Linux内核网络协议栈的默认参数面向通用场景设计，在高并发服务器、大流量传输或低延迟要求的生产环境中往往成为性能瓶颈。服务器运维场景下，网络协议栈调优是提升系统吞吐能力和响应速度的关键手段。本文从TCP缓冲区、拥塞控制算法、连接跟踪、中断处理等维度，给出完整的内核网络参数调优方案。

TCP缓冲区与窗口大小参数配置

TCP发送和接收缓冲区决定了单连接的数据在途容量。默认值通常较小（如发送缓冲区4KB-6MB动态范围），对于高带宽延迟积（BDP）的网络链路，默认窗口大小无法充分利用带宽。

# 查看当前TCP缓冲区配置
sysctl net.ipv4.tcp_rmem
sysctl net.ipv4.tcp_wmem
sysctl net.core.rmem_max
sysctl net.core.wmem_max

# 调优配置 - 写入/etc/sysctl.d/99-network-tuning.conf
# TCP接收缓冲区（min default max），单位字节
net.ipv4.tcp_rmem = 4096 87380 67108864
# TCP发送缓冲区
net.ipv4.tcp_wmem = 4096 65536 67108864
# socket最大接收缓冲区
net.core.rmem_max = 67108864
# socket最大发送缓冲区
net.core.wmem_max = 67108864
# socket默认接收缓冲区
net.core.rmem_default = 262144
# socket默认发送缓冲区
net.core.wmem_default = 262144

# 启用TCP窗口缩放（支持超过64KB窗口）
net.ipv4.tcp_window_scaling = 1

# 立即生效
sysctl -p /etc/sysctl.d/99-network-tuning.conf

缓冲区max值设为64MB（67108864字节）适用于万兆网络。计算公式：BDP = 带宽 * RTT。以10Gbps带宽、10ms RTT为例，BDP = 10Gbps * 0.01s = 12.5MB，缓冲区max应至少设为BDP的两倍即25MB以上。

TCP拥塞控制算法对比与BBR实战

Linux默认使用cubic拥塞控制算法，基于丢包反馈调节发送速率。在高延迟或存在随机丢包的网络中，cubic会过早降低发送速率，导致带宽利用率不足。BBR（Bottleneck Bandwidth and RTT）由Google提出，通过测量瓶颈带宽和最小RTT独立估算最优发送窗口，不依赖丢包信号。

# 查看当前拥塞控制算法
sysctl net.ipv4.tcp_congestion_control

# 查看内核支持的拥塞控制算法
sysctl net.ipv4.tcp_available_congestion_control

# 切换为BBR
net.ipv4.tcp_congestion_control = bbr
# 启用BBR需要设置qdisc为fq或fq_codel
net.core.default_qdisc = fq

# 验证BBR是否生效
sysctl net.ipv4.tcp_congestion_control
# 输出应为: bbr

# 确认qdisc设置
sysctl net.core.default_qdisc
# 输出应为: fq

BBR适用于高带宽长肥管道（LFN）场景，如跨地域数据中心互联、CDN回源、大文件传输。对于局域网低延迟场景，cubic的表现已足够好，BBR的优势不明显。需注意BBR v1在某些场景下可能与reno/cubic流竞争时过于激进，导致公平性问题。内核5.4+支持BBR v2，改善了公平性和RTT公平性。确保内核版本至少4.9（BBR v1引入版本）。

连接跟踪表与TIME_WAIT状态优化

高并发服务器频繁建立和关闭TCP连接，连接跟踪表（conntrack）溢出和TIME_WAIT状态堆积是两个常见问题。

# 连接跟踪表优化
# 查看当前conntrack最大值
sysctl net.netfilter.nf_conntrack_max
# 查看当前conntrack使用量
cat /proc/sys/net/netfilter/nf_conntrack_count

# 生产环境建议值（根据内存调整，每条记录约300字节）
net.netfilter.nf_conntrack_max = 1048576
# conntrack超时优化
net.netfilter.nf_conntrack_tcp_timeout_established = 3600
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 30
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 30

# TIME_WAIT优化
# 允许TIME_WAIT socket复用
net.ipv4.tcp_tw_reuse = 1
# 减少FIN_WAIT2超时时间
net.ipv4.tcp_fin_timeout = 15
# 减少保活探测间隔
net.ipv4.tcp_keepalive_time = 600
net.ipv4.tcp_keepalive_intvl = 30
net.ipv4.tcp_keepalive_probes = 3

# 增加本地端口范围（源端口耗尽问题）
net.ipv4.ip_local_port_range = 10000 65535

tcp_tw_reuse仅对客户端侧（主动连接方）的TIME_WAIT socket复用，安全性较高。端口范围从默认的32768-60999调整为10000-65535，可用端口数从约28000增加到约55000，缓解短连接场景下的端口耗尽。

网卡中断绑核与RPS/RFS多队列分发

多核服务器上，网卡中断默认可能集中在少数CPU核心处理，导致单核负载过高。通过RPS（Receive Packet Steering）和RFS（Receive Flow Steering）将收包处理分发到多个核心。

# 查看网卡多队列支持
ls /sys/class/net/eth0/queues/rx-*
# 查看当前中断亲和性
cat /proc/interrupts | grep eth0

# 手动绑定网卡中断到特定核心（以32核服务器为例）
for i in $(ls /sys/class/net/eth0/queues/rx-*/rps_cpus); do
    echo ff00 > $i  # 绑定到core 8-15
done

# 启用RFS（Receive Flow Steering）
echo 32768 > /proc/sys/net/core/rps_sock_flow_entries
for i in $(ls /sys/class/net/eth0/queues/rx-*/rps_flow_cnt); do
    echo 4096 > $i
done

# 启用XPS（Transmit Packet Steering）
for i in $(ls /sys/class/net/eth0/queues/tx-*/xps_cpus); do
    echo ff > $i
done

RPS在软件层面将网卡收到的包分发到多核处理，RFS在此基础上保证同一连接的包始终在同一核心处理，提高CPU缓存命中率。XPS则控制发送队列到CPU核心的映射。对于支持多队列的网卡（如Intel X710、Mellanox CX-5），建议直接使用网卡的硬件RSS（Receive Side Scaling），并通过ethtool配置队列数与CPU核心数对齐。

SACK与ECN等高级特性配置

选择性确认（SACK）允许接收方告知发送方哪些数据段已收到但存在间隔，避免不必要的重传。ECN（Explicit Congestion Notification）让路由器在拥塞时标记IP头部而非直接丢包，配合支持ECN的拥塞控制算法可减少丢包导致的重传。

# 启用SACK（通常默认已启用）
net.ipv4.tcp_sack = 1
# 启用ECN
net.ipv4.tcp_ecn = 1
# 启用TCP Fast Open（减少握手RTT）
net.ipv4.tcp_fastopen = 3  # 1=客户端 2=服务端 3=两者都启用

# MTU探测（避免PMTUD黑洞问题）
net.ipv4.tcp_mtu_probing = 1

# 禁用ICMP重定向（安全加固）
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
# 禁用源路由
net.ipv4.conf.all.accept_source_route = 0

TCP Fast Open允许客户端在第一个SYN包中携带数据，减少一个RTT的握手延迟，适合短连接和API调用场景。tcp_mtu_probing设为1时，当检测到ICMP需要分段的错误消息后启用MTU探测，避免因PMTUD失败导致的连接超时。这些参数调整后需在生产流量下持续监控重传率、RTT分布和吞吐量，根据实际数据进一步微调。