linux核心網路參數

原贴：http://www.linuxfans.org/nuke/modules.php?name=News&file=article&op=view&sid=2598

核心網路參數   贴出者为 狗狗 狗狗写著 '核心有很多參數可以調節﹐以適用於不同的狀況。通常﹐ 99% 的安裝﹐使用預設參數就可以了﹐不過﹐與其這樣的話﹐此稱為 Advanced 的 HOWTO 就浪得虛名了﹗ 核心網路參數 (Kernel network parameters) 核心有很多參數可以調節﹐以適用於不同的狀況。通常﹐ 99% 的安裝﹐使用預設參數就可以了﹐不過﹐與其這樣的話﹐此稱為 Advanced 的 HOWTO 就浪得虛名了﹗ 有空請看看 /proc/sys/net﹐或有意外收穫哦。只是﹐剛開始的時候﹐並非所有東西都會寫在這裡﹐我們盡力而為就是了。 12.1 逆向路徑過濾 (Reverse Path Filtering) 預設情況下﹐router 會路由所有東西﹐就算該封包‘顯然’不屬於貴網路的。常見的例子﹐莫過於將私有 IP 泄漏到 internet 上去。假如您有一個界面﹐其上設定的路由為 195.96.96.0/24﹐那您不會預期來自 212.64.94.1 的封包會到達這裡。 許多人都想關閉此一功能﹐因此核心設計者也打開了方便之門。在 /proc 裡面有些檔案﹐透過它們您可以讓核心為您做到這點。此方法被稱為 "逆向路徑過濾(Reverse Path Filtering)"。基本上﹐假如對此封包作出的回應﹐不是循其進入的界面送出去﹐那它就被視之為一個 bogus 封包﹐而被置之不理。 # for i in /proc/sys/net/ipv4/conf/*/rp_filter ; do { echo 2 > $i } done 我們用上面的例子來看看﹐如果一個封包從 eth1 到達 Linux router﹐自稱來自 Office+ISP 這個 subnet﹐那它就會被丟棄。同樣地﹐如果封包來自 Office 這個 subnet﹐卻自稱來自防火牆外部﹐那它也同樣會被丟棄。 上面是完全(full) 逆向路徑過濾。預設是只根據直接相連網路的 IP 進行過濾﹐這時因為完全過濾會打斷所謂的非對稱路(asymmetric routing)情形 (也就是﹐封包從一端進入﹐而從另一端出去﹐例如衛星流量傳送﹐或是您的網路使用動態 (bgp﹑ospf﹑rip)路由。資料從衛星接受碟下傳進來﹐而回應則從正常的專線送回去)。 假如您屬於這種例外(您應該心中有數)﹐那您可以簡單的在衛星數據進入的界面上關閉 rp_filter。如果您想要看看封包是否真的會被丟棄﹐那可以透過同一目錄的 log_martians 檔案﹐告訴核心將之記錄到 syslog 上面去。 # echo 1 >/proc/sys/net/ipv4/conf//log_martians FIXME: 不清楚設定 conf/{default,all}/* 下面的檔案是否足夠﹖ --- martijn 12.2 尚不明確的設定 (Obscure settings) 嗯﹐太多參數其實都可以修改啦。我們會試著將它們儘數羅列出來﹐而且(部份)會寫在Do*****entation/ip-sysctl.txt 中。 其中有些設定的預設值會有不同﹐看您在編譯核心的時候﹐是否以 'Yes' 來回答 'Configure as router and not host' 囉。 一般的 ipv4 (Generic ipv4) 請留意﹐大多數的速率(rate)限制功能都不適用於 loopback 之上﹐所以請勿在本機上進行測試。這個限制受制於所謂的 'jiffies' ﹐且它們硬性的只能使用前述的 token bucket filter。 核心有一個內部時鐘﹐每秒跑 'HZ' 跳(或曰 'jiffies' )。在 intel 上面﹐'HZ' 大概為 100 (譯者註﹕我猜這裡指所謂的 '內頻' 而言吧﹖新的主機板大都支援 133 這個速度)。比方說﹐設定一個 *_rate 檔案為 50 好了﹐則可每秒處理 2 個封包。而 token bucket filter 也可以被設定為﹐如果有足夠的 tokens 存儲的話﹐能讓每一個 burst (瞬增流量)可達 6 個封包。 /proc/sys/net/ipv4/icmp_destunreach_rate 如果核心認為它不能傳送某一封包﹐則將之丟棄﹐同時向封包來源送出一個 ICMP 告知其結果。 /proc/sys/net/ipv4/icmp_echo_ignore_all 對所有封包均不作出 echo 。請勿將預設值設為啟動﹐除非您被利用為一個 DoS 工具的跳站﹐那或許有用。 /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts [Useful] 如果您 ping 網路的廣播位址﹐那所有主機都會做出回應﹐這將是一個非常便利的 dinal-of-servie 工具。將這裡設定為 1 則會忽略這些廣播訊息。 /proc/sys/net/ipv4/icmp_echoreply_rate 送出 echo 回應至任意目的端之速率 /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses FIXME: 有待補充 /proc/sys/net/ipv4/icmp_paramprob_rate FIXME: 有待補充 /proc/sys/net/ipv4/icmp_timeexceed_rate 這可以成為導致 traceroute 出現 '星星(* * *)' 的主因。這裡限制送出 ICMP Time Exceeded 訊息的數目。 /proc/sys/net/ipv4/igmp_max_memberships FIXME: 有待補充 /proc/sys/net/ipv4/inet_peer_gc_maxtime FIXME: 有待補充 /proc/sys/net/ipv4/inet_peer_gc_mintime FIXME: 有待補充 /proc/sys/net/ipv4/inet_peer_maxttl FIXME: 有待補充 /proc/sys/net/ipv4/inet_peer_minttl FIXME: 有待補充 /proc/sys/net/ipv4/inet_peer_threshold FIXME: 有待補充 /proc/sys/net/ipv4/ip_autoconfig FIXME: 有待補充 /proc/sys/net/ipv4/ip_default_ttl 封包的存活期 (TTL)。設為 64 應是安全的。如果您的網路超大的﹐那就提昇此值。千萬不要隨便亂玩 --- 如遇到路由迴圈(routing loop)將導致更嚴重的災難。在某些情形之下﹐ 您甚至會降低此值。 /proc/sys/net/ipv4/ip_dynaddr 假如您要用動態界面位址做 dial-on-deman ﹐那就設定它。一旦您的請求界面起來之後﹐所有看不到回應的本地 TCP socket 都會重新捆綁(rebound)﹐以獲得正確的位址。假如遇到啟動界面的連線自己不工作﹐但再試一次卻又可以的情形﹐設定這個可解決這個問題。 /proc/sys/net/ipv4/ip_forward 是否要核心轉送封包。預設是關閉的。 /proc/sys/net/ipv4/ip_local_port_range 對外連線時所使用的本地埠口範圍。預設值事實上蠻小的﹕1024 到 4999。 /proc/sys/net/ipv4/ip_no_pmtu_disc 如果您要關閉 Path MTU discovery --- 一種在路徑上判定可接受的最大 Maximum Transfer Unit 數值的技術﹐那就設定這裡。 /proc/sys/net/ipv4/ipfrag_high_thresh FIXME: 有待補充 /proc/sys/net/ipv4/ipfrag_low_thresh FIXME: 有待補充 /proc/sys/net/ipv4/ipfrag_time FIXME: 有待補充 /proc/sys/net/ipv4/tcp_abort_on_overflow FIXME: 有待補充 /proc/sys/net/ipv4/tcp_fin_timeout FIXME: 有待補充 /proc/sys/net/ipv4/tcp_keepalive_intvl FIXME: 有待補充 /proc/sys/net/ipv4/tcp_keepalive_probes FIXME: 有待補充 /proc/sys/net/ipv4/tcp_keepalive_time FIXME: 有待補充 /proc/sys/net/ipv4/tcp_max_orphans FIXME: 有待補充 /proc/sys/net/ipv4/tcp_max_syn_backlog FIXME: 有待補充 /proc/sys/net/ipv4/tcp_max_tw_buckets FIXME: 有待補充 /proc/sys/net/ipv4/tcp_orphan_retries FIXME: 有待補充 /proc/sys/net/ipv4/tcp_retrans_collapse FIXME: 有待補充 /proc/sys/net/ipv4/tcp_retries1 FIXME: 有待補充 /proc/sys/net/ipv4/tcp_retries2 FIXME: 有待補充 /proc/sys/net/ipv4/tcp_rfc1337 FIXME: 有待補充 /proc/sys/net/ipv4/tcp_sack 使用 Selective ACK﹐它可以用來找出特定的遺失封包 --- 因而有助於迅速復原。 /proc/sys/net/ipv4/tcp_stdurg FIXME: 有待補充 /proc/sys/net/ipv4/tcp_syn_retries 對於一個新建連線﹐核心要送多少個 SYN 封包數才決定放棄。 /proc/sys/net/ipv4/tcp_synack_retries 為了與另一端建立連線﹐核心會連同 SYN 一起送出 ACK ﹐以確認收到上一個 SYN。這是所謂的三段交握( threeway handshake) 的第二個步驟。這裡決定核心在放棄連線之前所送出的 SYN+ACK 數目。 /proc/sys/net/ipv4/tcp_timestamps Timestamps 用在其它一些東西中﹐可以防範那些偽造的 sequence 號碼。一條 1 gigabit 的線路或許會重遇到帶 out-of-line 數值的舊 sequence 號碼(假如它是由於上次產生的)。Timestamp 會讓它知道這是個 '舊封包'。 /proc/sys/net/ipv4/tcp_tw_recycle FIXME:﹕有待補充 /proc/sys/net/ipv4/tcp_window_scaling 正常來說﹐TCP/IP 可以接受大至 65535 byte 的 windows。對於高速網路﹐這或許還是不夠的。這個 windows scaling 選項則允許接近 bibabyte 的 windows﹐這將有助改善那些高頻寬延遲產品。 逐個設備設定 (Per device settings) DEV 可以只代表一個真實界面﹐也可以是 '全部' 或 '預設值'。而預設值也或許會改變建立的界面設定。 /proc/sys/net/ipv4/conf/DEV/accept_redirects 如果 router 認為您在不適當的使用它(如﹐需要在同一界面上重送封包)﹐那它就會送出一個 ICMP Redirect。這或許會造成輕度的安全風險﹐所以您最好關閉它﹐或是使用 secure redirects。 /proc/sys/net/ipv4/conf/DEV/accept_source_route 此功能並不常用。過去﹐您可以給出一個 IP 位址列表﹐讓它提供此功能。Linux 也可以實踐這個 IP 選項。 /proc/sys/net/ipv4/conf/DEV/bootp_relay FIXME: 有待補充 /proc/sys/net/ipv4/conf/DEV/forwarding FIXME: 有待補充 /proc/sys/net/ipv4/conf/DEV/log_martians 請參考逆向路徑過濾章節。 /proc/sys/net/ipv4/conf/DEV/mc_forwarding 是否在該界面上進行 multicast 轉送。 /proc/sys/net/ipv4/conf/DEV/proxy_arp 如果設為 1﹐那麼所有其它界面都會回應以此界面為目的之 arp 請求。當架設 'ip pseudo bridges' 時相當有用。啟用此功能之前﹐請確定您的 netmasks 要非常正確。 /proc/sys/net/ipv4/conf/DEV/rp_filter 請參考逆向路徑過濾章節。 /proc/sys/net/ipv4/conf/DEV/secure_redirects FIXME: 有待補充 /proc/sys/net/ipv4/conf/DEV/send_redirects 是否要送出前面提到的 redirects。 /proc/sys/net/ipv4/conf/DEV/shared_media FIXME: 有待補充 /proc/sys/net/ipv4/conf/DEV/tag FIXME: 有待補充 鄰接原則 (Neighbor pollicy) DEV 可以只代表一個真實界面﹐也可以是 '全部' 或 '預設值'。而預設值也或許會改變建立的界面設定。'

相关的链结 · 更多相关的 网络技术 · 新闻来源为 Axin 最受欢迎的报导，关於 网络技术: Redhat 8.0 下Gaim0.58 for QQ、MSN完全教程 文章评分 平均分数: 0 投票: 0 请花一秒钟给这篇文章一个分数： 选项   友善列印格式

着作权属於原作者，本站对内容不负任何责任

不允许匿名发表, 请先 注册

Re: 核心網路參數 (分数： 1) 由 liuweihug 于 12月 20 @ 21:42:34 CST (使用者资讯 | 寄出讯息) 怎么我看到的都是乱码啊

Re: 核心網路參數 (分数： 1) 由 kennyang ([email protected]) 于 12月 21 @ 10:07:54 CST (使用者资讯 | 寄出讯息) 好东西要支持,多谢,收下了

Re: 核心網路參數 (分数： 1) 由 BoyFriend 于 12月 21 @ 20:23:26 CST (使用者资讯 | 寄出讯息) 有没有英文原版啊 ？？？

RE:核心網路參數 (分数： 1) 由 飞银 于 1月 08 @ 15:36:59 CST (使用者资讯 | 寄出讯息) 我不懂!!!不好意思啊.

RE:核心網路參數 (分数： 1) 由 Eland_YG 于 1月 08 @ 15:46:45 CST (使用者资讯 | 寄出讯息) 不错的东西 谢谢 楼主~~俺正在找这方面资料呢 ：） 希望能帮上你

RE:核心網路參數 (分数： 1) 由 yccll123 于 2月 26 @ 16:38:17 CST (使用者资讯 | 寄出讯息) 多谢,

RE:核心網路參數 (分数： 1) 由 serpron 于 4月 11 @ 15:51:28 CST (使用者资讯 | 寄出讯息) 真是久汗逢甘露,谢了

RE:核心網路參數 (分数： 1) 由 darking 于 12月 06 @ 10:39:49 CST (使用者资讯 | 寄出讯息)

十分感谢!