sysctl.conf文件详解

 /proc/sys目录下存放着大多数内核参数，并且可以在系统运行时进行更改，不过重新启动机器就会失效。/etc/sysctl.conf是一个允许改变正在运行中的Linux系统的接口，它包含一些TCP/IP堆栈和虚拟内存系统的高级选项，修改内核参数永久生效。也就是说/proc/sys下内核文件与配置文件sysctl.conf中变量存在着对应关系。​

    sysctl 命令格式：

sysctl [-n] [-e] -w variable=value
sysctl [-n] [-e] -p <filename> (default /etc/sysctl.conf)
sysctl [-n] [-e] -a
常用参数的意义：
-w   临时改变某个指定参数的值
-a   显示所有的系统参数
-p   从指定的文件加载系统参数，如不指定即从/etc/sysctl.conf中加载

    如果仅仅是想临时改变某个系统参数的值，可以用两种方法来实现,例如想启用IP路由转发功能：

1) #echo 1 > /proc/sys/net/ipv4/ip_forward
2) #sysctl -w net.ipv4.ip_forward=1

    以上两种方法都可能立即开启路由功能，但如果系统重启，或重启网卡命令，所设置的值即会丢失

    直接通过修改sysctl.conf文件来修改Linux内核参数，可以永久生效，下面是我的配置：

##一般设置
fs.file-max = 1000000
vm.swappiness = 20
kernel.sysrq = 0
kernel.core_uses_pid = 1
kernel.msgmnb = 65536
kernel.msgmax = 65536
kernel.msgmni = 10000
kernel.shmmax = 17179869183
kernel.shmall = 4194304
kernel.sem = 1010 129280 1010 128
vm.zone_reclaim_mode = 0
vm.drop_caches = 1
net.ipv4.ip_forward = 1
net.ipv4.route.gc_timeout = 100
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
net.ipv4.neigh.default.gc_stale_time=120

##开启反向路径过滤
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 0

##处理无源路由的包
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0

##确保无人能修改路由表
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.default.secure_redirects = 0

##限制仅仅是为了防止简单的DoS ***
net.ipv4.tcp_max_orphans = 262144
net.ipv4.tcp_keepalive_probes = 5
net.ipv4.tcp_keepalive_intvl = 15

##应对DDOS***,TCP连接建立设置
net.ipv4.tcp_syn_retries = 1
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 8192

##应对timewait过高,TCP连接断开设置
net.ipv4.tcp_max_tw_buckets = 6000
net.ipv4.tcp_tw_recycle = 0 
net.ipv4.tcp_tw_reuse = 1 
net.ipv4.tcp_timestamps = 0
#net.ipv4.tcp_tw_timeout = 10
net.ipv4.tcp_fin_timeout = 30
net.ipv4.ip_local_port_range =1024 65000
net.ipv4.tcp_keepalive_time = 1200
#net.ipv4.tcp_syncookies = 1
#net.ipv4.tcp_max_syn_backlog = 262144

##内存资源使用相关设置（16G内存为例）
net.core.rmem_default = 8388608 
net.core.wmem_default = 8388608 
net.core.rmem_max = 16777216 
net.core.wmem_max = 16777216 
net.ipv4.tcp_rmem = 4096 436600 16777216
net.ipv4.tcp_wmem = 8192 436600 16777216
net.ipv4.tcp_mem = 2097152 3145728 4194304  

#关闭ipv6
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1
net.ipv6.conf.lo.disable_ipv6 = 1

##使用arp_announce/arp_ignore解决ARP映射问题
net.ipv4.conf.all.arp_announce = 2
net.ipv4.conf.default.arp_announce = 2
net.ipv4.conf.lo.arp_announce = 2
#避免放大***
net.ipv4.icmp_echo_ignore_broadcasts = 1

###其他TCP相关调节
net.core.somaxconn = 262144 
net.core.netdev_max_backlog = 262144
net.ipv4.tcp_sack = 1
net.ipv4.tcp_window_scaling = 1

##开启恶意icmp错误消息保护
net.ipv4.icmp_ignore_bogus_error_responses = 1

##虚拟内存区域
vm.max_map_count = 1000000
kernel.pid_max = 65535

保存文件后，使用以下命令使更改生效：

sudo sysctl -p

解释一下sysctl.conf文件中参数的意义：

##一般设置 

• file-max：这个参数表示进程可以同时打开的最大句柄数，这个参数直接限制最大并发连接数。
• vm.swappiness：linux 会使用硬盘的一部分做为SWAP分区，用来进行进程调度，把当前不用的进程调成‘等待（standby）‘，甚至‘睡眠（sleep）’，一旦要用，再调成‘活动（active）’，睡眠的进程就被分配到SWAP分区，把内存空出来让给‘活动’的进程。如果内存够大，不必太多的使用 SWAP 分区。swappiness=0的时候表示最大限度使用物理内存；swappiness＝100的时候表示积极的使用swap分区，并且把内存上的数据及时的搬运到swap空间里面。默认设置swappiness这个值等于60。
• kernel.sysrq：控制系统调试内核的功能要求。该文件指定的值为非零，则激活键盘上的sysrq按键。这个按键用于给内核传递信息，用于紧急情况下重启系统。当遇到死机或者没有响应的时候，甚至连 tty 都进不去，可以尝试用 SysRq 重启计算机。kernel.tainted 1：加载非GPL module  0：强制加载module 
• kernel.core_uses_pid：可以控制产生的core文件的文件名中是否添加pid作为扩展，如果添加则为1，否则为0
• kernel.msgmnb：单个消息队列中允许的最大字节长度(限制单个消息队列中所有消息包含的字节数之和)
• kernel.msgmax：消息队列中单个消息的最大字节数
• kernel.msgmni：系统中同时运行的消息队列最大的个数，shmmni缺省值4096 足够。 shmmax(bytes) = shmmni(page size, default 4k) * shmall (page的个数）。(注意该参数不是shmmin，shmmin 表示内存段最小大小 ）
• kernel.shmmax：是核心参数中最重要的参数之一，用于定义单个共享内存段的最大值，64位linux系统：可取的最大值为物理内存值-1byte，shmmax设置应足够大，能在一个共享内存段下容纳下整个的SGA，设置的过低可能会导致需要创建多个共享内存段，可能导致系统性能的下降 。如果为16GB物理内存，可取16*1024*1024*1024-1=17179869183
• kernel.shmall：该参数控制可以使用的共享内存的总页数。Linux共享内存页大小为4KB,共享内存段的大小都是共享内存页大小的整数倍。一个共享内存段的最大大小是 16G，那么需要共享内存页数是16GB/4KB=16777216KB /4KB=4194304（页），也就是64Bit系统下16GB物理内存，设置kernel.shmall = 4194304才符合要求(几乎是原来设置2097152的两倍)
• kernel.sem:下面专门说说kernel.sem：对应4个值:SEMMSL、SEMMNS、SEMOPM、SEMMNI  
      SEMMSL: 每个信号集的最大信号数量,数据库最大PROCESS 实例参数的设置值再加上10,Oracle 建议将 SEMMSL 的值设置为不少于 100
      SEMMNS：用于控制整个Linux系统中信号（而不是信号集）的最大数,Oracle建议将SEMMNS设置为：系统中每个数据库的 PROCESSES实例参数设置值的总和，加上最大PROCESSES值的两倍，最后根据系统中Oracle数据库的数量，每个加10 。使用以下计算式来确定在 Linux 系统中可以分配的信号的最大数量。它将是以下两者中较小的一个值：SEMMNS 或 (SEMMSL * SEMMNI)
      SEMOPM： 内核参数用于控制每个semop系统调用可以执行的信号操作的数量。semop系统调用（函数）提供了利用一个 semop系统调用完成多项信号操作的功能。一个信号集能够拥有每个信号集中最大数量的SEMMSL 信号，因此建议设置 SEMOPM 等于SEMMSL。Oracle 建议将 SEMOPM 的值设置为不少于 100 。 
      SEMMNI ：内核参数用于控制整个 Linux 系统中信号集的最大数量。 Oracle 建议将 SEMMNI 的值设置为不少于 100 。
• vm.zone_reclaim_mode：参数只有在启用CONFIG_NUMA选项时才有效,zone_reclaim_mode用来控制在内存域OOM时，如何来回收内存。
• 0：禁止内存域回收，从其他zone分配内存
  1：启用内存域回收
  2：通过回写脏页回收内存
  4：通过swap回收内存
• vm.drop_caches：写入数值可以使内核释放page_cache，dentries和inodes缓存所占的内存。
  1：只释放page_cache
  2：只释放dentries和inodes缓存
  3：释放page_cache、dentries和inodes缓存
• vm.max_map_count: 是一个与内核虚拟内存子系统相关的参数，用于控制进程可以拥有的内存映射区域的最大数量。它通常用于限制一个进程可以打开的文件数量，特别是在使用大量内存映射文件的情况下。在Linux系统上，vm.max_map_count参数的默认值通常是较小的数值，例如65530。然而，对于一些需要大量内存映射的应用程序或者特定的使用场景，可能需要增加该参数的值，以便支持更多的内存映射区域。需要注意的是，修改vm.max_map_count参数的值可能会对系统的性能和资源消耗产生影响，因此在进行修改时应谨慎考虑，并根据实际需求进行调整。此外，对于某些系统，可能需要以管理员权限进行修改。
• net.ipv4.ip_forward：#0：关闭路由转发，1：开启
• net.ipv4.route.gc_timeout:  #路由缓存刷新频率，当一个路由失败后多长时间跳到另一个路由，默认是300。
• net.ipv4.conf.all.send_redirects：允许发送重定向消息。(路由使用)  0：禁止  1：允许
• net.ipv4.neigh.default.gc_stale_time： ARP参数，检查一次相邻层记录的有效性的周期。当相邻层记录失效时，将在给它发送数据前，再解析一次。缺省值是60秒。

   ##开启反向路径过滤

• net.ipv4.conf.all.rp_filter = 1：则是"告诉"kernel加强入站过滤（ingress filtering）和出站过滤（egress filtering）
• net.ipv4.conf.default.rp_filter :是否开启反向路径过滤。1，对于单穴主机和stub网络路由器推荐使用该选项。0，不通过反向路径回溯进行源地址验证。

 ##处理无源路由的包 

• net.ipv4.conf.all.accept_source_route :
• net.ipv4.conf.default.accept_source_route :是否接受含有源路由信息的ip包，接收带有SRR选项的数据报。参数值为布尔值，主机设为0（不接受），路由设为1（接受）。从安全性角度出发，建议你关闭该功能。

   ##限制仅仅是为了防止简单的DoS ***

• net.ipv4.tcp_max_orphans：最大孤儿套接字(orphan sockets)数。这个值表示系统所能处理不属于任何进程的socket数量。如果超过这个数字，没有与用户文件句柄关联的tcp套接字符将立即被复位，同时给出警告信息。当不属于任何进程的socket的数量大于这个值时，dmesg就会看到”too many of orphaned sockets”；当cat /proc/net/sockstat看到的orphans数量达到net.ipv4.tcp_max_orphans的约一半时，就会报：Out of socket memory。一般在系统内存比较充足的情况下，可以增大这个参数的赋值。
• net.ipv4.tcp_keepalive_probes：如果对方不予应答，探测包的发送次数
• net.ipv4.tcp_keepalive_intvl ：当探测没有确认时，重新发送探测的频度。缺省是75秒。

   ##应对DDOS***,TCP连接建立设置 

• net.ipv4.tcp_syn_retries：在内核放弃建立连接之前发送SYN包的数量。表示本机向外发起TCP SYN连接超时重传的次数，不应该高于255；该值仅仅针对外出的连接，对于进来的连接由tcp_retries1控制。
• net.ipv4.tcp_synack_retries：为了打开对端的连接，内核需要发送一个SYN并附带一个回应前面一个SYN的ACK。 也就是所谓三次握手中的第二次握手。这个设置决定了内核放弃连接之前发送SYN+ACK包的数量。
• net.ipv4.tcp_syncookies：表示开启SYN Cookies。当出现SYN等待队列溢出时，启用cookies来处理，可防范少量SYN***，默认为0，表示关闭；
• net.ipv4.tcp_max_syn_backlog：# 这个参数表示TCP三次握手建立阶段接受SYN(尚未收到客户端确认信息)请求队列的最大长度，默认1024,将其设置大一些可以容纳最多等待连接的网络连接数。可以使出现Nginx繁忙来不及accept新连接的情况时，Linux不至于丢失客户端发起的连接请求。对于有128M内存的系统而言，缺省值是1024，小内存的系统则是128

​   ##应对timewait过高,TCP连接断开设置 

• tcp_max_tw_buckets：这个参数表示操作系统允许TIME_WAIT套接字数量的最大值，如果超过这个数字，TIME_WAIT套接字将立刻被清除并打印警告信息。默认是180000,过多TIME_WAIT套接字会使Web服务器变慢。
• net.ipv4.tcp_tw_recycle = 1：表示开启TCP连接中TIME-WAIT sockets的快速收回功能，默认为 0 ，表示关闭。不要开启这个参数，它带来的问题比用处大。
• tcp_tw_reuse：这个参数设置为1,表示允许将TIME-WAIT状态的socket重新用于新的TCP链接。这个对服务器来说很有意义，因为服务器上总会有大量TIME-WAIT状态的连接。
• net.ipv4.tcp_timestamps：时间戳可以避免序列号的卷绕。一个1Gbps的链路肯定会遇到以前用过的序列号。时间戳能够让内核接受这种“异常”的数据包。这里需要将其关掉
• net.ipv4.tcp_tw_timeout:  这个顾名思义就是TCP状态中TIME_WAIT的过期时间，默认情况是60秒。短链接多则收缩TIME_WAIT状态socket的回收时间窗口
• tcp_fin_timeout：这个参数表示当服务器主动关闭连接时，socket保持在FIN-WAIT-2状态的最大时间。
• ip_local_port_range：这个参数定义了在UDP和TCP连接中本地端口的取值范围。
• net.ipv4.tcp_keepalive_time：当keepalive 起用的时候，TCP 发送keepalive 消息的频度。默认是7200 seconds，意思是如果某个TCP连接在idle 2小时后，内核才发起probe。若将其设置得小一点，可以更快地清理无效的连接。

   ##内存资源使用相关设置

    TCP 的性能取决于几个方面的因素。两个最重要的因素是链接带宽（link bandwidth）（报文在网络上传输的速率）和 往返时间（round-trip time） 或 RTT（发送报文与接收到另一端的响应之间的延时）。这两个值确定了称为 Bandwidth Delay  Product（BDP）的内容。

• net.core.rmem_default：为TCP socket预留用于接收缓冲的内存默认值，更大的 BDP 这个大小也应该更大。（单位：字节）
• net.core.wmem_default：为TCP socket预留用于发送缓冲的内存默认值，更大的 BDP 这个大小也应该更大。（单位：字节）
• net.core.rmem_max：为TCP socket预留用于接收缓冲的内存最大值，更大的 BDP 这个大小也应该更大。（单位：字节）
• net.core.wmem_max：为TCP socket预留用于发送缓冲的内存最大值，更大的 BDP 这个大小也应该更大。（单位：字节）
• net.ipv4.tcp_rmem：为自动调优定义socket使用的内存。第一个值是为socket接收缓冲区分配的最少字节数；第二个值是默认值（该值会被rmem_default覆盖），缓冲区在系统负载不重的情况下可以增长到这个值；第三个值是接收缓冲区空间的最大字节数（该值会被rmem_max覆盖）。
• net.ipv4.tcp_wmem：为自动调优定义socket使用的内存。第一个值是为socket发送缓冲区分配的最少字节数；第二个值是默认值（该值会被wmem_default覆盖），缓冲区在系统负载不重的情况下可以增长到这个值；第三个值是发送缓冲区空间的最大字节数（该值会被wmem_max覆盖）。
• net.ipv4.tcp_mem = 2097152 3145728 4194304   确定 TCP 栈应该如何反映内存使用，此处分别为8G、12G、16G；每个值的单位都是内存页（通常是4KB）。
  第一个值是内存使用的下限,低于此值，TCP 没有内存压力
  第二个值是内存压力模式,开始对缓冲区使用应用压力的上限。
  第三个值是内存上限。TCP 拒绝分配socket。上述内存单位是页，而不是字节

   ##使用arp_announce / arp_ignore解决ARP映射问题

• net.ipv4.conf.lo.arp_announce：当一台主机加入到一个新的网络。会发出ARP通告，向网络中其他主机通告自己的ip地址及mac等信息。arp_anounce就用来限制通告的级别。当这台主机有多块网卡或者多个ip地址时，是否通过某一个接口将所有ip地址通告给该网络中的主机。
  0:不作任何限制。从任意接口通告所有ip地址。
  1:尽可能避免通告非本接口上的ip。
  2:只通知本接口的ip。非本接口的ip不予通告。

##其他TCP相关调节  

• net.core.somaxconn :表示socket监听的backlog(监听队列)上限。web应用中listen函数的backlog默认会给我们内核参数的net.core.somaxconn限制到128.限制了每个端口接收新tcp连接侦听队列的大小。对于一个经常处理新连接的高负载 web服务环境来说，默认的 128 太小了。大多数环境这个值建议增加到 1024 或者更多。 服务进程会自己限制侦听队列的大小(例如 sendmail(8) 或者 Apache)，常常在它们的配置文件中有设置队列大小的选项。大的侦听队列对防止拒绝服务 DoS ***也会有所帮助。
• net.core.netdev_max_backlog :当网卡接收数据包的速度大于内核处理的速度时，会有一个队列保存这些数据包。这个参数表示该队列的最大值。
• net.ipv4.tcp_sack : 启用有选择的应答（Selective Acknowledgment），这可以通过有选择地应答乱序接收到的报文来提高性能（这样可以让发送者只发送丢失的报文段）；对于广域网通信来说）这个选项应该启用，但是这会增加对 CPU 的占用。
• net.ipv4.tcp_window_scaling :

一个在网络上流传依旧的sysctl.conf优化配置可供参考

#优化TCP
vi /etc/sysctl.conf

#禁用包过滤功能 
net.ipv4.ip_forward = 0  

#启用源路由核查功能 
net.ipv4.conf.default.rp_filter = 1  

#禁用所有IP源路由 
net.ipv4.conf.default.accept_source_route = 0  

#使用sysrq组合键是了解系统目前运行情况，为安全起见设为0关闭
kernel.sysrq = 0  

#控制core文件的文件名是否添加pid作为扩展
kernel.core_uses_pid = 1  

#开启SYN Cookies，当出现SYN等待队列溢出时，启用cookies来处理
net.ipv4.tcp_syncookies = 1  

#每个消息队列的大小（单位：字节）限制
kernel.msgmnb = 65536  

#整个系统最大消息队列数量限制
kernel.msgmax = 65536  

#单个共享内存段的大小（单位：字节）限制，计算公式64G*1024*1024*1024(字节)
kernel.shmmax = 68719476736  

#所有内存大小（单位：页，1页 = 4Kb），计算公式16G*1024*1024*1024/4KB(页)
kernel.shmall = 4294967296  

#timewait的数量，默认是180000
net.ipv4.tcp_max_tw_buckets = 20000  

#开启有选择的应答
net.ipv4.tcp_sack = 1  

#支持更大的TCP窗口. 如果TCP窗口最大超过65535(64K), 必须设置该数值为1
net.ipv4.tcp_window_scaling = 1  

#TCP读buffer
net.ipv4.tcp_rmem = 4096 131072 1048576

#TCP写buffer
net.ipv4.tcp_wmem = 4096 131072 1048576   

#为TCP socket预留用于发送缓冲的内存默认值（单位：字节）
net.core.wmem_default = 8388608

#为TCP socket预留用于发送缓冲的内存最大值（单位：字节）
net.core.wmem_max = 16777216  

#为TCP socket预留用于接收缓冲的内存默认值（单位：字节）  
net.core.rmem_default = 8388608

#为TCP socket预留用于接收缓冲的内存最大值（单位：字节）
net.core.rmem_max = 16777216

#每个网络接口接收数据包的速率比内核处理这些包的速率快时，允许送到队列的数据包的最大数目
net.core.netdev_max_backlog = 262144  

#web应用中listen函数的backlog默认会给我们内核参数的net.core.somaxconn限制到128，而nginx定义的NGX_LISTEN_BACKLOG默认为511，所以有必要调整这个值
net.core.somaxconn = 262144  

#系统中最多有多少个TCP套接字不被关联到任何一个用户文件句柄上。这个限制仅仅是为了防止简单的DoS***，不能过分依靠它或者人为地减小这个值，更应该增加这个值(如果增加了内存之后)
net.ipv4.tcp_max_orphans = 3276800  

#记录的那些尚未收到客户端确认信息的连接请求的最大值。对于有128M内存的系统而言，缺省值是1024，小内存的系统则是128
net.ipv4.tcp_max_syn_backlog = 262144  

#时间戳可以避免序列号的卷绕。一个1Gbps的链路肯定会遇到以前用过的序列号。时间戳能够让内核接受这种“异常”的数据包。这里需要将其关掉
net.ipv4.tcp_timestamps = 0  

#为了打开对端的连接，内核需要发送一个SYN并附带一个回应前面一个SYN的ACK。也就是所谓三次握手中的第二次握手。这个设置决定了内核放弃连接之前发送SYN+ACK包的数量
net.ipv4.tcp_synack_retries = 1  

#在内核放弃建立连接之前发送SYN包的数量
net.ipv4.tcp_syn_retries = 1  

#开启TCP连接中time_wait sockets的快速回收
net.ipv4.tcp_tw_recycle = 1  

#开启TCP连接复用功能，允许将time_wait sockets重新用于新的TCP连接（主要针对time_wait连接）
net.ipv4.tcp_tw_reuse = 1  

#1st低于此值,TCP没有内存压力,2nd进入内存压力阶段,3rdTCP拒绝分配socket(单位：内存页)
net.ipv4.tcp_mem = 94500000 915000000 927000000   

#如果套接字由本端要求关闭，这个参数决定了它保持在FIN-WAIT-2状态的时间。对端可以出错并永远不关闭连接，甚至意外当机。缺省值是60 秒。2.2 内核的通常值是180秒，你可以按这个设置，但要记住的是，即使你的机器是一个轻载的WEB服务器，也有因为大量的死套接字而内存溢出的风险，FIN- WAIT-2的危险性比FIN-WAIT-1要小，因为它最多只能吃掉1.5K内存，但是它们的生存期长些。
net.ipv4.tcp_fin_timeout = 15  

#表示当keepalive起用的时候，TCP发送keepalive消息的频度（单位：秒）
net.ipv4.tcp_keepalive_time = 30  

#对外连接端口范围
net.ipv4.ip_local_port_range = 2048 65000

#表示文件句柄的最大数量
fs.file-max = 1000000

更多文档参考：​​http://buguoruci.blog.51cto.com/4104173/1255836​​

​​ http://zhaopeiyan.blog.51cto.com/10522430/1969242​​