Linux服务器内核参数调优实战：sysctl网络栈配置与TCP连接数优化

Linux服务器在高并发场景下默认内核参数往往成为瓶颈。TCP连接队列溢出、文件描述符耗尽、TIME_WAIT堆积等问题频繁出现，需要通过sysctl对网络栈和系统资源进行针对性调优。合理的内核参数配置可以将单机并发连接数从数千提升到数十万级别。

TCP连接队列与Backlog参数配置

TCP连接建立经过三次握手，Linux内核维护两个队列：SYN队列（半连接队列）和Accept队列（全连接队列）。net.ipv4.tcp_max_syn_backlog控制SYN队列长度，net.core.somaxconn控制Accept队列长度。当队列满时新连接被丢弃或触发SYN Cookie。

# /etc/sysctl.d/99-network-tuning.conf
net.ipv4.tcp_max_syn_backlog = 65535
net.core.somaxconn = 65535
net.ipv4.tcp_syncookies = 1

tcp_syncookies启用SYN Cookie机制，在SYN队列满时不丢弃连接而是通过Cookie验证，防御SYN Flood攻击。但SYN Cookie会丢失TCP选项信息（如窗口缩放），仅作为防御手段而非日常优化。

应用层也需要配合调整backlog。以Nginx为例，listen 80 backlog=65535;设置监听队列长度，内核取somaxconn与应用backlog的较小值作为实际队列大小。

文件描述符限制与最大连接数

每个TCP连接占用一个文件描述符，Linux默认的fs.file-max和ulimit -n限制了可打开文件数。高并发服务需要同时调整系统级和进程级限制：

# 系统级最大文件描述符
fs.file-max = 2097152

# /etc/security/limits.conf
*  soft  nofile  1048576
*  hard  nofile  1048576

对于systemd管理的服务，limits.conf不生效，需要在service文件中指定：

[Service]
LimitNOFILE=1048576

或在/etc/systemd/system.conf中全局设置DefaultLimitNOFILE=1048576。修改后执行systemctl daemon-reexec生效。

TIME_WAIT状态优化与端口耗尽问题

短连接场景下主动关闭方进入TIME_WAIT状态，默认持续60秒（2*MSL）。高并发短连接服务会快速积累大量TIME_WAIT，导致源端口耗尽（默认可用端口约28000个）。

# 加快TIME_WAIT回收
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_fin_timeout = 15

tcp_tw_reuse允许将TIME_WAIT状态的连接用于新的TCP连接，仅对客户端侧（主动发起连接方）有效。这是安全的做法，因为新连接的序列号基于时间戳递增，不会与旧连接冲突。

tcp_tw_recycle在Linux 4.12之后已被移除，之前该参数存在NAT环境下的严重问题——NAT后的多客户端因共享IP但时间戳不一致导致连接被拒绝。切勿在旧内核上启用此参数。

如果端口耗尽问题严重，增大本地端口范围是最直接的手段：

net.ipv4.ip_local_port_range = 10000 65535

默认范围是32768-60999，约28000个端口。扩展到10000-65535可提供约55000个端口，配合tcp_tw_reuse基本可消除端口耗尽问题。

TCP缓冲区与BDP配置

TCP发送和接收缓冲区大小直接影响吞吐量。高延迟链路（如跨机房、跨地域）需要更大的缓冲区来填满管道（带宽延迟积，BDP）：

net.core.rmem_max = 16777216
net.core.wmem_max = 16777216
net.ipv4.tcp_rmem = 4096 87380 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216
net.core.netdev_max_backlog = 262144

tcp_rmem和tcp_wmem三个值分别是最小、默认和最大缓冲区大小。最大值设为16MB可支撑高BDP链路。以10Gbps带宽、10ms RTT为例，BDP约为12.5MB，16MB缓冲区足以覆盖。

netdev_max_backlog控制网卡到内核的数据包排队队列长度，高PPS场景需要增大此值，否则会出现丢包。

TCP拥塞控制算法选择

Linux默认使用cubic拥塞控制算法，适合大多数场景。对于高带宽长肥管道，BBR（Bottleneck Bandwidth and RTT）通常表现更好：

net.ipv4.tcp_congestion_control = bbr
net.core.default_qdisc = fq

BBR不依赖丢包作为拥塞信号，而是通过测量实际带宽和RTT来控制发送速率。搭配fq（Fair Queue）队列调度算法可获得最佳效果。BBR在内核4.9+可用，但生产环境建议使用4.19+版本以获得更稳定的实现。

切换拥塞算法后可通过ss -ti查看实际连接使用的算法：

ss -ti | grep congestion
# 输出示例: cubic bbr

连接跟踪表与Conntrack优化

使用iptables/nftables做NAT或状态防火墙时，连接跟踪表（conntrack）可能成为瓶颈。默认nf_conntrack_max为65536，高并发下会触发nf_conntrack: table full, dropping packet告警：

net.netfilter.nf_conntrack_max = 1048576
net.netfilter.nf_conntrack_tcp_timeout_established = 3600
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 30

将established超时从默认5天缩短到1小时，time_wait超时从120秒缩短到30秒，可加速conntrack表项回收。查看当前conntrack使用情况：

cat /proc/sys/net/netfilter/nf_conntrack_count
cat /proc/sys/net/netfilter/nf_conntrack_max

如果服务不依赖状态防火墙，可考虑在路由层使用无状态规则替代conntrack，彻底消除此瓶颈。

参数持久化与生效验证

所有sysctl参数修改后执行sysctl -p /etc/sysctl.d/99-network-tuning.conf立即生效。验证参数是否正确加载：

sysctl net.ipv4.tcp_max_syn_backlog
sysctl net.core.somaxconn
sysctl net.ipv4.tcp_tw_reuse

重启后参数是否持久化取决于配置文件位置。/etc/sysctl.conf和/etc/sysctl.d/目录下的配置在启动时自动加载。建议将自定义配置放在/etc/sysctl.d/下，避免修改系统默认文件。

压测验证可使用wrk或ab模拟高并发连接，同时通过ss -s监控各状态连接数分布，确认TIME_WAIT占比合理、无SYN溢出或accept队列积压。