通过sysctl调优内核网络参数可提升抗攻击能力与高并发性能：关闭源路由/重定向防劫持；启用SYN Cookie、调大半连接队列、优化TIME_WAIT处理；限制ICMP响应防信息泄露；合理配置conntrack表大小与超时时间。
通过 sysctl 调整内核网络参数，能有效提升系统抵御常见网络攻击（如 SYN Flood、IP 欺骗、连接耗尽）的能力，同时改善高并发场景下的稳定性和响应效率。关键不在于堆砌参数，而是结合实际业务场景，关闭危险默认行为、限制异常流量、强化连接状态管理。
关闭 IP 源路由与重定向，防止路由劫持
Linux 默认允许接收源路由包和 ICMP 重定向，攻击者可借此篡改流量路径或实施中间人攻击。应禁用这些非必要功能：
-
net.ipv4.conf.all.accept_source_route = 0（所有接口拒绝源路由） -
net.ipv4.conf.all.accept_redirects = 0（拒绝 ICMPv4 重定向） -
net.ipv6.conf.all.accept_redirects = 0（同上，适用于 IPv6） -
net.ipv4.conf.all.send_redirects = 0（本机不发送重定向，避免被利用为反射源）
注意：若服务器位于复杂网络中并依赖合法重定向（极少见），需谨慎评估；一般云主机、Web 服务、数据库等场景应强制关闭。
加固 TCP 连接防护，缓解 SYN Flood 和连接耗尽
针对半连接队列溢出、TIME_WAIT 占用过多端口、连接跟踪满等问题，调整以下参数：
-
net.ipv4.tcp_syncookies = 1：启用 SYN Cookie，内核在 SYN 队列满时生成加密 cookie 应答，防止 SYN Flood 导致服务不可用 -
net.ipv4.tcp_max_syn_backlog = 65536：增大半连接队列长度（需配合应用层连接池和负载均衡使用） -
net.ipv4.tcp_fin_timeout = 30：缩短 FIN_WAIT_2 状态超时，加快连接释放 -
net.ipv4.tcp_tw_reuse = 1：允许 TIME_WAIT 套接字在安全前提下复用于新 OUTBOUND 连接（客户端场景有效） -
net.ipv4.ip_local_port_range = "1024 65535"：扩大本地端口范围，缓解端口耗尽
⚠️ 注意：tcp_tw_recycle 已在 4.12+ 内核移除，且在 NAT 环境下会导致连接失败，切勿启用。
限制 ICMP 与广播响应，降低信息泄露与放大攻击风险
ICMP 响应可能暴露系统细节或被用于 Smurf/DNS Amplification 类攻击：
-
net.ipv4.icmp_echo_ignore_broadcasts = 1：忽略广播 ping，防止 ICMP 广播放大 -
net.ipv4.icmp_ignore_bogus_error_responses = 1：丢弃伪造源地址的 ICMP 错误报文 -
net.ipv4.conf.all.log_martians = 1：记录非法 IP 包（如私有地址从公网接口进入），便于审计 -
net.ipv4.conf.all.rp_filter = 2：启用松散反向路径过滤（uRPF），阻止源地址欺骗包
建议搭配 iptables/nftables 对 ICMP 类型做精细控制（如仅放行 echo-request/echo-reply），sysctl 是基础防线，防火墙是补充策略。
调优连接跟踪与内存分配，避免 conntrack 表满导致丢包
启用 conntrack（如使用 NAT、firewalld、kube-proxy）后，连接数激增易触发 nf_conntrack_full 日志及连接中断：
-
net.netfilter.nf_conntrack_max = 131072：根据内存按需调大（每条连接约占用 300–400 字节） -
net.netfilter.nf_conntrack_tcp_timeout_established = 432000：将已建立连接超时从默认 5 天降至 5 天以内（如 5 小时），加快老化 -
net.netfilter.nf_conntrack_tcp_be_liberal = 1：对不严格遵循 TCP 状态机的流量更宽容（某些老旧设备或代理需要）
可通过 conntrack -S 实时查看当前连接数与哈希桶使用率，避免盲目调高 nf_conntrack_max 导致内存压力。
修改后执行 sysctl -p 生效，并写入 /etc/sysctl.conf 或 /etc/sysctl.d/99-secure.conf 持久化。每次调整建议结合 ss -s、netstat -s、dmesg | grep -i "nf_conntrack\|syn" 观察效果，不复杂但容易忽略验证环节。
