网络内容总结（感谢原创）

1、Linux内核参数优化

     内核参数是用户和系统内核之间交互的一个接口，通过这个接口，用户可以在系统运行的同时动态更新内核配置，而这些内核参数是通过Linux Proc文件系统存在的。因此，可以通过调整Proc文件系统达到优化Linux性能的目的。

一、sysctl命令

二、linux内核参数调整：linux 内核参数调整有两种方式

三、sysctl.conf 文件中参数设置及说明

net.ipv4.ip_local_port_range = 1024 65536  
net.core.rmem_max=16777216 
net.core.wmem_max=16777216 
net.ipv4.tcp_rmem=4096 87380 16777216  
net.ipv4.tcp_wmem=4096 65536 16777216  
net.ipv4.tcp_fin_timeout = 30 
net.core.netdev_max_backlog = 30000 
net.ipv4.tcp_no_metrics_save=1 
net.core.somaxconn = 262144 
net.ipv4.tcp_syncookies = 1 
net.ipv4.tcp_max_orphans = 262144 
net.ipv4.tcp_max_syn_backlog = 262144 
net.ipv4.tcp_synack_retries = 2 
net.ipv4.tcp_syn_retries = 2 

2、Linux文件系统优化

     ulimit -a 用来显示当前的各种用户进程限制。
　　Linux对于每个用户，系统限制其最大进程数。为提高性能，可以根据设备资源情况，设置各linux 用户的最大进程数，下面我把某linux用户的最大进程数设为10000个：
　　ulimit -u 10000
　　对于需要做许多 socket 连接并使它们处于打开状态的 Java 应用程序而言，最好通过使用 ulimit -n xx 修改每个进程可打开的文件数，缺省值是 1024。
　　ulimit -n 4096 将每个进程可以打开的文件数目加大到4096，缺省为1024
　　其他建议设置成无限制(unlimited)的一些重要设置是：
　　数据段长度：ulimit -d unlimited
　　最大内存大小：ulimit -m unlimited
　　堆栈大小：ulimit -s unlimited
　　CPU 时间：ulimit -t unlimited
　　虚拟内存：ulimit -v unlimited
　　暂时地，适用于通过 ulimit 命令登录 shell 会话期间。永久地，通过将一个相应的 ulimit 语句添加到由登录 shell 读取的文件中， 即特定于 shell 的用户资源文件，如：
　　1)、解除 Linux 系统的最大进程数和最大文件打开数限制：
　　vi /etc/security/limits.conf
　　# 添加如下的行
　　* soft noproc 11000
　　* hard noproc 11000
　　* soft nofile 4100
　　* hard nofile 4100
　　说明：* 代表针对所有用户
　　noproc 是代表最大进程数
　　nofile 是代表最大文件打开数

　　2)、让 SSH 接受 Login 程式的登入，方便在 ssh 客户端查看 ulimit -a 资源限制：
　　a、vi /etc/ssh/sshd_config
　　把 UserLogin 的值改为 yes，并把 # 注释去掉
　　b、重启 sshd 服务：
　　/etc/init.d/sshd restart
　　3)、修改所有 linux 用户的环境变量文件：
　　vi /etc/profile
　　ulimit -u 10000
　　ulimit -n 4096
　　ulimit -d unlimited
　　ulimit -m unlimied
　　ulimit -s unlimited
　　ulimit -t unlimited
　　ulimit -v unlimited
　　/**************************************

　　有时候在程序里面需要打开多个文件，进行分析，系统一般默认数量是1024，(用ulimit -a可以看到)对于正常使用是够了，但是对于程序来讲，就太少了。
　　修改2个文件。
　　1./etc/security/limits.conf
　　vi /etc/security/limits.conf
　　加上：
　　* soft nofile 8192
　　* hard nofile 20480
　　2./etc/pam.d/login
　　session required /lib/security/pam_limits.so
　　**********
　　另外确保/etc/pam.d/system-auth文件有下面内容
　　session required /lib/security/$ISA/pam_limits.so
　　这一行确保系统会执行这个限制。
　　***********
　　3.一般用户的。bash_profile
　　#ulimit -n 1024
　　重新登陆ok

3、Linux内存调优

　　内存子系统的调优不是很容易，需要不停地监测来保证内存的改变不会对服务器的其他子系统造成负面影响。如果要改变虚拟内存参数(在/proc/sys/vm)，建议您每次只改变一个参数然后监测效果。对与虚拟内存的调整包括以下几个项目：


　　配置Linux内核如何更新dirty buffers到磁盘。磁盘缓冲区用于暂存磁盘的数据。相对于内存来讲，磁盘缓冲区的速度很慢。因此，如果服务器使用这类内存，性能会成问题。当缓冲区内的数据完全dirty，使用：sysctl -w vm.bdflush="30 500 0 0 500 3000 60 20 0"

　　vm.bdflush有9个参数，但是建议您只改变其中的3个：

　　1 nfract, 为排队写入磁盘前，bdflush daemon允许的缓冲区最大百分比

　　2 ndirty, 为bdflush即刻写的最大缓冲区的值。如果这个值很大，bdflush需要更多的时间完成磁盘的数据更新。

　　7 nfract_sync, 发生同步前，缓冲区变dirty的最大百分比


　　配置kswapd daemon，指定Linux的内存页数量

　　sysctl -w vm.kswapd="1024 32 64"


　　三个参数的描述如下：

　　– tries_base 相当于内核每次所的“页”的数量的四倍。对于有很多交换信息的系统，增加这个值可以改进性能。

　　– tries_min 是每次kswapd swaps出去的pages的最小数量。

　　– swap_cluster 是kswapd 即刻写如的pages数量。数值小，会提高磁盘I/O的性能;数值大可能也会对请求队列产生负面影响。

　　如果要对这些参数进行改动，请使用工具vmstat检查对性能的影响。其它可以改进性能的虚拟内存参数为：

　　_ buffermem

　　_ freepages

　　_ overcommit_memory

　　_ page-cluster

　　_ pagecache

　　_ pagetable_cache

4、Linux网络调优

操作系统安装完毕，就要对网络子系统进行调优。对其它子系统的影响：影响CPU利用率，尤其在有大量TCP连接、块尺寸又非常小时，内存的使用会

明显增加。

如何预防性能下降


　　如下的sysctl命令用于改变安全设置，但是它也可以防止网络性能的下降。这些命令被设置为缺省值。


　　◆关闭如下参数可以防止黑客对服务器IP地址的攻击


　　sysctl -w net.ipv4.conf.eth0.accept_source_route=0


　　sysctl -w net.ipv4.conf.lo.accept_source_route=0


　　sysctl -w net.ipv4.conf.default.accept_source_route=0


　　sysctl -w net.ipv4.conf.all.accept_source_route=0


　　◆开启TCP SYN cookies，保护服务器避免受syn-flood攻击，包括服务取决denial-of-service (DoS) 或者分布式服务拒绝distributed denial-of-


　　service (DDoS) (仅适用Red Hat Enterprise Linux AS)


　　sysctl -w net.ipv4.tcp_syncookies=1


　　◆以下命令使服务器忽略来自被列入网关的服务器的重定向。因重定向可以被用来进行攻击，所以我们只接受有可靠来源的重定向。


　　sysctl -w net.ipv4.conf.eth0.secure_redirects=1


　　sysctl -w net.ipv4.conf.lo.secure_redirects=1


　　sysctl -w net.ipv4.conf.default.secure_redirects=1


　　sysctl -w net.ipv4.conf.all.secure_redirects=1


　　另外，你可以配置接受或拒绝任何ICMP重定向。ICMP重定向是器传输信息的机制。比如，当网关接收到来自所接网络主机的Internet数据报时，网关可以发送重定向信息到一台主机。网关检查路由表获得下一个网关的地址，第二个网关将数据报路由到目标网络。关闭这些重定向得命令如下：


　　sysctl -w net.ipv4.conf.eth0.accept_redirects=0


　　sysctl -w net.ipv4.conf.lo.accept_redirects=0


　　sysctl -w net.ipv4.conf.default.accept_redirects=0


　　sysctl -w net.ipv4.conf.all.accept_redirects=0


　　◆如果这个服务器不是一台路由器，那么它不会发送重定向，所以可以关闭该功能：


　　sysctl -w net.ipv4.conf.eth0.send_redirects=0


　　sysctl -w net.ipv4.conf.lo.send_redirects=0


　　sysctl -w net.ipv4.conf.default.send_redirects=0


　　sysctl -w net.ipv4.conf.all.send_redirects=0


　　◆配置服务器拒绝接受广播风暴或者smurf 攻击attacks:


　　sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=1


　　◆忽略所有icmp包或者pings:


　　sysctl -w net.ipv4.icmp_echo_ignore_all=1


　　◆有些路由器针对广播祯发送无效的回应，每个都产生警告并在内核产生日志。这些回应可以被忽略：


　　sysctl -w net.ipv4.icmp_ignore_bogus_error_responses=1


　　针对TCP和UDP的调优


　　下边的命令用来对连接数量非常大的服务器进行调优。


　　◆对于同时支持很多连接的服务器，新的连接可以重新使用TIME-WAIT套接字。 这对于Web服务器非常有效：


　　sysctl -w net.ipv4.tcp_tw_reuse=1


　　如果你使用该命令，还要启动TIME-WAIT 套接字状态的快速循环功能：


　　sysctl -w net.ipv4.tcp_tw_recycle=1


　　图Figure 10-7显示出将这些功能启用，连接数量明显降低。因为每个TCP传输都包含远程客户端的信息缓存，所以有利于提高性能。缓存中存放round-trip时间、最大segment大小、拥塞窗口的信息。


　　◆参数tcp_fin_timeout 是套接字关闭时，保持FIN-WAIT-2状态的时间。一个TCP连接以three-segment SYN序列开始， 以three-segment FIN序列结束。均不保留数据。通过改变tcp_fin_timeout的值， 从FIN序列到内存可以空闲出来处理新连接的时间缩短了，使性能得到改进。改变这个值的前要经过认真的监测,避免因为死套接字造成内存溢出。


　　sysctl -w net.ipv4.tcp_fin_timeout=30


　　◆服务器的一个问题是，同一时刻的大量TCP连接里有很多的连接被打开但是没有使用。 TCP的keepalive功能检测到这些连接，缺省情况下，在2小时之后丢掉. 2个小时的可能导致内存过度使用，降低性能。因此改成1800秒(30分钟)是个更好的选择：


　　sysctl -w net.ipv4.tcp_keepalive_time=1800


　　◆对于所有的队列，设置最大系统发送缓存(wmem) 和接收缓存(rmem)到8MB


　　sysctl -w net.ipv4.core.wmem_max=8388608


　　sysctl -w net.ipv4.core.rmem_max=8388608


　　这些设置指定了创建TCP套接字时为其分配的内存容量。 另外，使用如下命令发送和接收缓存。该命令设定了三个值：最小值、初始值和最大值：


　　sysctl -w net.ipv4.tcp_rmem="4096 87380 8388608"


　　sysclt -w net.ipv4.tcp.wmem="4096 87380 8388608"


　　第三个值必须小于或等于wmem_max和rmem_max。


　　◆(SUSE LINUX Enterprise Server适用) 通过保留路径验证来源数据包。缺省情况下，路由器转发所有的数据包，即便是明显的异常网络流量。通过启动和是的过滤功能，丢掉这些数据包：


　　sysctl -w net.ipv4.conf.eth0.rp_filter=1


　　sysctl -w net.ipv4.conf.lo.rp_filter=1


　　sysctl -w net.ipv4.conf.default.rp_filter=1


　　sysctl -w net.ipv4.conf.all.rp_filter=1


　　◆当服务器负载繁重或者是有很多客户端都是超长延时的连接故障，可能会导致half-open连接数量的增加。这对于Web服务器很来讲很平常，尤其有很多拨号客户时。这些half-open连接保存在 backlog connections 队列中。将这个值最少设置为4096 (缺省为1024)。 即便是服务器不接收这类连接，设置这个值还能防止受到denial-of-service (syn-flood)的攻击。


　　sysctl -w net.ipv4.tcp_max_syn_backlog=4096


　　◆设置ipfrag参数，尤其是NFS和Samba服务器。这里，我们可以设置用于重新组合IP碎片的最大、最小内存。当ipfrag_high_thresh值被指派，碎片会被丢弃直到达到ipfrag_low_thres值。当TCP数据包传输发生错误时，开始碎片整理。有效的数据包保留在内存，同时损坏的数据包被转发。例如，设置可用内存范围从256 MB到384 MB


　　sysctl -w net.ipv4.ipfrag_low_thresh=262144


　　sysctl -w net.ipv4.ipfrag_high_thresh=393216

5、Linux网络安全设置

TCP SYN Flood 攻击


　　TCP SYN Flood是一种常见，而且有效的远端(远程)拒绝服务(Denial of Service)攻击方式，它透过一定的操作破坏TCP三次握手建立正常连接，占用并耗费系统资源，使得提供TCP服务的主机系统无法正常工作。由於TCP SYN Flood是透过网路底层对服务器Server进行攻击的，它可以在任意改变自己的网路IP地址的同时，不被网路上的其他设备所识别，这样就给防范网路犯罪部门追查犯罪来源造成很大的困难。系统检查


　　一般情况下，可以一些简单步骤进行检查，来判断系统是否正在遭受TCP SYN Flood攻击。


　　1、服务端无法提供正常的TCP服务。连接请求被拒绝或超时。

　　2、透过 netstat -an 命令检查系统，发现有大量的SYN_RECV连接状态。

　　3. iptables的设置，引用自CU防止同步包洪水(Sync Flood)


　　# iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT

　　也有人写作

　　#iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT

　　--limit 1/s 限制syn并发数每秒1次，可以根据自己的需要修改

　　防止各种端口扫描

　　# iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT

　　Ping洪水攻击(Ping of Death)

　　# iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

Linux上的NAT与iptables