高并发linux生产服务器内核参数优化案例

说明：本优化适合apache,nginx,squid多种等web应用，特殊的业务也可能需要略作调整。
所谓内核优化，主要是在Linux系统中针对业务服务应用而进行的系统内核参数优化，优化并无特殊的标准，下面以常见生产环境linux的内核优化为例讲解，仅供大家参考：net.ipv4.tcp_fin_timeout = 2
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_tw_recycle = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_keepalive_time = 600
net.ipv4.ip_local_port_range = 400065000
net.ipv4.tcp_max_syn_backlog = 16384
net.ipv4.tcp_max_tw_buckets = 36000
net.ipv4.route.gc_timeout = 100
net.ipv4.tcp_syn_retries = 1
net.ipv4.tcp_synack_retries = 1
net.core.somaxconn = 16384
net.core.netdev_max_backlog = 16384
net.ipv4.tcp_max_orphans = 16384
#以下参数是对iptables防火墙的优化。
#CentOS 5.X:
net.ipv4.ip_conntrack_max = 25000000
net.ipv4.netfilter.ip_conntrack_max=25000000
net.ipv4.netfilter.ip_conntrack_tcp_timeout_established=180
net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait=120
net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait=60
net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait=120
#CentOS 6.X：
net.netfilter.nf_conntrack_max = 25000000
net.netfilter.nf_conntrack_tcp_timeout_established = 180
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120

注意：在此优化过程中可能会有报错
举例：
5.8版本上
error: "net.ipv4.ip_conntrack_max"is an unknown key
error: "net.ipv4.netfilter.ip_conntrack_max"is an unknown key
error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_established"is an unknown key
error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait"is an unknown key
error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait"is an unknown key
error: "net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait"is an unknown key
这个错误可能是你的防火墙没有开启或者自动处理可载入的模块ip_conntrack没有自动载入，解决办法有两个，一个是开启防火墙，另一个是自动处理开载入的模块ip_conntrack
modprobe ip_conntrack
echo "modprobe ip_conntrack">> /etc/rc.local

6.4版本上
error: "net.nf_conntrack_max"isan unknown key
error: "net.netfilter.nf_conntrack_max"isan unknown key
error: "net.netfilter.nf_conntrack_tcp_timeout_established"isan unknown key
error: "net.netfilter.nf_conntrack_tcp_timeout_time_wait"isan unknown key
error: "net.netfilter.nf_conntrack_tcp_timeout_close_wait"isan unknown key
error: "net.netfilter.nf_conntrack_tcp_timeout_fin_wait"isan unknown key
这个错误可能是你的防火墙没有开启或者自动处理可载入的模块ip_conntrack没有自动载入，解决办法有两个，一个是开启防火墙，另一个是自动处理开载入的模块ip_conntrack
modprobe nf_conntrack
echo "modprobe nf_conntrack">> /etc/rc.local

6.4版本上
error: "net.bridge.bridge-nf-call-ip6tables"isan unknown key
error: "net.bridge.bridge-nf-call-iptables"isan unknown key
error: "net.bridge.bridge-nf-call-arptables"isan unknown key
这个错误是由于自动处理可载入的模块bridge没有自动载入，解决办法是自动处理开载入的模块ip_conntrack
modprobe bridge
echo "modprobe bridge">> /etc/rc.local

以上一些优化参数的解释说明：

参数	说明
net.ipv4.tcp_fin_timeout	表示如何套接字由本端要求关闭，这个参数决定了它保持在FIN-WAIT-2状态的时间，默认值是60秒。 该参数对应系统路径为：/proc/sys/net/ipv4/tcp_fin_timeout 60
net.ipv4.tcp_tw_reuse	表示开启重用。允许将TIME-WAIT scokets 重新用于新的TCP连接，默认值为0，表示关闭。 该参数对应系统路径为：/proc/sys/net/ipv4/tcp_tw_reuse 0
net.ipv4.tcp_tw_recycle	表示开启TCP连接中TIME-WAIT sockets 的快速回收。 该参数对应系统路径为：/proc/sys/net/ipv4/tcp_tw_recycle默认为0，表示关闭。 提示：reuse和recycle两个参数为了防止生产环境下web,squid等time_wait过多设置的。
net.ipv4.tcp_syncookies	表示开启 SYN Cookies功能，当出现SYN等待队列溢出时，启用cookies来处理，可防范少量SYN攻击，CentOS5系列默认值为1，表示开启，因此这个参数也可以不添加： 该参数对应系统路径为：/proc/sys/net/ipv4/tcp_syncookies默认为1
net.ipv4.tcp_keepalive_time	表示当keepalive起用的时候，TCP发送leepalive消息的频度。缺省是2小时，改为10分钟。 该参数对应系统路径为：/proc/sys/net/ipv4/tcp_keepalive_time默认为7200秒
net.ipv4.ip_local_port_range	选项用来设定允许系统打开的端口范围，即用于向外连接的端口范围。该参数对应系统路径为：/proc/sys/net/ipv4/ip_local_port_range 3276861000
net.ipv4.tcp_max_syn_backlog	表示SYN队列的长度，默认为1024，加大队列长度为8192，可以容纳更多等待连接的网络连接数，选项为服务器端用于记录那些尚未收到客户端确认信息的连接请求的最大值。 该参数对应系统路径为：/proc/sys/net/ipv4/tcp_max_syn_backlog
net.ipv4.tcp_max_tw_buckets	表示系统同时保持TIME_WAIT套接字的最大数量，如果超过这个数字，TIME_WAIT套接字将立刻被清除并打印警告信息，默认为180000，对于apache,nginx等服务器来说可以调整低一点，如：改为5000-30000,不同业务的服务器也可以给大一点，比如lvs,squid。上几行的参数可以减少TIME_WAIT套接字数量，但是对于squid效果不大。 此参数可以控制TIME_WAIT套接字的最大数量，避免squid服务器被大量的TIME_WAIT套接字拖死。 该参数对应系统路径为：/proc/sys/net/ipv4/tcp_max_tw_buckets
net.ipv4.tcp_syn_retries	表示在内核放弃建立连接之前发送SYN包的数量。该参数对应系统路径为：/proc/sys/net/ipv4/tcp_syn_retries 5
net.ipv4.tcp_synack_retries	参数的值决定了内核放弃连接之前发送SYN+ACK包的数量。 该参数对应系统路径为：/proc/sys/net/ipv4/tcp_synack_retries 默认值为5
net.ipv4.tcp_max_orphans	选项用于设定系统中最多有多少个TCP套接字不被关联到任何一个用户文件句柄上。如果超过这个数字，孤立连接将立即被复位并打印出警告信息。这个限制只是为了防止简单的DOS攻击，不能过分依靠这个限制甚至人为减小这个值，更多的情况是增加这个值。 该参数对应系统路径为：/proc/sys/net/ipv4/tcp_max_orphans 65536
net.core.somaxconn	选项默认值是128，这个参数用于调节系统同时发起的tcp连接数，在高并发请求中，默认的值可能会导致连接超时或重传，因此，需要结合并发请求数来调节此值。 该参数对应系统路径为：/proc/sys/net/core/somaxconn 128
net.core.netdev_max_backlog	选项表示当每个网络接口接收数据包的速率比内核处理这些包的速率时，允许发送到队列的数据包的最大数目。 该参数对应系统路径为：/proc/sys/net/core/netdev_max_backlog默认值1000