Linux 系統內核參數調優

通過調試系統內核參數使系統性能最大化

如：最大併發數（ab –n 10000 –c 100 http://hosts:port/app/api）

sysctl -a 查看所有系統變量

-n：打印值時不打印關鍵字； 
-e：忽略未知關鍵字錯誤； 
-N：僅打印名稱； 
-w：當改變sysctl設置時使用此項； 
-p：從配置文件“/etc/sysctl.conf”加載內核參數設置； 
-a：打印當前所有可用的內核參數變量和值； 
-A：以表格方式打印當前所有可用的內核參數變量和值。

/proc/sys下內核文件與配置文件sysctl.conf中變量存在着對應關係 配置說明

#最大的待發送TCP數據緩衝區空間  
net.inet.tcp.sendspace=65536 

#最大的接受TCP緩衝區空間  
net.inet.tcp.recvspace=65536 

#最大的接受UDP緩衝區大小  
net.inet.udp.sendspace=65535  

#最大的發送UDP數據緩衝區大小  
net.inet.udp.maxdgram=65535  

#本地套接字連接的數據發送空間  
net.local.stream.sendspace=65535  

#加快網絡性能的協議  
net.inet.tcp.rfc1323=1  
net.inet.tcp.rfc1644=1  
net.inet.tcp.rfc3042=1  
net.inet.tcp.rfc3390=1  

#最大的套接字緩衝區  
kern.ipc.maxsockbuf=2097152  

#系統中允許的最多文件數量  
kern.maxfiles=65536  

#每個進程能夠同時打開的最大文件數量  
kern.maxfilesperproc=32768  

#當一臺計算機發起TCP連接請求時，系統會迴應ACK應答數據包。該選項設置是否延遲ACK應答數據包，把它和包含數據的數據包一起發送，在高速網絡和低負載的情況下會略微提高性能，但在網絡連接較差的時候，對方計算機得不到應答會持續發起連接請求，反而會降低性
能。  
net.inet.tcp.delayed_ack=0  

#屏蔽ICMP重定向功能  
net.inet.icmp.drop_redirect=1  
net.inet.icmp.log_redirect=1  
net.inet.ip.redirect=0  
net.inet6.ip6.redirect=0  

#防止ICMP廣播風暴  
net.inet.icmp.bmcastecho=0  
net.inet.icmp.maskrepl=0  

#限制系統發送ICMP速率  
net.inet.icmp.icmplim=100  

#安全參數，編譯內核的時候加了options TCP_DROP_SYNFIN纔可以用  
net.inet.icmp.icmplim_output=0  
net.inet.tcp.drop_synfin=1  

#設置爲1會幫助系統清除沒有正常斷開的TCP連接，這增加了一些網絡帶寬的使用，但是一些死掉的連接最終能被識別並清除。死的TCP連接是被撥號用戶存取的系統的一個特別的問題，因爲用戶經常斷開modem而不正確的關閉活動的連接  
net.inet.tcp.always_keepalive=1  

#若看到net.inet.ip.intr_queue_drops這個在增加，就要調大net.inet.ip.intr_queue_maxlen，爲0最好  
net.inet.ip.intr_queue_maxlen=1000  

#防止DOS攻擊，默認爲30000  
net.inet.tcp.msl=7500  

#接收到一個已經關閉的端口發來的所有包，直接drop，如果設置爲1則是隻針對TCP包  
net.inet.tcp.blackhole=2  

#接收到一個已經關閉的端口發來的所有UDP包直接drop  
net.inet.udp.blackhole=1  

#爲網絡數據連接時提供緩衝  
net.inet.tcp.inflight.enable=1  

#如果打開的話每個目標地址一次轉發成功以後它的數據都將被記錄進路由表和arp數據表，節約路由的計算時間,但會需要大量的內核內存空間來保存路由表  
net.inet.ip.fastforwarding=0  

#kernel編譯打開options POLLING功能，高負載情況下使用低負載不推薦SMP不能和polling一起用 
#kern.polling.enable=1  

#併發連接數，默認爲128，推薦在1024-4096之間，數字越大佔用內存也越大  
kern.ipc.somaxconn=32768  

#禁止用戶查看其他用戶的進程  
security.bsd.see_other_uids=0  

#設置kernel安全級別  
kern.securelevel=0  

#記錄下任何TCP連接  
net.inet.tcp.log_in_vain=1  

#記錄下任何UDP連接  
net.inet.udp.log_in_vain=1  

#防止不正確的udp包的攻擊  
net.inet.udp.checksum=1  

#防止DOS攻擊  
net.inet.tcp.syncookies=1  

#僅爲線程提供物理內存支持，需要256兆以上內存  
kern.ipc.shm_use_phys=1  

# 線程可使用的最大共享內存  
kern.ipc.shmmax=67108864  

# 最大線程數量  
kern.ipc.shmall=32768  

# 程序崩潰時不記錄  
kern.coredump=0  

# lo本地數據流接收和發送空間  
net.local.stream.recvspace=65536  
net.local.dgram.maxdgram=16384  
net.local.dgram.recvspace=65536  

# 數據包數據段大小，ADSL爲1452。  
net.inet.tcp.mssdflt=1460  

# 爲網絡數據連接時提供緩衝  
net.inet.tcp.inflight_enable=1  

# 數據包數據段最小值，ADSL爲1452  
net.inet.tcp.minmss=1460  

# 本地數據最大數量  
net.inet.raw.maxdgram=65536  

# 本地數據流接收空間  
net.inet.raw.recvspace=65536  

#ipfw防火牆動態規則數量，默認爲4096，增大該值可以防止某些病毒發送大量TCP連接，導致不能建立正常連接  
net.inet.ip.fw.dyn_max=65535  

#設置ipf防火牆TCP連接空閒保留時間，默認8640000（120小時）  
net.inet.ipf.fr_tcpidletimeout=864000

參考值(具體根據系統硬件配置對應值)

$ /proc/sys/net/core/wmem_max
最大socket寫buffer,可參考的優化值:873200
$ /proc/sys/net/core/rmem_max
最大socket讀buffer,可參考的優化值:873200
$ /proc/sys/net/ipv4/tcp_wmem
TCP寫buffer,可參考的優化值: 8192 436600 873200
$ /proc/sys/net/ipv4/tcp_rmem
TCP讀buffer,可參考的優化值: 32768 436600 873200
$ /proc/sys/net/ipv4/tcp_mem
同樣有3個值,意思是:
net.ipv4.tcp_mem[0]:低於此值,TCP沒有內存壓力.
net.ipv4.tcp_mem[1]:在此值下,進入內存壓力階段.
net.ipv4.tcp_mem[2]:高於此值,TCP拒絕分配socket.
上述內存單位是頁,而不是字節.可參考的優化值是:786432 1048576 1572864
$ /proc/sys/net/core/netdev_max_backlog
進入包的最大設備隊列.默認是300,對重負載服務器而言,該值太低,可調整到1000.
$ /proc/sys/net/core/somaxconn
listen()的默認參數,掛起請求的最大數量.默認是128.對繁忙的服務器,增加該值有助於網絡性能.可調整到256.
$ /proc/sys/net/core/optmem_max
socket buffer的最大初始化值,默認10K.
$ /proc/sys/net/ipv4/tcp_max_syn_backlog
進入SYN包的最大請求隊列.默認1024.對重負載服務器,增加該值顯然有好處.可調整到2048.
$ /proc/sys/net/ipv4/tcp_retries2
TCP失敗重傳次數,默認值15,意味着重傳15次才徹底放棄.可減少到5,以儘早釋放內核資源.
$ /proc/sys/net/ipv4/tcp_keepalive_time
$ /proc/sys/net/ipv4/tcp_keepalive_intvl
$ /proc/sys/net/ipv4/tcp_keepalive_probes
這3個參數與TCP KeepAlive有關.默認值是:
tcp_keepalive_time = 7200 seconds (2 hours)
tcp_keepalive_probes = 9
tcp_keepalive_intvl = 75 seconds
意思是如果某個TCP連接在idle 2個小時後,內核才發起probe.如果probe 9次(每次75秒)不成功,內核才徹底放棄,認爲該連接已失效.對服務器而言,顯然上述值太大. 可調整到:
/proc/sys/net/ipv4/tcp_keepalive_time 1800
/proc/sys/net/ipv4/tcp_keepalive_intvl 30
/proc/sys/net/ipv4/tcp_keepalive_probes 3
$ proc/sys/net/ipv4/ip_local_port_range
指定端口範圍的一個配置,默認是32768 61000,已夠大.

net.ipv4.tcp_syncookies = 1
表示開啓SYN Cookies。當出現SYN等待隊列溢出時，啓用cookies來處理，可防範少量SYN攻擊，默認爲0，表示關閉；
net.ipv4.tcp_tw_reuse = 1
表示開啓重用。允許將TIME-WAIT sockets重新用於新的TCP連接，默認爲0，表示關閉；
net.ipv4.tcp_tw_recycle = 1
表示開啓TCP連接中TIME-WAIT sockets的快速回收，默認爲0，表示關閉。
net.ipv4.tcp_fin_timeout = 30
表示如果套接字由本端要求關閉，這個參數決定了它保持在FIN-WAIT-2狀態的時間。
net.ipv4.tcp_keepalive_time = 1200
表示當keepalive起用的時候，TCP發送keepalive消息的頻度。缺省是2小時，改爲20分鐘。
net.ipv4.ip_local_port_range = 1024 65000
表示用於向外連接的端口範圍。缺省情況下很小：32768到61000，改爲1024到65000。
net.ipv4.tcp_max_syn_backlog = 8192
表示SYN隊列的長度，默認爲1024，加大隊列長度爲8192，可以容納更多等待連接的網絡連接數。
net.ipv4.tcp_max_tw_buckets = 5000
表示系統同時保持TIME_WAIT套接字的最大數量，如果超過這個數字，TIME_WAIT套接字將立刻被清除並打印警告信息。默認爲180000，改爲 5000。對於Apache、Nginx等服務器，上幾行的參數可以很好地減少TIME_WAIT套接字數量，但是對於Squid，效果卻不大。此項參數可以控制TIME_WAIT套接字的最大數量，避免Squid服務器被大量的TIME_WAIT套接字拖死。