《linu内核参数优化》由会员分享，可在线阅读，更多相关《linu内核参数优化（8页珍藏版）》请在金锄头文库上搜索。
1、linux内核参数优化Sysctl命令及linux内核参数调整一、Sysctl命令用来配置与显示在/proc/sys目录中的内核参数.如果想使参数 长期保存，可以通过编辑/etc/sysctl.conf文件来实现。命令格式：sysctl -n -e -w variable二valuesysctl -n -e -p (default /etc/sysctl .conf)sysctl -n -e- a常用参数的意义：-w临时改变某个指定参数的值，如# sysctl -w net. ipv4.ip_forward=l-a显示所有的系统参数-p从指定的文件加载系统参数，默认从/e tc/sysc tl
2、.conf文件中加载，如：# echo 1 /proc/sys/net/ipv4/ip_forward# sysctl -w net. ipv4.ip_forward=l以上两种方法都可能立即开启路由功能，但如果系统重启，或执行了# service network restart命令，所设置的值即会丢失，如果想永久保留配置，可以修改/etc/sysctl.conf 文件，将 net. ipv4.ip_forward=0 改为 net. ipv4.ip_forward=l二、linux内核参数调整：linux内核参数调整有两种方式方法一：修改/proc下内核参数文件内容，不能使用编辑器来修改内核
3、参数文件， 理由是由于内核随时可能更改这些文件中的任意一个，另外，这些内核参数文件 都是虚拟文件，实际中不存在，因此不能使用编辑器进行编辑，而是使用echo 命令，然后从命令行将输出重定向至/proc下所选定的文件中。如：将 timeout_timewait 参数设置为 30 秒：# echo 30 /proc/sys/net/ipv4/tcp_fin_timeout参数修改后立即生效，但是重启系统后，该参数又恢复成默认值。因此，想永久 更改内核参数，需要修改/e tc/sysc tl.conf文件方法二.修改/etc/sysctl.conf文件。检查sysctl.conf文件，如果已经 包含
4、需要修改的参数，则修改该参数的值，如果没有需要修改的参数，在 sysc tl.conf文件中添加参数。如：net. ipv4.tcp_fin_timeout=30保存退出后，可以重启机器使参数生效，如果想使参数马上生效，也可以执行如 下命令：# sysctl p三、sysctl.conf文件中参数设置及说明 proc/sys/net/core/wmem_max 最大socket写buffer,可参考的优化值:873200/proc/sys/net/core/rmem_max最大socket读buffer,可参考的优化值:873200 /proc/sys/net/ipv4/tcp_wmemTCP
5、 写 buffer，可参考的优化值:8192 436600 873200/proc/sys/net/ipv4/tcp_rmemTCP 读 buffer，可参考的优化值:32768 436600 873200/proc/sys/net/ipv4/tcp_mem 同样有3个值，意思是：net.ipv4. tcp_mem0:低于此值,TCP没有内存压力. net.ipv4. tcp_meml:在此值下，进入内存压力阶段. net.ipv4. tcp_mem2:高于此值，TCP 拒绝分配 socket.上述内存单位是页，而不是字节可参考的优化值是:786432 1048576 1572864 /pro
6、c/sys/net/core/netdev_max_backlog进入包的最大设备队列默认是300,对重负载服务器而言，该值太低，可调整到 1000/proc/sys/net/core/somaxconnlisten()的默认参数，挂起请求的最大数量.默认是128.对繁忙的服务器，增加 该值有助于网络性能可调整到256./proc/sys/net/core/optmem_maxsocket buffer的最大初始化值，默认10K/proc/sys/net/ipv4/tcp_max_syn_backlog进入SYN包的最大请求队列.默认1024.对重负载服务器，可调整到2048/proc/sys
7、/net/ipv4/tcp_retries2TCP失败重传次数，默认值15,意味着重传15次才彻底放弃.可减少到5,尽早释 放内核资源./proc/sys/net/ipv4/tcp_keepalive_time/proc/sys/net/ipv4/tcp_keepalive_intvl/proc/sys/net/ipv4/tcp_keepalive_probes这3个参数与TCP KeepAlive有关.默认值是：tcp_keepalive_time = 7200 seconds (2 hours)tcp_keepalive_probes = 9tcp_keepalive_intvl 二 75
8、 seconds意思是如果某个TCP连接在idle 2个小时后，内核才发起probe.如果probe 9 次(每次75秒)不成功，内核才彻底放弃，认为该连接已失效.对服务器而言，显然 上述值太大.可调整到：/proc/sys/net/ipv4/tcp_keepalive_time 1800/proc/sys/net/ipv4/tcp_keepalive_intvl 30/proc/sys/net/ipv4/tcp_keepalive_probes 3/proc/sys/net/ipv4/ip_local_port_range指定端口范围的一个配置,默认是32768 61000,已够大.net.
9、 ipv4.tcp_syncookies = 1表示开启SYN Cookieso当出现SYN等待队列溢出时，启用cookies来处理，可 防范少量SYN攻击，默认为0,表示关闭；net. ipv4.tcp_tw_reuse = 1表示开启重用。允许将TIME-WAIT sockets重新用于新的TCP连接，默认为0, 表示关闭； net. ipv4.tcp_tw_recycle = 1 表示开启TCP连接中TIME-WAIT sockets的快速回收，默认为0,表示关闭。net. ipv4.tcp_fin_timeout 二 30表示如果套接字由本端要求关闭，这个参数决定了它保持在FIN-WA
10、IT-2状态的 时间。net. ipv4.tcp_keepalive_time = 1200表示当keepalive起用的时候,TCP发送keepalive消息的频度。缺省是2小时， 改为20分钟。net. ipv4.ip_local_port_range = 1024 65000表示用于向外连接的端口范围。缺省情况下很小：32768到61000，改为1024 到 65000。net. ipv4.tcp_max_syn_backlog = 8192表示SYN队列的长度，默认为1024，加大队列长度为8192，可以容纳更多等待 连接的网络连接数。net. ipv4.tcp_max_tw_buck
11、ets = 5000表示系统同时保持TIME_WAIT套接字的最大数量,如果超过这个数字,TIME_WAIT 套接字将立刻被清除并打印警告信息。默认为180000,改为5000。对于Apache、 Nginx等服务器，上几行的参数可以很好地减少TIME_WAIT套接字数量，但是对 于Squid，效果却不大。此项参数可以控制TIME_WAIT套接字的最大数量，避免 Squid服务器被大量的TIME_WAIT套接字拖死。Linux 上的 NAT 与 iptables谈起Linux上的NAT，大多数人会跟你提到iptables。原因是因为iptables是 目前在linux上实现NAT的一个非常好的
12、接口。它通过和内核级直接操作网络包, 效率和稳定性都非常高。这里简单列举一些NAT相关的iptables实例命令，可 能对于大多数实现有多帮助。这里说明一下，为了节省篇幅，这里把准备工作的命令略去了，仅仅列出核心 步骤命令，所以如果你单单执行这些没有实现功能的话，很可能由于准备工作没 有做好。如果你对整个命令细节感兴趣的话，可以直接访问我的如何让你的Linux网关更强大系列文章，其中对于各个脚本有详细的说明和描述。#案例1：实现网关的MASQUERADE#具体功能：内网网卡是ethl，外网ethO,使得内网指定本服务做网关可以访 问外网EXTERNAL二ethOINTERNAL二eth1#这一
13、步开启ip转发支持，这是NAT实现的前提echo 1 /proc/sys/net/ipv4/ip_forwardiptables -t nat -A POSTROUTING -o $EXTERNAL -j MASQUERADE#案例2：实现网关的简单端口映射#具体功能：实现外网通过访问网关的外部ip:80，可以直接达到访问私有网络 内的一台主机192.168.1.10:80效果L0CAL_EX_IP=11.22.33.44 #设定网关的外网卡ip,对于多ip情况，参考如何让你的Linux网关更强大系列文章LOCAL_IN_IP=192.168.1.1#设定网关的内网卡 ipINTERNAL二e
14、 th1 # 设定内网卡#这一步开启ip转发支持，这是NAT实现的前提echo 1 /proc/sys/net/ipv4/ip_forward#加载需要的ip模块，下面两个是ftp相关的模块，如果有其他特殊需求，也 需要加进来modprobe ip_conntrack_ftpmodprobe ip_nat_ftp#这一步实现目标地址指向网关外部ip：80的访问都吧目标地址改成192.168.1.10:80iptables -t nat -A PREROUTING -d $LOCAL_EX_IP -p tcp -dport 80 -j DNAT-to 192.168.1.10#这一步实现把目标地
15、址指向192.168.1.10:80的数据包的源地址改成网关自 己的本地ip,这里是192.168.1.1iptables -t nat -A POSTROUTING -d 192.168.1.10 -p tcp -dport 80 -j SNAT to $LOCAL_IN_IP#在FORWARD链上添加到192.168.1.10:80的允许，否则不能实现转发ipt ables -A FORWARD -o $INTERNAL -d 192.168.1.10 -p tcp -dpor t 80 -j ACCEPT#通过上面重要的三句话之后，实现的效果是，通过网关的外网ip:80访问，全 部转发到内网的192.168.1.10:80端口，实现典型的端口映射#特别注意，所有被转发过的数据都是源地址是网关内网ip的数据包，所以 192.168.1.10上看到的所有访问都好像是网关发过来的一样，而看不到外部ip# 一个重要的思想：数据包根据“从哪里来，回哪里去”的策略来走，所以不必 担心回头数据的问题#现在还有一个问题，网关自己访问自己的外网ip:80，是不会被NAT到 192.168.1.10的，这不是一个严重的问题，但让人很不爽，解决的方法如下： iptables -t na
