标签：linux调优
关于 CPU 中央处理器调优
CPU 处理数据的方式：
1. 批处理,顺序处理请求.(切换次数少,吞吏量大)
2. 分时处理.(如同"独占",吞吏量小)(时间片，把请求分为一个一个的时间片，一片一片的分给 CPU 处理)
我们现在使用 x86 就是这种架构
3. 实时处理. 例： 批处理——以前的大型机（Mainframe）上所采用的系统，需要把一批程序事先写好（打孔纸带），然 后计算得出结果
分时——现在流行的 PC 机和服务器都是采用这种运行模式，即把 CPU 的运行分成若干时间片分别处理不同的运算请求
实时——一般用于单片机上，比如电梯的上下控制，对于按键等动作要求进行实时处理
查看内核一秒钟中断 CPU 次数：
[root@silence80 ~]# grep HZ /boot/config-2.6.32-220.el6.x86_64
CONFIG_NO_HZ=y
# CONFIG_HZ_100 is not set
# CONFIG_HZ_250 is not set
# CONFIG_HZ_300 is not set
CONFIG_HZ_1000=y
CONFIG_HZ=1000 #1 秒钟有 1000 次中断
注： 此文件/boot/config-2.6.32-220.el6.x86_64 是编译内核的参数文件
调整进程优先级使用更多 CPU
调整进程 nice 值，让进程使用更多的 CPU
优先级控制：
nice 值 #范围， -20 ~ 19 越小优先级越高 普通用户 0－19 nice
作用：以什举优先级运行进程 。默认优先级是 0
语法： nice -n 优先级数字 命令 例：
#nice -n -5 vim a.txt # vim 进程以-5 级别运行 查看：
ps -axu | grep a.txt
[root@silence80 ~]# ps -axu | grep b.txt
Warning: bad syntax, perhaps a bogus ‘-‘? See /usr/share/doc/procps-3.2.8/FAQ
root 24318 0.0 0.2 143624 3280 pts/4 S+ 17:00 0:00 vim b.txt
[root@silence80 ~]# top -p 24318
PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND
24219 root 15 -5 140m 3336 2200 S 0.0 0.3 0:00.08 vim
renice #修改正在运行的进程的优先级
#renice -n 5 PID #修改进程优先级
例：
#renice -n 5 24318
[root@silence80 ~]# top -p 24318
PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND
24219 root 15 5 140m 3336 2200 S 0.0 0.3 0:00.08 vim
检测一下范围： -20-19
[root@silence80 ~]# renice -n -21 24219
24219: old priority -20, new priority -20
[root@silence80 ~]# renice -n 20 24219
24219: old priority -20, new priority 19
CPU 亲和力
taskset 作用：在多核情况下，可以认为指定一个进程在哪颗 CPU 上执行程序，减少进程在不同 CPU 之 前切换的开销
安装：
[root@silence80 ~]# rpm -qf `which taskset `
util-linux-ng-2.17.2-12.4.el6.x86_64
语法： taskset -c N 命令
例 1：本机是 4 核 CPU ，指定 vim 命令在第一个 CPU 上运行
语法： taskset -c N 命令
[root@silence80 ~]# taskset -c 0 vim a.txt #1 号 CPU ID 是 0
[root@silence80 ~]# ps -axu | grep vim
Warning: bad syntax, perhaps a bogus ‘-‘? See /usr/share/doc/procps-3.2.8/FAQ
root 2614 1.3 0.2 143696 3332 pts/0 S+ 18:39 0:00 vim a.txt
[root@silence80 ~]# taskset -p 2614 # -p 要查看的进程 ID
pid 2614‘s current affinity mask: 1 #CPU 亲和力掩码，1 代表第一个 CPU 核心
例 2：查 sshd 进程运行在哪几个 CPU 上
[root@silence80 ~]# ps -axu | grep sshd
Warning: bad syntax, perhaps a bogus ‘-‘? See /usr/share/doc/procps-3.2.8/FAQ
root 2030 0.0 0.0 64068 1140 ? Ss 18:26 0:00 /usr/sbin/sshd
[root@silence80 ~]# taskset -p 2030
pid 2030‘s current affinity mask: f #说明 sshd 在 4 颗 CPU 上随机进行切换。
说明：
Cpu ID 号码，对应的 16 进制数为：
8 核 CPU ID: 7 6 5 4 3 2 1 0
对应的 10 十进制数为: 128 64 32 16 8 4 2 1
当前, 我的系统中 cpu ID 的为（0,1,2,3）
pid 2030‘s current affinity mask: f 的值为 cpu ID 16 进制的值的和（1+2+4+8=f),转换成二进制为：1111
这个说明了（pid=2030)的这个 sshd 进程工作在 cpu ID 分别为 0,1,2,3 这个四个 cpu 上面的切换。
注： 我们的 CPU 是 4 核心，所以 taskset -c 后可以跟： 0，1,2,3
例：指定 vim c.txt 程序运行在第 2 和第 4 个 CPU 上
[root@silence80 ~]# taskset -c 1,3 vim b.txt
[root@silence80 ~]# ps -axu | grep vim
Warning: bad syntax, perhaps a bogus ‘-‘? See /usr/share/doc/procps-3.2.8/FAQ
root 6314 1.5 0.2 143612 3280 pts/1 S+ 14:41 0:00 vim b.txt
root 6317 0.0 0.0 103300 848 pts/2 S+ 14:41 0:00 grep vim
[root@silence80 ~]# taskset -p 6314
pid 6314‘s current affinity mask: a
# a 为十进制的 10=2+8
注：在哪个 CPU 上运行，那一位就赋为 1 。 二进制表示为： 0101=2+8=10
CPU 利用率比例分配：
如果一个 CPU 被充分使用,利用率分类之间均衡的比例应该是
65% - 70% User Time #用户态
30% - 35% System Time #内核态
0% - 5% Idle Time #空闲
Context Switches - 上下文切换的数目直接关系到 CPU 的使用率,如果 CPU 利用率保持在上述均衡状态
时,有大量的上下文切换是正常的.
实例 1:持续的 CPU 利用率 在这个例子中,这个系统的 CPU 被充分利用
[root@silence80 ~]# vmstat 1 # 本机为单核 CPU，执行 vmstat 显示以下内容
procs --------memory---------- ---swap-- -----io---- --system-- -----cpu-----
r b swpd free buff cache si so bi bo in cs us sy id wa st
3 0 0 130644 86244 609860 0 0 4 1 531 25 0 0 20 0 0
4 0 0 130620 86244 609860 0 0 0 0 638 62 0 0 14 0 0
2 0 0 130620 86244 609860 0 0 0 0 658 62 0 0 13 0 0
4 0 0 130620 86244 609860 0 0 0 0 688 62 0 0 11 0 0
注： 根据观察值,我们可以得到以下结论:
1,有大量的中断(in) 和较少的上下文切换(cs).这意味着一个单一的进程正在快速运行
2,进一步显示某单个应用,user time(us) 经常在 86%或者更多。 执行 top ->按 P->查看使用 CPU 最多的进程
3,运行队列还在可接受的性能范围内,其中有 2 个地方,是超出了允许限制.
实例 2：超负荷调度 在这个例子中,内核调度中的上下文切换处于饱和
# vmstat 1 #本机为单核 CPU，通过查看 vmstat 输出结果，分析当前系统中出现的问题
procs memory swap io system cpu
r b swpd free buff cache si so bi bo in cs us sy wa id
2 1 207740 98476 81344 180972 0 0 2496 0 900 2883 4 12 57 27
0 1 207740 96448 83304 180984 0 0 1968 328 810 2559 8 9 83 0
0 1 207740 94404 85348 180984 0 0 2044 0 829 2879 9 6 78 7
0 1 207740 92576 87176 180984 0 0 1828 0 689 2088 3 9 78 10
2 0 207740 91300 88452 180984 0 0 1276 0 565 2182 7 6 83 4
3 1 207740 90124 89628 180984 0 0 1176 0 551 2219 2 7 91 0
1,上下文切换数目高于中断数目,说明当前系统中运行着大量的线程，kernel 中相当数量的时间都开销在线 程的”上下文切换“。
2,大量的上下文切换将导致 CPU 利用率不均衡.很明显实际上等待 io 请求的百分比(wa)非常高,以及
user time 百分比非常低(us). 说明磁盘比较慢，磁盘是瓶颈
3,因为 CPU 都阻塞在 IO 请求上,所以运行队列里也有相当数量的可运行状态线程在等待执行.
总结：说明
内存调优相关内容：
实例 1：安装完系统后，测试内存
[root@silence80 ~]# rpm -ivh /mnt/Packages/memtest86+-4.10-2.el6.x86_64.rpm
[root@silence80 ~]# memtest-setup
Setup complete.
[root@silence80 ~]# vim /etc/grub.conf #多了一个启动项
重启后，在 grub 启动项中选择：
Memtest86+ (4.10) 这个项就可以了
4. 关于缓存
BUFFER 索引缓存 缓存 写时用，先写入到内存
CACHE 页缓存 快取 读时用，先读入到内存
buffers #缓存从磁盘读出的内容 ，这种理解是片面的
cached #缓存需要写入磁盘的内容 ，这种理解是片面的
例 1：
终端 1： free -m
终端 2：find /
终端 1:free -m #查看 buffer 增长
CACHE：页缓存， 内存页是内存中的最小存储单位，一页尺寸 4kB
对象文件系统 块 block 1kB 2kB 4kB
扇区 sectors 512b
手动清空 buffer+cache ：
[root@silence80 ~]# cat /proc/sys/vm/drop_caches #默认是 0
0
[root@silence80 ~]# free -m
total used free shared buffers cached
Mem: 1137 783 353 0 67 411
-/+ buffers/cache: 303 833
Swap: 999 0 999
[root@silence80 ~]# sync # 把内存中的数据写入磁盘
[root@silence80 ~]# echo 1 > /proc/sys/vm/drop_caches
[root@silence80 ~]# free -m
total used free shared buffers cached
Mem: 1137 367 770 0 0 67
-/+ buffers/cache: 299 838
Swap: 999 0 999
[root@silence80 ~]# ulimit -a
I/O调优 相关内容
1、设置一个进程可以打开的文件数
[root@silence80 ~]# ulimit -n
1024
测试：
[root@silence80 ~]# service httpd restart
Stopping httpd: [FAILED] Starting httpd: [ OK ]
[root@silence80 ~]# echo 111 > /var/www/html/index.html
[root@silence80 ~]# ab -n 2000 -c 2000 http://192.168.1.63/index.html
This is silence80Bench, Version 2.3 <$Revision: 655654 $>
Copyright 1996 Adam Twiss, Zeus Technology Ltd, http://www.zeustech.net/
Licensed to The silence80 Software Foundation, http://www.silence80.org/
Benchmarking 192.168.1.63 (be patient)
socket: Too many open files (24)
解决： 限制用户资源配置文件：/etc/security/limits.conf vim /etc/security/limits.conf #在最添加：
* soft nofile 1024000
* hard nofile 1024000
注：soft 是一个警告值，而 hard 则是一个真正意义的阀值，超过就会报错。soft 一定要比 hard 小。
2、启动系统： reboot #永久生效的缺点，必须重启系统
3、检查：
[root@silence80 ~]# ulimit -n
1024000
[root@silence80 ~]# useradd mk #以普通用户登录，测试
[root@silence80 ~]# su - mk
[silence@silence80 ~]$ ulimit -n
1024000
方法二：#临时修改
[root@silence80 ~]# ulimit -n 10000
[root@silence80 ~]# ulimit -n
10000
例 2：nproc #用户可以打开的最大进程数
[root@silence80 ~]# vim /etc/security/limits.d/90-nproc.conf #RHEL6 必须这个文件中配 置
改：
* soft nproc 10240
为：
* soft nproc 66666
* hard nproc 66666
[root@silence80 ~]# reboot #最好重启一下
[root@silence80 ~]# ulimit -u
66666
或：
再打一个终端，直接查看
[root@silence80 ~]# ulimit -u
66666
临时：
[root@silence80 ~]# ulimit -u 60000
[root@silence80 ~]# ulimit -u
60000
注:默认用户可用的最大进程数量1024.这样以silence80用户启动的进程就数就不能大于1024了。
[root@silence80 ~]# ulimit -a
core file size (blocks, -c) 0 kdump 转储功能打开后产生的 core file 大小限制
data seg size (kbytes, -d) unlimited 数据段大小限制
scheduling priority (-e) 0
file size (blocks, -f) unlimited 文件大小限制
pending signals (-i) 27955 max locked memory (kbytes, -l) 32
max memory size (kbytes, -m) unlimited
open files (-n) 1024 打开的文件个数限制
pipe size (512 bytes, -p) 8 管道大小的限制
POSIX message queues (bytes, -q) 819200 消息队列大小
real-time priority (-r) 0
stack size (kbytes, -s) 10240 栈大小
cpu time (seconds, -t) unlimited CPU 时间使用限制
max user processes (-u) 27955 最大的用户进程数限制
virtual memory (kbytes, -v) unlimited 虚拟内存限制
file locks (-x) unlimited
测试硬盘速度：
测试硬盘写命令： dd
在使用前首先了解两个特殊设备
/dev/null 伪设备，回收站.写该文件不会产生IO开销
/dev/zero 伪设备，会产生空字符流，读该文件不会产生IO开销
[root@silence80 ~]# dd if=/dev/zero of=/test.dbf bs=8K count=30000
3000+0 records in
3000+0 records out
24576000 bytes (25 MB) copied, 5.13755 s, 4.8 MB/s 生成 25M 的一个文件，IO 写的速度约为 4.8 MB/s 当然这个速度可以多测试几遍取一个平均值，符合概率统计.
time 命令： 执行命令并计时
例1： 测试dd 命令使用时间和开销
[root@xuegod64 ~]# time dd if=/dev/zero of=/test.dbf bs=8k count=3000
3000+0 records in
3000+0 records out
24576000 bytes (25 MB) copied, 1.04913 s, 23.4 MB/s real 0m1.061s
user 0m0.002s sys 0m0.770s 注释：
1)实际时间(real time): 从command命令行开始执行到运行终止的消逝时间；
2)用户CPU时间(user CPU time): 命令执行完成花费的用户CPU时间，即命令在用户态中执行时间总和；
3)系统CPU时间(system CPU time): 命令执行完成花费的系统CPU时间，即命令在核心态中执行时间总 和。 其中，用户CPU时间和系统CPU时间之和为CPU时间，即命令占用CPU执行的时间总和。实际时间要大于 CPU时间，因为Linux是多任务操作系统，往往在执行一条命令时，系统还要处理其它任务。 另一个需要注意的问题是即使每次执行相同命令，但所花费的时间也是不一样，其花费时间是不系统运行 相关的。
测试硬盘速度：
[root@xuegod64 ~]# hdparm -T -t /dev/sda
/dev/sda:
Timing cached reads: 3850 MB in 2.00 seconds = 1926.60 MB/sec
#2秒中直接从内存的 cache读取数据的速度读 3850 MB。 平均1926.60 MB/sec
Timing buffered disk reads: 50 MB in seconds = 13.17 MB/sec
参数：
-t perform device read timings #不使用预先的数据缓冲, 标示了Linux下没有任何文件系统开 销时磁盘可以支持多快的连续数据读取.
-T perform cache read timings #直接从内存的 cache读取数据的速度。实际上显示出被测系统的 处理器缓存和内存的吞吏量.
网相关调优： 网卡绑定技术：
/双线冗余 功能
\带宽增备
100M／8 ＝ 12.5MByte/s
Bonding技术 什举是网卡绑定及简单原理 网卡绑定也称作"网卡捆绑"，就是使用多块物理网卡虚拟成为一块网卡，以提供负载均衡或者冗余，增加 带宽的作用。当一个网卡坏掉时，不会影响业务。这个聚合起来的设备看起来是一个单独的以太网接口设 备，也就是这几块网卡具有相同的IP地址而并行链接聚合成一个逻辑链路工作。这种技术在Cisco等网络公 司中，被称为Trunking和Etherchannel 技术，在Linux的内核中把这种技术称为bonding。 Trunking（链路聚集）
二、技术分类
1. 负载均衡
2. 网络冗余
实战：配置多网卡绑定技术
配置环境：
silence80 配置两双网卡，网卡eth0和eth1都桥接 添加网卡：
配置：
查看是否加载了bond模块：
[root@silence80 network-scripts]# modinfo bonding| grep .ko filename:
/lib/modules/2.6.32-220.el6.x86_64/kernel/drivers/net/bonding/bonding.ko
[root@silence80 network-scripts]# modprobe bonding #加载模块
[root@silence80 ~]# lsmod | grep bond bonding 125610 0
ipv6 322029 158 bonding,ip6t_REJECT,nf_conntrack_ipv6,nf_defrag_ipv6
开机自动加载模块到内核：
[root@silence80 ~]# echo ‘modprobe bonding &> /dev/null‘ >> /etc/rc.local
[root@silence80 ~]# vim /etc/modprobe.conf #创建此配置文件，并写入以下内容 编辑模块载入配置文件，让系统支持bonding
alias bond0 bonding
options bonding miimon=100 mode=balance-rr
说明：
a. mode=balance-rr 或mode=0 这里我采用这种rr轮循模式， 此模式提供负载平衡和容错。 此模式 下所以网卡共用一个MAC地址，后面结果会有验证！
b. miimon是用来进行链路监测的，如:miimon=100，那举系统每100ms监测一次链路连接状态，如果 有一条线路不通就转入另一条线路；
c. bonding只能提供链路监测，即从主机到交换机的链路是否接通。如果只是交换机对外的链路down掉
了，而交换机本身并没有故障，那举bonding会认为链路没有问题而继续使用。
创建bond0设置配置文件
[root@silence80 ~]# vim /etc/sysconfig/network-scripts/ifcfg-bond0 #写入以下内容
DEVICE=bond0
IPADDR=192.168.1.63
NETMASK=255.255.255.0
GATEWAY=192.168.1.1
DNS1=192.168.1.1
ONBOOT=yes BOOTPROTO=none USERCTL=no
创建eth0配置文件：
[root@silence80 ~]# vim /etc/sysconfig/network-scripts/ifcfg-eth0 #写入以下内容
DEVICE=eth0
USERCTL=no ONBOOT=yes MASTER=bond0
SLAVE=yes BOOTPROTO=none 创建eth1配置文件：
[root@silence80 ~]# vim /etc/sysconfig/network-scripts/ifcfg-eth1 #写入以下内容
DEVICE=eth1
USERCTL=no ONBOOT=yes MASTER=bond0
SLAVE=yes
BOOTPROTO=none
重启网卡：
[root@silence80 ~]# service network restart
Shutting down interface eth0: [ OK ]
Shutting down loopback interface: [ OK ]
Bringing up loopback interface: [ OK ]
Bringing up interface bond0: [ OK ]
查看：
[root@silence80 ~]# ifconfig #注此时MAC地址都一样
bond0 Link encap:Ethernet HWaddr 00:0C:29:12:EC:1E
inet addr:192.168.1.63 Bcast:192.168.1.255 Mask:255.255.255.0 inet6 addr: fe80::20c:29ff:fe12:ec1e/64 Scope:Link
UP BROADCAST RUNNING MASTER MULTICAST MTU:1500 Metric:1
RX packets:751 errors:0 dropped:0 overruns:0 frame:0
TX packets:445 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:73353 (71.6 KiB) TX bytes:59783 (58.3 KiB)
eth0
Link encap:Ethernet HWaddr 00:0C:29:12:EC:1E
UP BROADCAST RUNNING SLAVE MULTICAST MTU:1500 Metric:1
RX packets:743 errors:0 dropped:0 overruns:0 frame:0
TX packets:432 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1000
RX bytes:72050 (70.3 KiB) TX bytes:57101 (55.7 KiB)
eth1
Link encap:Ethernet HWaddr 00:0C:29:12:EC:1E Metric:1
UP BROADCAST RUNNING SLAVE MULTICAST MTU:1500
测试：
[root@silence80 ~]# ping 192.168.1.1
PING 192.168.1.1 (192.168.1.1) 56(84) bytes of data.
64 bytes from 192.168.1.1: icmp_seq=1 ttl=64 time=2.89 ms
64 bytes from 192.168.1.1: icmp_seq=2 ttl=64 time=1.82 ms
[root@silence80 network-scripts]# route -n #查看网关
[root@silence80 network-scripts]# cat /etc/resolv.conf #查看DNS
# Generated by NetworkManager nameserver 192.168.1.1
search localhost
测试高可用：
1、[root@silence80 ~]# ping 192.168.1.1 #打开终端后，持续ping 网关
2、此时可以断开虚拟机eth1网络连接，查看ping是否有丢包：
[root@silence80 ~]#ifdown eth0
3、断开后，发现通信正常，没有问题。说明多网卡绑定成功
mode=0 : 可实现网络负载均衡和网络冗余，采用平衡轮循策略(balance-rr)。
此模式的特点：
a. 所以网卡都工作，传输数据包顺序是依次传输，也就是说第1个包经过eth0，下一个包就经过eth1，一 直循环下去，直到最后一个包传输完毕。
b. 此模式对于同一连接从不同的接口发出的包，中途传输过程中再经过不同的链接，在客户端很有可能会 出现数据包无序到达的问题，而无序到达的数据包需要重新要求被发送，这样网络的吞吏量就会下降。
c. 不网卡相连的交换必须做特殊配置（ 这两个端口应该采取聚合方式），因为做bonding的这两块网卡是 使用同一个MAC地址
网络内核相关参数调优
TCP 连接三次握手相关
Client ------------------------- Server
SYN
SYN+ACK
ACK
1. 抵御SYN 洪水攻击
SYN攻击是利用TCP/IP协议3次握手的原理，发送大量的建立连接的网络包SYN包，但不实际建立连接， 最终导致被攻击服务器的网络队列被占满，无法被正常用户访问。
原理图：
SYN Flood是当前最流行的DoS（拒绝服务攻击）不DDoS（分布式拒绝服务攻击）的方式之一，这是一
种利用TCP协议缺陷，发送大量伪造的TCP连接请求，常用假冒的IP或IP号段发来海量的请求连接的
第一 个握手包（SYN包），被攻击服务器回应第二个握手包（SYN+ACK包），因为对方是假冒IP，对
方永进 收不到包且不会回应第三个握手包。导致被攻击服务器保持大量SYN_RECV状态的“半连接”，
并且会重 试默认5次回应第二个握手包，塞满TCP等待连接队列，资源耗尽（CPU满负荷或内存不足），
让正常的 业务请求连接不进来。
解决：
[root@xuegod63 ~]# vim /etc/sysctl.conf #在文件最后添加以下内容
net.ipv4.tcp_synack_retries = 0
net.ipv4.tcp_syn_retries = 0
net.ipv4.tcp_max_syn_backlog = 20480
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_tw_recycle = 1
net.ipv4.tcp_fin_timeout = 10
fs.file-max = 819200
net.core.somaxconn = 65536
net.core.rmem_max = 1024123000
net.core.wmem_max = 16777216
net.core.netdev_max_backlog = 165536
net.ipv4.ip_local_port_range = 10000 65535
注：每台服务器上线之前，都应该配置以上内核参数。
最重要参数： 注释：
[root@xuegod63 ~]# cat /proc/sys/net/ipv4/tcp_synack_retries #最关键参数，默认为5，修 改为0 表示不要重发
net.ipv4.tcp_synack_retries = 0
1
#表示回应第二个握手包（SYN+ACK包）给客户端IP后，如果收不到第三次握手包（ACK包）后，不进 行重试，加快回收“半连接”，不要耗光资源。
#作为服务端。回应时，如果连接失败，达到对应的失败数后，停止发送synack包
第一个参数tcp_synack_retries = 0是关键，表示回应第二个握手包（SYN+ACK包）给客户端IP后，如 果收不到第三次握手包（ACK包）后，不进行重试，加快回收“半连接”，不要耗光资源。 不修改这个参数，模拟攻击，10秒后被攻击的80端口即无法服务，机器难以ssh登录； 用命令
netstat -na |grep SYN_RECV检测“半连接”hold住180秒；
修改这个参数为0的副作用：网络状况很差时，如果对方没收到第二个握手包，可能连接服务器失败，但对 于一般网站，用户刷新一次页面即可。这些可以在高峰期或网络状况不好时tcpdump抓包验证下。 根据以前的抓包经验，这种情况很少，但为了保险起见，可以只在被tcp洪水攻击时临时启用这个参数。
tcp_synack_retries默认为5，表示重发5次，每次等待30~40秒，即“半连接”默认hold住大约180秒。 我们之所以可以把tcp_synack_retries改为0，因为客户端还有tcp_syn_retries参数，默认是5，即使服 务器端没有重发SYN+ACK包，客户端也会重发SYN握手包。
[root@xuegod63 ~]# cat /proc/sys/net/ipv4/tcp_syn_retries
0
#tcp_syn_retries参数，默认是5，当没有收到服务器端的SYN+ACK包时，客户端重发SYN握手包的次 数。
[root@xuegod63 ~]# cat /proc/sys/net/ipv4/tcp_max_syn_backlog
20480
#半连接队列长度，增加SYN队列长度到20480：加大SYN队列长度可以容纳更多等待连接的网络连接数， 具体多少数值受限于内存。
接下来辅助参数：
#系统允许的文件句柄的最大数目，因为连接需要占用文件句柄
fs.file-max = 819200
#用来应对突发的大并发connect 请求
net.core.somaxconn = 65536
#最大的TCP 数据发送缓冲（字节）
net.core.wmem_max = 16777216
#网络设备接收数据包的速率比内核处理这些包的速率快时，允许送到队列的数据包的最大数目
net.core.netdev_max_backlog = 165536
#本机主动连接其他机器时的端口分配范围，比如说，在vsftpd主动模式会用到 net.ipv4.ip_local_port_range = 10000 65535
注：如果只是开启22端口，是不会使用到ip_local_port_range这个功能
[root@xuegod63 ~]# netstat -antup | grep :22
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN
1993/sshd
tcp 0 0 192.168.1.63:22 192.168.1.23:51855
ESTABLISHED 9316/sshd
tcp 0 0 192.168.1.63:22 192.168.1.23:51861
ESTABLISHED 10878/sshd
为了处理大量连接，还需改大另外两个参数： 限制用户资源配置文件：/etc/security/limits.conf
[root@xuegod63 ~]#vim /etc/security/limits.conf #在最添加：
* soft nofile 1024000
* hard nofile 1024000
例 2：nproc #用户可以打开的最大进程数
[root@xuegod63 ~]# vim /etc/security/limits.d/90-nproc.conf #RHEL6 必须这个文件中配 置
改：
* soft nproc 10240
为：
* soft nproc 66666
* hard nproc 66666 [root@xuegod63 ~]# reboot #最好重启一下
次要辅助参数，以上还无法解决syn洪水攻击，把以下内核参数关闭： 注意，以下参数面对外网时，不要打开。因为副作用很明显。
[root@xuegod63 ~]# cat /proc/sys/net/ipv4/tcp_syncookies
1
#表示开启SYN Cookies。当出现SYN等待队列溢出时，启用cookies接收溢出的SYN连接，可防范少量
SYN攻击，默认为0，表示关闭；
[root@xuegod63 ~]# cat /proc/sys/net/ipv4/tcp_tw_reuse
1
#表示开启tcp链接重用。允许将TIME-WAIT sockets重新用于新的TCP连接，默认为0，表示关闭，现 在开启，改为1
[root@xuegod63 ~]# cat /proc/sys/net/ipv4/tcp_tw_recycle
1
#表示开启TCP连接中TIME-WAIT sockets的快速回收，默认为0，表示关闭。现在改为1，表示开启
[root@xuegod63 ~]# cat /proc/sys/net/ipv4/tcp_fin_timeout
30
#默认值是 60，对于本端断开的socket连接，TCP保持在FIN_WAIT_2状态的时间。
内网提速之巨帧Jumbo Frame
[root@xuegod63 ~]# ifconfig eth0
eth0 Link encap:Ethernet HWaddr 00:0C:29:12:EC:1E
inet addr:192.168.1.63 Bcast:192.168.1.255 Mask:255.255.255.0 inet6 addr: fe80::20c:29ff:fe12:ec1e/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
实例：调大MTU
[root@xuegod63 ~]# ifconfig eth0 mtu 9000
[root@xuegod63 ~]# ifconfig eth0
eth0 Link encap:Ethernet HWaddr 00:0C:29:12:EC:1E
inet addr:192.168.1.63 Bcast:192.168.1.255 Mask:255.255.255.0
inet6 addr: fe80::20c:29ff:fe12:ec1e/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:9000 Metric:1 注：MTU，即Maximum Transmission Unit(最大传输单元)，
此值设定TCP/IP协议传输数据报时的最 大传输单元。 系统不ISP之间MTU的不符就会直接导致数据在网络传输过程中不断地进行分包、组包，
浪费了宝贵的传 输时间，也严重影响了宽带的工作效率。
本文出自 “枯木知深秋” 博客，请务必保留此出处http://kmzsq.blog.51cto.com/10542759/1683160
标签：linux调优
原文地址：http://kmzsq.blog.51cto.com/10542759/1683160
