网络子系统的调优

操作系统安装完毕，就要对网络子系统进行调优。对其它子系统的影响：影响CPU利用率，尤其在有大量TCP连接、块尺寸又非常小时，内存的使用会明显增加。

　　如何预防性能下降

　　如下的sysctl命令用于改变安全设置，但是它也可以防止网络性能的下降。这些命令被设置为缺省值。

　　◆关闭如下参数可以防止黑客对服务器IP地址的攻击

　　sysctl -w net.ipv4.conf.eth0.accept_source_route=0

　　sysctl -w net.ipv4.conf.lo.accept_source_route=0

　　sysctl -w net.ipv4.conf.default.accept_source_route=0

　　sysctl -w net.ipv4.conf.all.accept_source_route=0

　　◆开启TCP SYN cookies，保护服务器避免受syn-flood攻击，包括服务取决denial-of-service (DoS) 或者分布式服务拒绝distributed denial-of-

　　service (DDoS) (仅适用Red Hat Enterprise Linux AS)

　　sysctl -w net.ipv4.tcp_syncookies=1

　　◆以下命令使服务器忽略来自被列入网关的服务器的重定向。因重定向可以被用来进行攻击，所以我们只接受有可靠来源的重定向。

　　sysctl -w net.ipv4.conf.eth0.secure_redirects=1

　　sysctl -w net.ipv4.conf.lo.secure_redirects=1

　　sysctl -w net.ipv4.conf.default.secure_redirects=1

　　sysctl -w net.ipv4.conf.all.secure_redirects=1

　　另外，你可以配置接受或拒绝任何ICMP重定向。ICMP重定向是器传输信息的机制。比如，当网关接收到来自所接网络主机的Internet数据报时，网关可以

　　发送重定向信息到一台主机。网关检查路由表获得下一个网关的地址，第二个网关将数据报路由到目标网络。关闭这些重定向得命令如下：

　　sysctl -w net.ipv4.conf.eth0.accept_redirects=0

　　sysctl -w net.ipv4.conf.lo.accept_redirects=0

　　sysctl -w net.ipv4.conf.default.accept_redirects=0

　　sysctl -w net.ipv4.conf.all.accept_redirects=0

　　◆如果这个服务器不是一台路由器，那么它不会发送重定向，所以可以关闭该功能：

　　sysctl -w net.ipv4.conf.eth0.send_redirects=0

　　sysctl -w net.ipv4.conf.lo.send_redirects=0

　　sysctl -w net.ipv4.conf.default.send_redirects=0

　　sysctl -w net.ipv4.conf.all.send_redirects=0

　　◆配置服务器拒绝接受广播风暴或者smurf 攻击attacks:

　　sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=1

　　◆忽略所有icmp包或者pings:

　　sysctl -w net.ipv4.icmp_echo_ignore_all=1

　　◆有些路由器针对广播祯发送无效的回应，每个都产生警告并在内核产生日志。这些回应可以被忽略：

　　sysctl -w net.ipv4.icmp_ignore_bogus_error_responses=1

　　针对TCP和UDP的调优

　　下边的命令用来对连接数量非常大的服务器进行调优。

　　◆对于同时支持很多连接的服务器，新的连接可以重新使用TIME-WAIT套接字。 这对于Web服务器非常有效：

　　sysctl -w net.ipv4.tcp_tw_reuse=1

　　如果你使用该命令，还要启动TIME-WAIT 套接字状态的快速循环功能：

　　sysctl -w net.ipv4.tcp_tw_recycle=1

　　图Figure 10-7显示出将这些功能启用，连接数量明显降低。因为每个TCP传输都包含远程客户端的信息缓存，所以有利于提高性能。缓存中存放round-trip时

　　间、最大segment大小、拥塞窗口的信息。

　　◆参数tcp_fin_timeout 是套接字关闭时，保持FIN-WAIT-2状态的时间。一个TCP连接以three-segment SYN序列开始， 以three-segment FIN序列结束。均

　　不保留数据。通过改变tcp_fin_timeout的值， 从FIN序列到内存可以空闲出来处理新连接的时间缩短了，使性能得到改进。改变这个值的前要经过认真的监测

　　,避免因为死套接字造成内存溢出。

　　sysctl -w net.ipv4.tcp_fin_timeout=30

　　◆服务器的一个问题是，同一时刻的大量TCP连接里有很多的连接被打开但是没有使用。 TCP的keepalive功能检测到这些连接，缺省情况下，在2小时之后丢掉

　　. 2个小时的可能导致内存过度使用，降低性能。因此改成1800秒(30分钟)是个更好的选择：

　　sysctl -w net.ipv4.tcp_keepalive_time=1800

　　◆对于所有的队列，设置最大系统发送缓存(wmem) 和接收缓存(rmem)到8MB

　　sysctl -w net.ipv4.core.wmem_max=8388608

　　sysctl -w net.ipv4.core.rmem_max=8388608

　　这些设置指定了创建TCP套接字时为其分配的内存容量。 另外，使用如下命令发送和接收缓存。该命令设定了三个值：最小值、初始值和最大值：

　　sysctl -w net.ipv4.tcp_rmem="4096 87380 8388608"

　　sysclt -w net.ipv4.tcp.wmem="4096 87380 8388608"

　　第三个值必须小于或等于wmem_max和rmem_max。

　　◆(SUSE LINUX Enterprise Server适用) 通过保留路径验证来源数据包。缺省情况下，路由器转发所有的数据包，即便是明显的异常网络流量。通过

　　启动和是的过滤功能，丢掉这些数据包：

　　sysctl -w net.ipv4.conf.eth0.rp_filter=1

　　sysctl -w net.ipv4.conf.lo.rp_filter=1

　　sysctl -w net.ipv4.conf.default.rp_filter=1

　　sysctl -w net.ipv4.conf.all.rp_filter=1

　　◆当服务器负载繁重或者是有很多客户端都是超长延时的连接故障，可能会导致half-open连接数量的增加。这对于Web服务器很来讲很平常，尤其有很多拨

　　号客户时。这些half-open连接保存在 backlog connections 队列中。将这个值最少设置为4096 (缺省为1024)。 即便是服务器不接收这类连接，设置这个值

　　还能防止受到denial-of-service (syn-flood)的攻击。

　　sysctl -w net.ipv4.tcp_max_syn_backlog=4096

　　◆设置ipfrag参数，尤其是NFS和Samba服务器。这里，我们可以设置用于重新组合IP碎片的最大、最小内存。当ipfrag_high_thresh值被指派，碎片会被丢

　　弃直到达到ipfrag_low_thres值。

　　当TCP数据包传输发生错误时，开始碎片整理。有效的数据包保留在内存，同时损坏的数据包被转发。例如，设置可用内存范围从256 MB到384 MB

　　sysctl -w net.ipv4.ipfrag_low_thresh=262144

　　sysctl -w net.ipv4.ipfrag_high_thresh=393216