为什么需要内核参数调优
默认的Linux内核参数是为了通用场景设计的，在作为高负载服务器运行时，许多参数的默认值远远不能满足需求。一台承载万级并发的Web服务器，如果不做任何内核调优，很可能在流量高峰时出现连接超时、内存溢出甚至系统无响应的情况。
内核参数调优的核心目标有三个：提高并发处理能力、降低延迟、提升资源利用率。本文将从网络栈、文件系统、内存管理三个维度，结合生产实践给出具体的调优方案。
所有内核参数均可通过sysctl命令临时修改，或写入/etc/sysctl.conf永久生效：
# 临时修改（重启失效）
sysctl -w net.core.somaxconn=65535
# 永久修改
echo "net.core.somaxconn = 65535" >> /etc/sysctl.conf
sysctl -p
# 查看当前值
sysctl net.core.somaxconn
网络栈深度调优
网络栈是服务器调优最关键的环节。一个 inadequately 配置的网络栈会导致 SYN 丢失、连接建立缓慢、吞吐量下降等问题。
TCP连接队列
当客户端发起TCP连接时，服务器会经历两次队列：SYN队列（半连接队列）和Accept队列（全连接队列）。如果队列满了，新的连接请求将被丢弃。
# SYN队列长度（半连接队列）
net.ipv4.tcp_max_syn_backlog = 65535
# Accept队列长度（全连接队列）
# 此值不能超过 net.core.somaxconn
net.core.somaxconn = 65535
# 查看Accept队列溢出次数
netstat -s | grep "overflowed"
# 查看SYN队列溢出次数
netstat -s | grep "SYN socket"
生产环境中，如果overflowed计数持续增长，说明Accept队列溢出，需要增大somaxconn的值，同时检查应用程序的accept速度。
TCP缓冲区与窗口
TCP缓冲区大小直接影响单连接的吞吐量。对于高带宽高延迟的链路（如跨机房传输），需要适当增大缓冲区：
# TCP读写缓冲区最大值（单位：字节）
net.ipv4.tcp_rmem = 4096 87380 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216
# 自动调节开关（建议开启）
net.ipv4.tcp_moderate_rcvbuf = 1
# 窗口缩放因子（支持更大的TCP窗口）
net.ipv4.tcp_window_scaling = 1
其中tcp_rmem和tcp_wmem的三个值分别为：最小值、默认值、最大值。16777216即16MB，适合万兆网络环境。
连接回收与TIME_WAIT处理
短连接密集的服务器容易积压大量TIME_WAIT状态的连接，消耗端口号和内存资源：
# 允许TIME_WAIT重用（生产建议开启）
net.ipv4.tcp_tw_reuse = 1
# tcp_tw_recycle在NAT环境下有严重问题，已废弃
# 不建议开启 tcp_tw_recycle
# 减小FIN_WAIT2超时时间
net.ipv4.tcp_fin_timeout = 15
# TIME_WAIT最大数量（超过后立即回收）
net.ipv4.tcp_max_tw_buckets = 65535
# 查看当前TIME_WAIT数量
ss -ant state time-wait | wc -l
重要提醒：tcp_tw_recycle参数在NAT环境下会导致部分连接失败，Linux 4.12+已将其移除。请使用tcp_tw_reuse替代，它只在客户端侧有效，且更安全。
SYN Flood防护
SYN Flood是常见的DDoS攻击方式，合理的内核参数可以有效缓解：
# 开启SYN Cookies（SYN队列满时启用Cookie机制）
net.ipv4.tcp_syncookies = 1
# SYN+ACK重试次数（降低可减少SYN Flood影响）
net.ipv4.tcp_synack_retries = 2
# SYN重试次数
net.ipv4.tcp_syn_retries = 2
文件系统与IO调优
文件系统参数对I/O密集型应用（如数据库、日志服务）影响显著。
文件描述符限制
Linux默认的单进程文件描述符限制（通常1024）对服务器来说太低了：
# 系统级最大文件描述符数
fs.file-max = 2097152
# 单进程限制（需配合ulimit设置）
# /etc/security/limits.conf 添加：
# * soft nofile 1048576
# * hard nofile 1048576
# 查看当前限制
ulimit -n
# 查看系统已打开文件描述符数
cat /proc/sys/fs/file-nr
磁盘IO调度器
不同存储介质应选用不同的IO调度器：
# 查看当前调度器
cat /sys/block/sda/queue/scheduler
# SSD推荐使用 none/mq-deadline
# 机械硬盘推荐使用 bfq/mq-deadline
# 临时修改调度器
echo none > /sys/block/nvme0n1/queue/scheduler
echo bfq > /sys/block/sda/queue/scheduler
# 永久修改（GRUB配置）
# GRUB_CMDLINE_LINUX="elevator=none"
对于NVMe SSD，none（即noop）调度器是最佳选择，因为NVMe设备本身有硬件队列，内核层再排序反而增加开销。而机械硬盘使用BFQ调度器可以在公平性和吞吐量之间取得良好平衡。
文件系统挂载参数
# /etc/fstab 优化挂载选项示例
# ext4 文件系统
/dev/sda1 /data ext4 defaults,noatime,nodiratime,data=writeback 0 2
# XFS 文件系统（推荐大文件场景）
/dev/sdb1 /log xfs defaults,noatime,nodiratime,logbufs=8 0 2
noatime和nodiratime禁止更新访问时间戳，可显著减少磁盘写入。data=writeback在ext4中允许元数据日志先于数据写入，提升性能但略微降低数据安全（崩溃时可能丢失最新数据）。
内存管理调优
内存管理直接影响系统在高负载下的稳定性。
Swap与内存策略
# 降低swappiness（尽量使用物理内存）
# 0：最大程度避免使用swap
# 1-10：极少使用swap
# 60：默认值
# 100：积极使用swap
vm.swappiness = 1
# 完全禁用swap（数据库服务器推荐）
swapoff -a
# 允许内存过量分配
vm.overcommit_memory = 1
# 0：默认，启发式判断
# 1：总是允许
# 2：严格限制（不允许超过 物理内存*ratio）
# 过量分配比例（overcommit_memory=2时生效）
vm.overcommit_ratio = 80
对于Redis等内存数据库，建议vm.overcommit_memory = 1，因为Redis在后台保存时需要fork子进程，fork需要预留与父进程等量的虚拟内存。
透明大页与内存碎片
# 关闭透明大页（数据库场景建议关闭）
echo never > /sys/kernel/mm/transparent_hugepage/enabled
echo never > /sys/kernel/mm/transparent_hugepage/defrag
# 永久关闭（systemd服务）
cat > /etc/systemd/system/disable-thp.service << 'EOF'
[Unit]
Description=Disable Transparent Huge Pages
[Service]
Type=oneshot
ExecStart=/bin/sh -c 'echo never > /sys/kernel/mm/transparent_hugepage/enabled'
ExecStart=/bin/sh -c 'echo never > /sys/kernel/mm/transparent_hugepage/defrag'
[Install]
WantedBy=multi-user.target
EOF
systemctl enable disable-thp
透明大页（THP）对连续内存分配友好，但在数据库场景中会导致长时间停顿（khugepaged守护进程的同步整理），MySQL、PostgreSQL、MongoDB官方均建议关闭THP。
安全加固相关参数
# 禁止IP转发（非路由器不需要）
net.ipv4.ip_forward = 0
# 禁止源路由
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
# 开启反向路径过滤（防IP欺骗）
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
# 禁止ICMP重定向
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
# 忽略ICMP广播请求（防Smurf攻击）
net.ipv4.icmp_echo_ignore_broadcasts = 1
# 记录可疑数据包
net.ipv4.conf.all.log_martians = 1
调优效果验证
调优不是一次性工作，需要持续监控验证。推荐以下工具：
- sysstat：sar命令可监控CPU、内存、网络、IO等指标的历史数据
- perf：内核级性能分析，可定位热点函数
- ebpf/bpftool：内核eBPF程序，实现低开销的动态追踪
- ss：替代netstat，查看TCP连接状态统计
# 综合监控常用命令
# TCP连接状态统计
ss -ant state established | wc -l
ss -ant state time-wait | wc -l
# 网络统计
sar -n DEV 1 5
# IO统计
iostat -x 1 5
# 内存统计
vmstat 1 5
# 内核slab缓存
cat /proc/meminfo | grep -i slab
总结
Linux内核参数调优是一项系统工程，需要根据业务场景、硬件配置和负载特征来制定方案。网络栈调优重点在连接队列、缓冲区和连接回收；文件系统调优关注描述符限制和IO调度器选择；内存管理则需平衡swap策略和THP配置。切记，任何调优都应有监控数据支撑，避免盲目修改参数导致新的问题。