linux -/porc/sys/net/ipv4 详解

前面已经有了一篇"linux内核TCP相关参数解释",但是今天还要拿出来总结一下.

1.net

1) /proc/sys/net/ipv4/ip_forward

该文件表示是否打开IP转发。

0，禁止

1，转发

缺省设置：0

2) /proc/sys/net/ipv4/ip_default_ttl 

该文件表示一个数据报的生存周期（Time To Live），即最多经过多少路由器。

缺省设置：64。增加该值会降低系统性能。

3) /proc/sys/net/ipv4/ip_no_pmtu_disc

该文件表示在全局范围内关闭路径MTU探测功能。

缺省设置：0。

4) /proc/sys/net/ipv4/route/min_pmtu

该文件表示最小路径MTU的大小。

缺省设置：552。

5) /proc/sys/net/ipv4/route/mtu_expires

该文件表示PMTU信息缓存多长时间（秒）。

缺省设置：600（秒）。

6) /proc/sys/net/ipv4/route/min_adv_mss

该文件表示最小的MSS（Maximum Segment Size）大小，取决于第一跳的路由器MTU。

缺省设置：256（bytes）。

2.1 IP Fragmentation

1) /proc/sys/net/ipv4/ipfrag_low_thresh

/proc/sys/net/ipv4/ipfrag_high_thresh

两个文件分别表示用于重组IP分段的内存分配最低值和最高值，一旦达到最高内存分配值，其它分段将被丢弃，直到达到最低内存分配值。

缺省设置：196608（ipfrag_low_thresh）；

　　　　　    262144（ipfrag_high_thresh）。

2) /proc/sys/net/ipv4/ipfrag_time

该文件表示一个IP分段在内存中保留多少秒。

缺省设置：30（秒）。

2.2 INET Peer Storage

1) /proc/sys/net/ipv4/inet_peer_threshold

INET对端存储器某个合适值，当超过该阀值条目将被丢弃。该阀值同样决定生存时间以及废物收集通过的时间间隔。条目越多，存活期越低，GC 间隔越短。

缺省设置：65664。

2) /proc/sys/net/ipv4/inet_peer_minttl

条目的最低存活期。在重组端必须要有足够的碎片(fragment)存活期。这个最低存活期必须保证缓冲池容积是否少于inet_peer_threshold。该值以 jiffies为单位测量。

缺省设置：120。

3) /proc/sys/net/ipv4/inet_peer_maxttl

条目的最大存活期。在此期限到达之后，如果缓冲池没有耗尽压力的话(例如：缓冲池中的条目数目非常少)，不使用的条目将会超时。该值以 jiffies为单位测量。

缺省设置：600。

4) /proc/sys/net/ipv4/inet_peer_gc_mintime

废物收集(GC)通过的最短间隔。这个间隔会影响到缓冲池中内存的高压力。该值以jiffies为单位测量。

缺省设置：10。

5) /proc/sys/net/ipv4/inet_peer_gc_maxtime

废物收集(GC)通过的最大间隔，这个间隔会影响到缓冲池中内存的低压力。该值以jiffies为单位测量。

缺省设置：120。

2.3 TCP Variables

1) /proc/sys/net/ipv4/tcp_syn_retries

该文件表示本机向外发起TCP SYN连接超时重传的次数，不应该高于255。该值仅仅针对外出的连接，对于进来的连接由tcp_retries1控制。

缺省设置：5。

2) /proc/sys/net/ipv4/tcp_keepalive_probes

该文件表示丢弃TCP连接前，进行最大TCP保持连接侦测的次数。保持连接仅在SO_KEEPALIVE套接字选项被打开时才被发送。

缺省设置：9（次）。

3) /proc/sys/net/ipv4/tcp_keepalive_time

该文件表示从不再传送数据到向连接上发送保持连接信号之间所需的秒数。

缺省设置：7200（2小时）。

4) /proc/sys/net/ipv4/tcp_keepalive_intvl

该文件表示发送TCP探测的频率，乘以tcp_keepalive_probes表示断开没有相应的TCP连接的时间。

缺省设置：75（秒）。

5) /proc/sys/net/ipv4/tcp_retries1

　　该文件表示放弃回应一个TCP连接请求前进行重传的次数。

　　缺省设置：3。

6) /proc/sys/net/ipv4/tcp_retries2

　　该文件表示放弃在已经建立通讯状态下的一个TCP数据包前进行重传的次数。

　　缺省设置：15。

7) /proc/sys/net/ipv4/tcp_orphan_retries

在近端丢弃TCP连接之前，要进行多少次重试。默认值是 7 个，相当于 50秒–16分钟，视RTO而定。如果您的系统是负载很大的web服务器，那么也许需要降低该值，这类 sockets 可能会耗费大量的资源。另外参考tcp_max_orphans。

8) /proc/sys/net/ipv4/tcp_fin_timeout

对于本端断开的socket连接，TCP保持在FIN-WAIT-2状态的时间。对方可能会断开连接或一直不结束连接或不可预料的进程死亡。默认值为 60 秒。过去在2.2版本的内核中是 180 秒。您可以设置该值，但需要注意，如果您的机器为负载很重的web服务器，您可能要冒内存被大量无效数据报填满的风险，FIN-WAIT-2 sockets 的危险性低于 FIN-WAIT-1，因为它们最多只吃 1.5K 的内存，但是它们存在时间更长。另外参考 tcp_max_orphans。

缺省设置：60（秒）。

9) /proc/sys/net/ipv4/tcp_max_tw_buckets

系统在同时所处理的最大timewait sockets 数目。如果超过此数的话，time-wait socket 会被立即砍除并且显示警告信息。之所以要设定这个限制，纯粹为了抵御那些简单的 DoS 攻击，千万不要人为的降低这个限制，不过，如果网络条件需要比默认值更多，则可以提高它(或许还要增加内存)。

缺省设置：180000

10) /proc/sys/net/ipv4/tcp_tw_recyle

打开快速 TIME-WAIT sockets 回收。除非得到技术专家的建议或要求，请不要随意修改这个值。

缺省设置：0。

11) /proc/sys/net/ipv4/tcp_tw_reuse

该文件表示是否允许重新应用处于TIME-WAIT状态的socket用于新的TCP连接。

缺省设置：0。

12) /proc/sys/net/ipv4/tcp_max_orphans

系统所能处理不属于任何进程的TCP sockets最大数量。假如超过这个数量，那么不属于任何进程的连接会被立即reset，并同时显示警告信息。之所以要设定这个限制，纯粹为了抵御那些简单的 DoS 攻击，千万不要依赖这个或是人为的降低这个限制。

缺省设置：8192。

13) /proc/sys/net/ipv4/tcp_abort_on_overflow

当守护进程太忙而不能接受新的连接，就向对方发送reset消息，默认值是false。这意味着当溢出的原因是因为一个偶然的猝发，那么连接将恢复状态。只有在你确信守护进程真的不能完成连接请求时才打开该选项，该选项会影响客户的使用。

缺省设置：0。

14) /proc/sys/net/ipv4/tcp_syncookies

该文件表示是否打开TCP同步标签(syncookie)，内核必须打开了 CONFIG_SYN_COOKIES项进行编译。同步标签(syncookie)可以防止一个套接字在有过多试图连接到达时引起过载。

缺省设置：0.

15) /proc/sys/net/ipv4/tcp_stdurg

使用 TCP urg pointer 字段中的主机请求解释功能。大部份的主机都使用老旧的BSD解释，因此如果您在 Linux 打开它，或会导致不能和它们正确沟通。

缺省设置：0。

16) /proc/sys/net/ipv4/tcp_max_syn_backlog

对于那些依然还未获得客户端确认的连接请求，需要保存在队列中最大数目。对于超过 128Mb 内存的系统，默认值是 1024，低于 128Mb 的则为 128。如果服务器经常出现过载，可以尝试增加这个数字。警告！假如您将此值设为大于1024，最好修改 include/net/tcp.h 里面的 TCP_SYNQ_HSIZE，以保持TCP_SYNQ_HSIZE*16 0)或者bytes-bytes/2^(-tcp_adv_win_scale)(如果tcp_adv_win_scale 128Mb 32768-610000)则系统将忽略所有发送给自己的ICMP ECHO请求或那些广播地址的请求。

缺省设置：1024。

17) /proc/sys/net/ipv4/tcp_window_scaling

该文件表示设置tcp/ip会话的滑动窗口大小是否可变。参数值为布尔值，为1时表示可变，为0时表示不可变。tcp/ip通常使用的窗口最大可达到65535 字节，对于高速网络，该值可能太小，这时候如果启用了该功能，可以使tcp/ip滑动窗口大小增大数个数量级，从而提高数据传输的能力。

缺省设置：1。

18) /proc/sys/net/ipv4/tcp_sack

该文件表示是否启用有选择的应答（Selective Acknowledgment），这可以通过有选择地应答乱序接收到的报文来提高性能（这样可以让发送者只发送丢失的报文段）；（对于广域网通信来说）这个选项应该启用，但是这会增加对 CPU 的占用。

缺省设置：1。

19) /proc/sys/net/ipv4/tcp_timestamps

该文件表示是否启用以一种比超时重发更精确的方法（请参阅 RFC 1323）来启用对 RTT 的计算；为了实现更好的性能应该启用这个选项。

缺省设置：1。

20) /proc/sys/net/ipv4/tcp_fack

该文件表示是否打开FACK拥塞避免和快速重传功能。

缺省设置：1。

21) /proc/sys/net/ipv4/tcp_dsack

该文件表示是否允许TCP发送“两个完全相同”的SACK。

缺省设置：1

22) /proc/sys/net/ipv4/tcp_ecn

该文件表示是否打开TCP的直接拥塞通告功能。

缺省设置：0。

23) /proc/sys/net/ipv4/tcp_reordering

该文件表示TCP流中重排序的数据报最大数量。

缺省设置：3。

24) /proc/sys/net/ipv4/tcp_retrans_collapse

该文件表示对于某些有bug的打印机是否提供针对其bug的兼容性。

缺省设置：1。

25) /proc/sys/net/ipv4/tcp_wmem

该文件包含3个整数值，分别是：min，default，max

Min：为TCP socket预留用于发送缓冲的内存最小值。每个TCP socket都可以使用它。

Default：为TCP socket预留用于发送缓冲的内存数量，默认情况下该值会影响其它协议使用的net.core.wmem中default的 值，一般要低于net.core.wmem中default的值。

Max：为TCP socket预留用于发送缓冲的内存最大值。该值不会影响net.core.wmem_max，今天选择参数SO_SNDBUF则不受该值影响。默认值为128K。

缺省设置：4096 16384 131072。

26) /proc/sys/net/ipv4/tcp_rmem

该文件包含3个整数值，分别是：min，default，max

Min：为TCP socket预留用于接收缓冲的内存数量，即使在内存出现紧张情况下TCP socket都至少会有这么多数量的内存用于接收缓冲。

Default：为TCP socket预留用于接收缓冲的内存数量，默认情况下该值影响其它协议使用的 net.core.wmem中default的 值。该值决定了在tcp_adv_win_scale、tcp_app_win和tcp_app_win的默认值情况下，TCP 窗口大小为65535。

Max：为TCP socket预留用于接收缓冲的内存最大值。该值不会影响 net.core.wmem中max的值，今天选择参数 SO_SNDBUF则不受该值影响。

缺省设置：4096 87380 174760。

27) /proc/sys/net/ipv4/tcp_mem

该文件包含3个整数值，分别是：low，pressure，high

Low：当TCP使用了低于该值的内存页面数时，TCP不会考虑释放内存。

Pressure：当TCP使用了超过该值的内存页面数量时，TCP试图稳定其内存使用，进入pressure模式，当内存消耗低于low值时则退出pressure状态。

High：允许所有tcp sockets用于排队缓冲数据报的页面量。

一般情况下这些值是在系统启动时根据系统内存数量计算得到的。

缺省设置：24576 32768 49152。

28) /proc/sys/net/ipv4/tcp_app_win

该文件表示保留max(window/2^tcp_app_win, mss)数量的窗口由于应用缓冲。当为0时表示不需要缓冲。

缺省设置：31。

29) /proc/sys/net/ipv4/tcp_adv_win_scale

该文件表示计算缓冲开销bytes/2^tcp_adv_win_scale(如果tcp_adv_win_scale >; 0)或者bytes-bytes/2^(-tcp_adv_win_scale)(如果tcp_adv_win_scale ）。

缺省设置：2。

2.4 IP Variables

1) /proc/sys/net/ipv4/ip_local_port_range

该文件表示TCP/UDP协议打开的本地端口号。

缺省设置：1024 4999；

建议设置：32768 61000。

2) /proc/sys/net/ipv4/ip_nonlocal_bind

该文件表示是否允许进程邦定到非本地地址。

缺省设置：0。

3) /proc/sys/net/ipv4/ip_dynaddr

该参数通常用于使用拨号连接的情况，可以使系统动能够立即改变ip包的源地址为该ip地址，同时中断原有的tcp对话而用新地址重新发出一个syn请求包，开始新的tcp对话。在使用ip欺骗时，该参数可以立即改变伪装地址为新的ip地址。该文件表示是否允许动态地址，如果该值非0，表示允许；如果该值大于1，内核将通过log记录动态地址重写信息。

缺省设置：0。

4) /proc/sys/net/ipv4/icmp_echo_ignore_all

/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

该文件表示内核是否忽略所有的ICMP ECHO请求，或忽略广播和多播请求。

0，响应请求

1，忽略请求

缺省设置：0；

建议设置：1.

5) /proc/sys/net/ipv4/icmp_ratelimit

6) /proc/sys/net/ipv4/icmp_ratemask

7) /proc/sys/net/ipv4/icmp_ignore_bogus_error_reponses

某些路由器违背RFC1122标准，其对广播帧发送伪造的响应来应答。这种违背行为通常会被以告警的方式记录在系统日志中。如果该选项设置为True，内核不会记录这种警告信息。

缺省设置：0。

8) /proc/sys/net/ipv4/igmp_max_memberships

该文件表示多播组中的最大成员数量。

缺省设置：20。

2.5 Other Configuration

1) /proc/sys/net/ipv4/conf/*/accept_redirects

　　如果主机所在的网段中有两个路由器，你将其中一个设置成了缺省网关，但是该网关在收到你的ip包时发现该ip包必须经过另外一个路由器，这时这个路由器就会给你发一个所谓的“重定向”icmp包，告诉将ip包转发到另外一个路由器。参数值为布尔值，1表示接收这类重定向icmp 信息，0表示忽略。在充当路由器的linux主机上缺省值为0，在一般的linux主机上缺省值为1。建议将其改为0以消除安全性隐患。

2) /proc/sys/net/ipv4/*/accept_source_route

　  是否接受含有源路由信息的ip包。参数值为布尔值，1表示接受，0表示不接受。在充当网关的linux主机上缺省值为1，在一般的linux主机上缺省值为0。从安全性角度出发，建议关闭该功能。

3) /proc/sys/net/ipv4/*/secure_redirects

　  其实所谓的“安全重定向”就是只接受来自网关的“重定向”icmp包。该参数就是用来设置“安全重定向”功能的。参数值为布尔值，1表示启用，0表示禁止，缺省值为启用。

4) /proc/sys/net/ipv4/*/proxy_arp

　  设置是否对网络上的arp包进行中继。参数值为布尔值，1表示中继，0表示忽略，缺省值为0。该参数通常只对充当路由器的linux主机有用。

3.有关防止ip欺骗攻击的内核网络参数

假设有如下的情景：

在缺省状态下，路由器根据包的目的地址进行转发，所以路由器缺省是对来自任何地方的包进行转发的。如上图所示，假如路由器的2.2.2.2接口（也即广 域网接口）接收到一个包，该包的源地址为1.1.1.100（也即为 Intranet地址），虽然这是不可能或者说是不合理的，但是由于路由器的特性，路由器还 是会将这个不合法的包转发到Intranet。从而让黑客有了可乘之机，为其进行ip欺骗攻击打开了方便之门。

幸好，我们可以通过Linux的内核系统参数“反向路径过滤”来防止这种情况，该参数位于/proc/sys/net/ipv4/conf/下的各个子目录中的rp_filter文件 。参数值为整数，可能的值有：

2 － 进行全面的反向路径过滤，推荐在边缘路由器上使用。但是要注意，在复杂的网络环境中，如果使用了静态路由或rip、ospf路由协议时，不推荐使 用该值。

1 － 是该参数的缺省值，它只对直接连接的网络进行反向路径过滤。

0 － 不进行反向路径过滤。

应用实例：

建立如下的脚本，文件名为rp.sh

#/bin/bash  for i in /proc/sys/net/ipv4/conf/*/rp_filter ;   do       echo 2 > $i      done

然后更改文件权限chmod 755 rp.sh

最后执行 ./rp.sh

 

4、针对每一网络接口的内核网络参数

通过针对每一网络接口的内核网络参数，你可以为诸如eth0、eth1等具体的网络接口指

定响应的内核网络参数。

注意：/proc/sys/net/ipv4/conf/all/下的参数将应用于所有的网络接口。

◆1.accept_redirects：该参数位于/proc/sys/net/ipv4/conf/DEV/accept_redirects （DEV表示具体的网络接口），如果你的主机所在的网段中有两个路 由器，你将其中一个设置成了缺省网关，但是该网关在收到你的ip包时发现该ip包必须经过另外一个路由器，这时这个路由器就会给你发一个所谓的“重 定向”icmp包，告诉将ip包转发到另外一个路由器。参数值为布尔值，1表示接收这类重定向 icmp 信息，0表示忽略。在充当路由器的linux主机上缺省值 为0，在一般的linux主机上缺省值为1。建议将其改为0，或者使用“安全重定向”（见下文）以消除安全性隐患。

◆2.log_martians：将包含非法地址信息的ip包记录到内核日志。参数值为布尔值。

应用实例：

上面我们讲过rp_filter反向路径过滤参数，同时我们可以执行下面的语句

echo “1” > /proc/sys/net/ipv4/conf/all/log_martians

然后就可以将进行ip假冒的ip包记录到/var/log/messages。

◆3.forwarding：启用特定网络接口的ip转发功能。参数值为布尔值，1表示进行记录。

应用实例：

echo "1"  > /proc/sys/net/ipv4/conf/eth0/forwarding

◆4.accept_source_route：是否接受含有源路由信息的ip包。参数值为布尔值，1表示接受，0表示不接受。在充当网关的linux主机上缺省值为1，在一般 的linux主机上缺省值为0。从安全性角度出发，建议你关闭该功能。

◆5.secure_redirects：前面我们已经提到过“安全重定向”的概念，其实所谓的“安全重定向”就是只接受来自网关的“重定向”icmp包。该参数就是用 来设置“安全重定向”功能的。参数值为布尔值，1表示启用，0表示禁止，缺省值为启用。

◆6.proxy_arp：设置是否对网络上的arp包进行中继。参数值为布尔值，1表示中继，0表示忽略，缺省值为0。该参数通常只对充当路由器的linux主机有用 。