TCP调优需结合业务特征调整内核参数：如tcp_rmem/wmem适配BDP，禁用空闲慢启动，切换BBR拥塞算法，缩短fin_timeout；用tc+HTB/SFQ实现带宽分级管控；通过ss、/proc/net/snmp等工具验证连接质量、带宽效果与系统负载。
TCP参数调优：从内核机制出发
Linux内核的TCP栈默认配置面向通用场景，高延迟、高丢包或大带宽网络下容易出现吞吐不足、连接堆积、重传激增等问题。调优不是盲目改数字，而是结合业务流量特征（如短连接/长连接、小包/大包、RTT范围）调整关键参数。
常用可调参数及作用：
- net.ipv4.tcp_rmem / tcp_wmem：分别控制接收/发送缓冲区的最小、默认、最大值（单位字节）。对高带宽延时积（BDP）链路，需增大默认和最大值，避免窗口受限。例如千兆网+40ms RTT，BDP ≈ 5MB，建议设为“4096 262144 8388608”
- net.ipv4.tcp_slow_start_after_idle：设为0可禁用空闲后慢启动，适合持续流式传输场景，避免突发流量被限速
- net.ipv4.tcp_congestion_control：切换拥塞算法。BBR（v2更稳）在高丢包率下比Cubic更能保吞吐；Cubic仍适合低延迟局域网
- net.ipv4.tcp_fin_timeout：FIN_WAIT_2状态超时，默认60秒。短连接服务可降至30甚至15，加快端口回收
带宽管理实践：用tc实现精细限速与优先级调度
单纯靠应用层限速不可靠，内核级流量控制（traffic control, tc）才是生产环境保障SLA的核心手段。tc基于qdisc（队列规则）工作，推荐组合使用HTB（分层令牌桶）+ SFQ（随机公平队列）。
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
典型操作步骤：
- 先清空原有规则：
tc qdisc del dev eth0 root - 挂载HTB根qdisc并设总带宽上限（如1Gbps）：
tc qdisc add dev eth0 root handle 1: htb default 30 - 添加主类（1:1），分配1Gbps总带宽：
tc class add dev eth0 parent 1: classid 1:1 htb rate 1gbps - 为SSH（端口22）单独划出高优先级子类（1:10），保证运维通道不卡：
tc class add dev eth0 parent 1:1 classid 1:10 htb rate 10mbps ceil 100mbps prio 1 - 用u32过滤器将SSH流量导向该类：
tc filter add dev eth0 protocol ip parent 1:0 u32 match ip dport 22 0xffff flowid 1:10 - 剩余流量走默认类（1:30），配合SFQ防队列独占：
tc qdisc add dev eth0 parent 1:30 sfq perturb 10
验证与监控：别让调优变成“玄学”
所有参数修改必须可测、可观、可回滚。重点看三类指标：
-
连接质量：用
ss -i查单连接rwnd/cwnd/ssthresh，确认接收窗口是否撑开；用cat /proc/net/snmp | grep Tcp关注RetransSegs、EstabResets增长速率 -
带宽效果：用
iftop -P或iptraf-ng实时看端口级流量分布；用tc -s class show dev eth0查各HTB类的实际bytes/packets统计 -
系统负载：监控
/proc/net/netstat中TcpExt中SYNFlood、ListenOverflows等字段，避免调参引发新瓶颈
建议将关键参数和监控命令写成check脚本，每次变更后自动运行对比基线。
