linux服务器【内核调优总结】

cpu 调优主要是进程绑定核心减少切换开销

内存不需要调优
sync # 把内存中的数据写入磁盘
echo 1 > /proc/sys/vm/drop_caches #手动释放内存

vim /etc/security/limits.conf #打开文件个数调优
* soft nofile 1024000
* hard nofile 1024000

[root@xuegod63 ~]# vim /etc/security/limits.d/90-nproc.conf #RHEL6 必须这个文件中配置7应该是20--nproc.conf 最大线程
改：
* soft nproc 10240
为：
* soft nproc 66666
* hard nproc 66666

重启生效

vim /etc/sysctl.conf #在文件最后添加以下内容
net.ipv4.tcp_synack_retries = 0
net.ipv4.tcp_syn_retries = 1
net.ipv4.tcp_max_syn_backlog = 20480
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_tw_recycle = 1
net.ipv4.tcp_fin_timeout = 10
fs.file-max = 819200
net.core.somaxconn = 65536
net.core.rmem_max = 1024123000
net.core.wmem_max = 16777126
net.core.netdev_max_backlog = 165536
net.ipv4.ip_local_port_range = 10000 65535

 

注：每台服务器上线之前，都应该配置以上内核参数。

cat /proc/sys/net/ipv4/tcp_synack_retries #服务端 最关键参数，默认为5，修改为0 表示不要重发
net.ipv4.tcp_synack_retries = 0

[root@xuegod63 ~]# cat /proc/sys/net/ipv4/tcp_syn_retries
1
#tcp_syn_retries参数，默认是5客户端重发SYN握手包的次数，注意：在rhel 7中，此项不能调为0

[root@xuegod63 ~]# cat /proc/sys/net/ipv4/tcp_max_syn_backlog
20480
##半连接队列长度，增加SYN队列长度到20480：加大SYN队列长度可以容纳更多等待连接的网络连接数，具体多少数值受限于内存。

#系统允许的文件句柄的最大数目，因为连接需要占用文件句柄
fs.file-max = 819200
#用来应对突发的大并发connect 请求
net.core.somaxconn = 65536
#最大的TCP 数据接收缓冲（字节）
net.core.rmem_max = 1024123000

#最大的TCP 数据发送缓冲（字节）
net.core.wmem_max = 16777126
#网络设备接收数据包的速率比内核处理这些包的速率快时，允许送到队列的数据包的最大数目
net.core.netdev_max_backlog = 165536
#本机主动连接其他机器时的端口分配范围，比如说，在vsftpd主动模式会用到
net.ipv4.ip_local_port_range = 10000 65535
注：如果只是开启22端口，是不会使用到ip_local_port_range这个功能

 

次要辅助参数，以上还无法解决syn洪水攻击，把以下内核参数关闭：
注意，以下参数面对外网时，不要打开。因为副作用很明显。
#当出现 半连接 队列溢出时向对方发送syncookies，调大 半连接 队列后没必要
net.ipv4.tcp_syncookies = 0
#TIME_WAIT状态的连接重用功能
net.ipv4.tcp_tw_reuse = 0
#时间戳选项，与前面net.ipv4.tcp_tw_reuse参数配合
net.ipv4.tcp_timestamps = 0
#TIME_WAIT状态的连接回收功能
net.ipv4.tcp_tw_recycle = 0

cat /proc/sys/net/ipv4/tcp_syncookies
1
#表示开启SYN Cookies。当出现SYN等待队列溢出时，启用cookies来处理，可防范少量SYN攻击，默认为0，表示关闭；

cat /proc/sys/net/ipv4/tcp_tw_reuse
1
#表示开启重用。允许将TIME-WAIT sockets重新用于新的TCP连接，默认为0，表示关闭，现在开启，改为1

cat /proc/sys/net/ipv4/tcp_tw_recycle
1
#表示开启TCP连接中TIME-WAIT sockets的快速回收，默认为0，表示关闭。现在改为1，表示开启

cat /proc/sys/net/ipv4/tcp_fin_timeout
10
#默认值是 60，对于本端断开的socket连接，TCP保持在FIN_WAIT_2状态的时间。