrack

\#或者

grep ip\_conntrack /proc/slabinfo | grep -v expect | awk '\{print $1 ',' $2;\}'

\# 下面的命令帮你明确可用的NAT表项，如果这个值比较大，那就说明NAT表资源不紧张

grep ip\_conntrack /proc/slabinfo | grep -v expect | awk '\{print $1 ',' $3;\}'

\# 下面的命令帮你统计NAT表中占用端口最多的几个ip，很有可能这些家伙再做一些bt的事情，嗯bt的事情:-)

\# 上面这个命令有点瑕疵cut -d' ' -f10会因为命令输出有些行缺项而造成统计偏差，下面给出一个正确的写法：

感谢您的支持，我会继续努力的! 扫码打赏，你说多少就多少

![20170331111807982][]         ![20170331111745092][]

[Linux]: https://blog.csdn.net/hguisu/article/details/39373311
[Linux_--]: https://blog.csdn.net/hguisu/article/details/102620787
[Link 1]: https://blog.csdn.net/hguisu/article/details/102620903
[Link 2]: https://blog.csdn.net/hguisu/article/details/102620981
[Link 3]: https://blog.csdn.net/hguisu/article/details/39249775
[https_zhuanlan.zhihu.com_p_25241630_hmsr_toutiao.io_utm_medium_toutiao.io_utm_source_toutiao.io]: https://zhuanlan.zhihu.com/p/25241630?hmsr=toutiao.io&utm_medium=toutiao.io&utm_source=toutiao.io
[20170331111807982]: https://img-blog.csdn.net/20170331111807982
[20170331111745092]: /images/20220810/f103b0e2d28d46f9916f3cd04c6eb52b.png