TCP参数设置

朱雀 2021-06-24 16:12 428阅读 0赞

[https://www.cnblogs.com/zengkefu/p/5635088.htm][https_www.cnblogs.com_zengkefu_p_5635088.htm]

我们这里应用的是CentOS5.3，并内核使用的是2.6.18-128.el5PAE \#1 SMP 。修改部分TCP ，有的是为了提高性能与负载，但是存在降低稳定性的风险。有的则是安全方面的配置，则有可能牺牲了性能。

**1.TCP keepalive TCP连接保鲜设置**

echo 1800 > /proc/sys/net/ipv4/tcp_keepalive_time
    echo 15 > /proc/sys/net/ipv4/tcp_keepalive_intvl
    echo 5 > /proc/sys/net/ipv4/tcp_keepalive_probes

keepalive是TCP保鲜定时器。当网络两端建立了TCP连接之后，闲置idle（双方没有任何数据流发送往来）了tcp\_keepalive\_time后，[服务器][Link 1]内核就会尝试向客户端发送侦测包，来判断TCP连接状况(有可能客户端崩溃、强制关闭了应用、主机不可达等等)。如果没有收到对方的回答(ack包)，则会在tcp\_keepalive\_intvl后再次尝试发送侦测包，直到收到对对方的ack,如果一直没有收到对方的ack,一共会尝试tcp\_keepalive\_probes次，每次的间隔时间在这里分别是15s, 30s, 45s, 60s, 75s。如果尝试tcp\_keepalive\_probes,依然没有收到对方的ack包，则会丢弃该TCP连接。

**2. syn cookies设置**

echo 0 > /proc/sys/net/ipv4/tcp_syncookies

在CentOS5.3中，该选项默认值是1，即启用syn cookies功能。我们建议先关闭，直到确定受到syn flood攻击的时候再开启syn cookies功能，有效地防止syn flood攻击。也可以通过iptables规则拒绝syn flood攻击。

**3.TCP  连接建立设置**

echo 8192 > /proc/sys/net/ipv4/tcp_max_syn_backlog
    echo 2 > /proc/sys/net/ipv4/tcp_syn_retries
    echo 2 > /proc/sys/net/ipv4/tcp_synack_retries

tcp\_max\_syn\_backlog  SYN队列的长度，时常称之为未建立连接队列。系统内核维护着这样的一个队列，用于容纳状态为SYN\_RESC的TCP连接(half-open connection),即那些依然尚未得到客户端确认(ack)的TCP连接请求。加大该值，可以容纳更多的等待连接的网络连接数。

tcp\_syn\_retries  新建TCP连接请求，需要发送一个SYN包，该值决定内核需要尝试发送多少次syn连接请求才决定放弃建立连接。默认值是5. 对于高负责且通信良好的物理网络而言，调整为2

tcp\_synack\_retries  对于远端SYN连接请求，内核会发送SYN+ACK数据包来确认收到了上一个SYN连接请求包，然后等待远端的确认(ack数据包）。该值则指定了内核会向远端发送tcp\_synack\_retires次SYN+ACK数据包。默认设定值是5，可以调整为2

**4. TCP 连接断开相关设置**

echo 30 >  /proc/sys/net/ipv4/tcp_fin_timeout
    echo 15000 > /proc/sys/net/ipv4/tcp_max_tw_buckets
    echo 1 > /proc/sys/net/ipv4/tcp_tw_reuse
    echo 1 >  /proc/sys/net/ipv4/tcp_tw_recycle

tcp\_fin\_timeout 对于由本端主动断开连接的TCP连接，本端会主动发送一个FIN数据报，在收到远端ACK后,且并没有收到远端FIN包之前，该TCP连接的状态是FIN\_WAIT\_2状态，此时当远端关闭了应用，网络不可达（拔网张），程序不可断僵死等等，本端会一直保留状态为FIN\_WAIT\_2状态的TCP连接，该值tcp\_fin\_timeout则指定了状态为FIN\_WAIT\_2的TCP连接保存多长时间，一个FIN\_WAIT\_2的TCP连接最多占1.5k内存。系统默认值是60秒，可以将此值调整为30秒，甚至10秒。

tcp\_max\_tw\_buckets 系统同时处理TIME\_WAIT sockets数目。如果一旦TIME\_WAIT tcp连接数超过了这个数目，系统会强制清除并且显示警告消息。设立该限制，主要是防止那些简单的DoS攻击，加大该值有可能消耗更多的内存资源。如果TIME\_WAIT socket过多，则有可能耗尽内存资源。默认值是18w,可以将此值设置为5000~30000 tcp\_tw\_resue 是否可以使用TIME\_WAIT tcp连接用于建立新的tcp连接。

tcp\_tw\_recycle 是否开启快带回收TIME\_WAIT tcp连接的功能。

**5. tcp 内存资源使用相参数设定**

echo 16777216 > /proc/sys/net/core/rmem_max
    echo 16777216 > /proc/sys/net/core/wmem_max
    cat /proc/sys/net/ipv4/tcp_mem
    echo “4096 65536 16777216″ > /proc/sys/net/ipv4/tcp_rmem
    echo “4096 87380 16777216″ > /proc/sys/net/ipv4/tcp_wmem

rmem\_max 定义了接收窗口可以使用的最大值，可以根据BDP值进行调节。

wmem\_max 定义了发送窗口可以使用的最大值，可以根据BDP什值进行调整。

tcp\_mem \[low, pressure, high\] TCP用这三个值来跟踪内存使用情况，来限定资源占用。通常情况下，在系统boot之时，内核会根据可用内存总数计算出这些值。如果出现了Out of socket memory，则可以试着修改这个参数。

1)low: 当TCP使用了低于该值的内存页面数时，TCP不会考滤释放内存。

2)pressure: 当TCP使用了超过该值的内存页面数量，TCP试图稳定其对内存的占用，进入pressure模式,直到内存消耗达于low值，退出该模式。

3)hight:允许所有tcp sockets用于排队缓冲数据报的内存页数。

tcp\_rmem \[min, default, max\]

1)min 为每个TCP连接(tcp socket)预留用于接收缓冲的内存数量，即使在内存出现紧张情况下TCP socket都至少会有这么多数量的内存用于接收缓冲。

2)default 为TCP socket预留用于接收缓冲的内存数量，默认情况下该值影响其它协议使用的 rmem\_default的值，所以有可能被rmem\_default覆盖。

3)max 该值为每个tcp连接(tcp socket)用于接收缓冲的内存最大值。该值不会影响wmem\_max的值，设置了选项参数 SO\_SNDBUF则不受该值影响。

tcp\_wmem \[min, default, max\] 如上(tcp\_rmen)只不过用于发送缓存。

注:

1)可以通过sysctl -w 或者写入/etc/sysctl.conf永久保存

2)性能调优仅在于需要的时候进行调整，调整以后需要采集数据与基准测试数据进行比较。建议，不需要盲从地调整这些参数。

via http://www.linuxde.net/2013/05/13600.html

[https_www.cnblogs.com_zengkefu_p_5635088.htm]: https://www.cnblogs.com/zengkefu/p/5635088.htm
[Link 1]: http://www.linuxde.net/tag/%E6%9C%8D%E5%8A%A1%E5%99%A8