Linux网络调优需围绕负载特征进行TCP/IP栈优化与防火墙协同：监听/SYN队列配平、TIME_WAIT可控复用、BBR拥塞控制、conntrack扩容及闭环验证。
Linux网络调优不是简单改几个数字，而是围绕实际负载特征做有针对性的参数收敛与边界加固。重点在TCP/IP栈行为优化和防火墙策略协同，两者缺一不可。
TCP连接管理：应对高并发与短连接风暴
电商大促、API网关、微服务调用等场景下，大量短连接会迅速堆积TIME_WAIT状态，同时SYN请求可能被丢弃。关键不是“压低超时”，而是让队列不溢出、端口可复用。
- 监听与SYN队列必须配平：net.core.somaxconn 和 net.ipv4.tcp_max_syn_backlog 均设为65535，避免accept()阻塞或SYN包被内核静默丢弃
- TIME_WAIT要可控复用，禁用回收：启用 tcp_tw_reuse = 1，但务必设 tcp_tw_recycle = 0（NAT环境会引发连接失败，2025年所有主流云厂商文档已明确弃用）
- FIN释放节奏需收紧：tcp_fin_timeout 设为30秒，配合 tcp_max_tw_buckets = 10000，防端口耗尽而不影响连接可靠性
- 防御SYN Flood：开启 tcp_syncookies = 1，它在队列满时自动启用Cookie机制，不影响正常建连体验
TCP吞吐与延迟：缓冲区与拥塞算法双驱动
大文件传输慢、长距离微服务RTT抖动，往往卡在缓冲区不足或拥塞算法“保守”。需按链路特性配置，而非统一套用最大值。
- 缓冲区设置讲求“三段式”：tcp_rmem 和 tcp_wmem 的 min/default/max 要匹配——min保障小包，default适配中等带宽，max支撑高BDP（带宽×RTT）链路。例如10Gbps + 10ms RTT，理论窗口需 ≥12.5MB，max设16777216（16MB）合理
- 必须启用窗口缩放：tcp_window_scaling = 1，否则TCP窗口上限被锁死在64KB，长肥管道性能直接腰斩
- BBR是当前最优选择：内核4.9+默认支持，用 sysctl -w net.ipv4.tcp_congestion_control=bbr 切换。相比cubic，BBR更稳定抗抖动，适合IDC互联、跨地域微服务
- 关闭空闲慢启动：tcp_slow_start_after_idle = 0，避免长连接空闲后重传突然降速
防火墙与连接跟踪协同防护
iptables/nftables不仅是访问控制，更是连接状态的第一道过滤器。不当配置会放大性能瓶颈，甚至引入隐性丢包。
- nf_conntrack表必须扩容：高并发下默认65536条极易打满，导致新连接被DROP。设 net.netfilter.nf_conntrack_max = 1000000，并调大超时 net.netfilter.nf_conntrack_tcp_timeout_established = 1200（20分钟）
- 反向路径校验（rp_filter）建议开启：net.ipv4.conf.all.rp_filter = 1，防IP欺骗和部分反射攻击，对单网卡服务器无副作用
- ICMP策略要精简：icmp_echo_ignore_broadcasts = 1 和 icmp_ignore_bogus_error_responses = 1 必开，减少无效报文干扰协议栈
- 防火墙规则应前置连接状态匹配：优先用 -m state --state ESTABLISHED,RELATED -j ACCEPT，避免每包遍历全规则链
落地要点与验证方式
调优不是写完sysctl.conf就结束，必须闭环验证。
- 生效命令：sysctl -p 加载配置；检查是否生效用 sysctl net.ipv4.tcp_congestion_control 或 cat /proc/sys/net/core/somaxconn
- 连接数观测：ss -s 查看总体socket统计，watch -n1 'ss -tan | grep TIME_WAIT | wc -l' 监控TIME_WAIT趋势
- 吞吐验证：用 iperf3 测端到端带宽，对比调优前后；用 curl -w "@format.txt" -o /dev/null -s URL 观察HTTP首字节延迟（TTFB）变化
- 防火墙压力测试：用 hping3 发SYN洪泛，观察 conntrack 表使用率（cat /proc/sys/net/netfilter/nf_conntrack_count），确认未达上限
