CentOS 7 安装配置优化

CentOS 7 配置优化

参考资料

链接: https://blog.csdn.net/youraccount/article/details/47338535.
链接: https://blog.csdn.net/mshxuyi/article/details/102966500.
链接: https://www.jb51.net/article/133839.htm.
链接: https://my.oschina.net/u/264914/blog/4455972. 注意借鉴iptables过滤机制

修改内核参数

1. 执行导入

// backup sysctl.conf
cp /etc/sysctl.conf /etc/sysctl.conf.bak

cat>>/etc/sysctl.conf<<EOF
#对于一个新建连接，内核要发送多少个 SYN 连接请求才决定放弃。
net.ipv4.tcp_syn_retries = 2

#显示或设定 Linux 核心在回应 SYN 要求时会尝试多少次重新发送初始 SYN,ACK 封包后才决定放弃。
net.ipv4.tcp_synack_retries = 2

#表示当keepalive起用的时候，TCP发送keepalive消息的频度。默认是俩小时。
net.ipv4.tcp_keepalive_time = 1200

#TCP发送keepalive探测以确定该连接已经断开的次数。
net.ipv4.tcp_keepalive_probes = 3

#探测消息发送的频率
net.ipv4.tcp_keepalive_intvl =15

#在丢弃激活(已建立通讯状况)的TCP连接之前﹐需要进行多少次重试。默认15。
net.ipv4.tcp_retries2 = 5

#表示如果套接字由本端要求关闭，这个参数决定了它保持在FIN-WAIT-2状态的时间。
net.ipv4.tcp_fin_timeout = 5

#表示系统同时保持TIME_WAIT套接字的最大数量，默认180000。
net.ipv4.tcp_max_tw_buckets = 36000

#表示开启TCP连接中TIME-WAIT sockets的快速回收，默认为0，表示关闭。非必要不修改
#net.ipv4.tcp_tw_recycle = 1

#表示开启重用。允许将TIME-WAIT sockets重新用于新的TCP连接，默认为0，表示关闭;非必要不修改
#net.ipv4.tcp_tw_reuse = 1

#系统所能处理不属于任何进程的TCP sockets最大数量。
net.ipv4.tcp_max_orphans = 327680

#表示开启SYN Cookies。
net.ipv4.tcp_syncookies = 1

#表示SYN队列的长度
net.ipv4.tcp_max_syn_backlog = 32768

#指定接收发送套接字缓冲区大小的最大值，单位是Byte
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216

#为每个TCP连接分配的读、写缓冲区内存大小，单位是Byte
net.ipv4.tcp_wmem = 4096 212992 16777216
net.ipv4.tcp_rmem = 4096 212992 16777216

#内核分配给TCP连接的内存 单位是Page，1 Page = 4096 Bytes
net.ipv4.tcp_mem = 786432 2097152 3145728

#允许使用的端口;非必要不修改
#net.ipv4.ip_local_port_range = 1024 65500

#路由缓存刷新频率， 当一个路由失败后多长时间跳到另一个默认是300
net.ipv4.route.gc_timeout = 100

#定义了系统中每一个端口最大的监听队列的长度
net.core.somaxconn = 32768

#该参数决定了, 每个网络接口接收数据包的速率比内核处理这些包的速率快时，允许送到队列的数据包的最大数目
net.core.netdev_max_backlog = 32768

#该参数决定了系统中所允许的文件句柄最大数目，文件句柄设置代表linux系统中可以打开的文件的数量。
fs.file-max = 6815744

# 增加 inotify 的相关配置，解决tail: inotify 资源耗尽的错误
# 默认128
fs.inotify.max_user_instances = 12800

# 默认8192
fs.inotify.max_user_watches = 819200


# Redis 必须使用参数
# 1表示内核允许分配所有的物理内存，而不管当前的内存状态如何,默认0。
vm.overcommit_memory = 1

# Redis 建议使用参数
# 物理内存使用90%，才开始使用swap,默认60，也可以设置为0，优先使用100%物理内存
vm.swappiness = 10

# 大于100将更积极的回收cache，默认100，
vm.vfs_cache_pressure = 100


# ES 使用参数。表示进程可以拥有的内存映射区域的最大数量。它通常用于限制一个进程可以打开的文件数量。
vm.max_map_count = 655360


#以下参数是对iptables防火墙的优化，防火墙不开会提示，可以忽略不理
#在内核内存中netfilter可以同时处理的“任务”
#net.nf_conntrack_max = 65536
#net.netfilter.nf_conntrack_max=65536
#
##设置tcp确认超时时间 300秒，默认 432000 秒（5天）
#net.netfilter.nf_conntrack_tcp_timeout_established=300
#
##设置tcp等待时间 60秒，超过60秒自动放弃，默认120秒
#net.netfilter.nf_conntrack_tcp_timeout_time_wait = 60
#
##设置tcp关闭等待时间60秒，超过60秒自动关闭，默认60秒
#net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
#
##设置tcp fin状态的超时时间为120秒,超过该时间自动关闭，默认120秒
#net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 120

EOF

2. 参数生效

[root@centos7-80 etc]# sysctl -p

显示结果

net.ipv4.tcp_syn_retries = 2
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_keepalive_time = 1200
net.ipv4.tcp_keepalive_probes = 3
net.ipv4.tcp_keepalive_intvl = 15
net.ipv4.tcp_retries2 = 5
net.ipv4.tcp_fin_timeout = 5
net.ipv4.tcp_max_tw_buckets = 36000
net.ipv4.tcp_max_orphans = 327680
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 32768
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216
net.ipv4.tcp_wmem = 4096 212992 16777216
net.ipv4.tcp_rmem = 4096 212992 16777216
net.ipv4.tcp_mem = 786432 2097152 3145728
net.ipv4.route.gc_timeout = 100
net.core.somaxconn = 32768
net.core.netdev_max_backlog = 32768
fs.file-max = 6815744
fs.inotify.max_user_instances = 12800
fs.inotify.max_user_watches = 819200
vm.overcommit_memory = 1
vm.swappiness = 10
vm.vfs_cache_pressure = 100
vm.max_map_count = 655360
//本例中未开启防火墙
sysctl: cannot stat /proc/sys/net/nf_conntrack_max: 没有那个文件或目录
sysctl: cannot stat /proc/sys/net/netfilter/nf_conntrack_max: 没有那个文件或目录
sysctl: cannot stat /proc/sys/net/netfilter/nf_conntrack_tcp_timeout_established: 没有那个文件或目录
sysctl: cannot stat /proc/sys/net/netfilter/nf_conntrack_tcp_timeout_time_wait: 没有那个文件或目录
sysctl: cannot stat /proc/sys/net/netfilter/nf_conntrack_tcp_timeout_close_wait: 没有那个文件或目录
sysctl: cannot stat /proc/sys/net/netfilter/nf_conntrack_tcp_timeout_fin_wait: 没有那个文件或目录

修改资源限制

1. 修改limit.conf

cp /etc/security/limits.conf /etc/security/limits.conf.bak
cat>>/etc/security/limits.conf <<EOF
* soft nproc 655350
* hard nproc 655350
* soft nofile 655350
* hard nofile 655350
EOF

2. 重启系统检查

init 6
ulimit -a

3.不重启可以设置

ulimit   -u	 655350
ulimit   -n	 655350

显示结果

[root@centos7-80 ~]# ulimit -a
core file size          (blocks, -c) 0
data seg size           (kbytes, -d) unlimited
scheduling priority             (-e) 0
file size               (blocks, -f) unlimited
pending signals                 (-i) 7253
max locked memory       (kbytes, -l) 64
max memory size         (kbytes, -m) unlimited
open files                      (-n) 655350
pipe size            (512 bytes, -p) 8
POSIX message queues     (bytes, -q) 819200
real-time priority              (-r) 0
stack size              (kbytes, -s) 8192
cpu time               (seconds, -t) unlimited
max user processes              (-u) unlimited
virtual memory          (kbytes, -v) unlimited
file locks                      (-x) unlimited

3. 补充说明
   如果是CentOS 6，修改普通用户最大进程数量，需要修改/etc/security/limits.d/90-nproc.conf

vi /etc/security/limits.d/90-nproc.conf 

修改添加一下内容

* soft nproc 655350 
* hard nproc 655350