1、Sysctl命令用来配置与显示在/proc/sys目录中的内核参数．若是想使参数长期保存，能够经过编辑/etc/sysctl.conf文件来实现。linux
命令格式：缓存
sysctl [-n] [-e] -w variable=value服务器
sysctl [-n] [-e] -p (default /etc/sysctl.conf)cookie
sysctl [-n] [-e] –a网络
经常使用参数的意义：socket
-w 临时改变某个指定参数的值，如tcp
# sysctl -w net.ipv4.ip_forward=1编辑器
-a 显示全部的系统参数工具
-p从指定的文件加载系统参数,默认从/etc/sysctl.conf 文件中加载，如：性能
# echo 1 > /proc/sys/net/ipv4/ip_forward
# sysctl -w net.ipv4.ip_forward=1
以上两种方法均可能当即开启路由功能，但若是系统重启，或执行了
# service network restart
命令，所设置的值即会丢失，若是想永久保留配置，能够修改/etc/sysctl.conf文件，将 net.ipv4.ip_forward=0改成net.ipv4.ip_forward=1
2、linux内核参数调整：linux 内核参数调整有两种方式
方法一：修改/proc下内核参数文件内容，不能使用编辑器来修改内核参数文件，理由是因为内核随时可能更改这些文件中的任意一个，另外，这些内核参数文件都是虚拟文件，实际中不存在，所以不能使用编辑器进行编辑，而是使用echo命令，而后从命令行将输出重定向至 /proc 下所选定的文件中。如：将 timeout_timewait 参数设置为30秒：
# echo 30 > /proc/sys/net/ipv4/tcp_fin_timeout
参数修改后当即生效，可是重启系统后，该参数又恢复成默认值。所以，想永久更改内核参数，须要修改/etc/sysctl.conf文件
方法二．修改/etc/sysctl.conf文件。检查sysctl.conf文件，若是已经包含须要修改的参数，则修改该参数的值，若是没有须要修改的参数，在sysctl.conf文件中添加参数。如：
net.ipv4.tcp_fin_timeout=30
保存退出后，能够重启机器使参数生效，若是想使参数立刻生效，也能够执行以下命令：
# sysctl -p
3、sysctl.conf 文件中参数设置及说明
proc/sys/net/core/wmem_max
最大socket写buffer,可参考的优化值:873200
/proc/sys/net/core/rmem_max
最大socket读buffer,可参考的优化值:873200
/proc/sys/net/ipv4/tcp_wmem
TCP写buffer,可参考的优化值: 8192 436600 873200
/proc/sys/net/ipv4/tcp_rmem
TCP读buffer,可参考的优化值: 32768 436600 873200
/proc/sys/net/ipv4/tcp_mem
一样有3个值,意思是:
net.ipv4.tcp_mem[0]:低于此值,TCP没有内存压力.
net.ipv4.tcp_mem[1]:在此值下,进入内存压力阶段.
net.ipv4.tcp_mem[2]:高于此值,TCP拒绝分配socket.
上述内存单位是页,而不是字节.可参考的优化值是:786432 1048576 1572864
/proc/sys/net/core/netdev_max_backlog
进入包的最大设备队列.默认是300,对重负载服务器而言,该值过低,可调整到1000
/proc/sys/net/core/somaxconn
listen()的默认参数,挂起请求的最大数量.默认是128.对繁忙的服务器,增长该值有助于网络性能.可调整到256.
/proc/sys/net/core/optmem_max
socket buffer的最大初始化值,默认10K
/proc/sys/net/ipv4/tcp_max_syn_backlog
进入SYN包的最大请求队列.默认1024.对重负载服务器,可调整到2048
/proc/sys/net/ipv4/tcp_retries2
TCP失败重传次数,默认值15,意味着重传15次才完全放弃.可减小到5,尽早释放内核资源.
/proc/sys/net/ipv4/tcp_keepalive_time
/proc/sys/net/ipv4/tcp_keepalive_intvl
/proc/sys/net/ipv4/tcp_keepalive_probes
这3个参数与TCP KeepAlive有关.默认值是:
tcp_keepalive_time = 7200 seconds (2 hours)
tcp_keepalive_probes = 9
tcp_keepalive_intvl = 75 seconds
意思是若是某个TCP链接在idle 2个小时后,内核才发起probe.若是probe 9次(每次75秒)不成功,内核才完全放弃,认为该链接已失效.对服务器而言,显然上述值太大. 可调整到:
/proc/sys/net/ipv4/tcp_keepalive_time 1800
/proc/sys/net/ipv4/tcp_keepalive_intvl 30
/proc/sys/net/ipv4/tcp_keepalive_probes 3
/proc/sys/net/ipv4/ip_local_port_range
指定端口范围的一个配置,默认是32768 61000,已够大.
net.ipv4.tcp_syncookies = 1
表示开启SYN Cookies。当出现SYN等待队列溢出时，启用cookies来处理，可防范少许SYN攻击，默认为0，表示关闭；
net.ipv4.tcp_tw_reuse = 1
表示开启重用。容许将TIME-WAIT sockets从新用于新的TCP链接，默认为0，表示关闭；
net.ipv4.tcp_tw_recycle = 1
表示开启TCP链接中TIME-WAIT sockets的快速回收，默认为0，表示关闭。
net.ipv4.tcp_fin_timeout = 30
表示若是套接字由本端要求关闭，这个参数决定了它保持在FIN-WAIT-2状态的时间。
net.ipv4.tcp_keepalive_time = 1200
表示当keepalive起用的时候，TCP发送keepalive消息的频度。缺省是2小时，改成20分钟。
net.ipv4.ip_local_port_range = 1024 65000
表示用于向外链接的端口范围。缺省状况下很小：32768到61000，改成1024到65000。
net.ipv4.tcp_max_syn_backlog = 8192
表示SYN队列的长度，默认为1024，加大队列长度为8192，能够容纳更多等待链接的网络链接数。
net.ipv4.tcp_max_tw_buckets = 5000
表示系统同时保持TIME_WAIT套接字的最大数量，若是超过这个数字，TIME_WAIT套接字将马上被清除并打印警告信息。默认为 180000，改成 5000。对于Apache、Nginx等服务器，上几行的参数能够很好地减小TIME_WAIT套接字数量，可是对于Squid，效果却不大。此项参数能够控制TIME_WAIT套接字的最大数量，避免Squid服务器被大量的TIME_WAIT套接字拖死。
Linux上的NAT与iptables
谈起Linux上的NAT，大多数人会跟你提到iptables。缘由是由于iptables是目前在linux上实现NAT的一个很是好的接口。它经过和内核级直接操做网络包，效率和稳定性都很是高。这里简单列举一些NAT相关的iptables实例命令，可能对于大多数实现有多帮助。
这里说明一下，为了节省篇幅，这里把准备工做的命令略去了，仅仅列出核心步骤命令，因此若是你单单执行这些没有实现功能的话，极可能因为准备工做没有作好。若是你对整个命令细节感兴趣的话，能够直接访问个人《如何让你的Linux网关更强大》系列文章，其中对于各个脚本有详细的说明和描述。
# 案例1：实现网关的MASQUERADE
# 具体功能：内网网卡是eth1，外网eth0，使得内网指定本服务作网关能够访问外网
EXTERNAL="eth0"
INTERNAL="eth1"
# 这一步开启ip转发支持，这是NAT实现的前提
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -o $EXTERNAL -j MASQUERADE
# 案例2：实现网关的简单端口映射
# 具体功能：实现外网经过访问网关的外部ip:80，能够直接达到访问私有网络内的一台主机192.168.1.10:80效果
LOCAL_EX_IP=11.22.33.44 #设定网关的外网卡ip，对于多ip状况，参考《如何让你的Linux网关更强大》系列文章
LOCAL_IN_IP=192.168.1.1 #设定网关的内网卡ip
INTERNAL="eth1" #设定内网卡
# 这一步开启ip转发支持，这是NAT实现的前提
echo 1 > /proc/sys/net/ipv4/ip_forward
# 加载须要的ip模块，下面两个是ftp相关的模块，若是有其余特殊需求，也须要加进来
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
# 这一步实现目标地址指向网关外部ip:80的访问都吧目标地址改为192.168.1.10:80
iptables -t nat -A PREROUTING -d $LOCAL_EX_IP -p tcp --dport 80 -j DNAT --to 192.168.1.10
# 这一步实现把目标地址指向192.168.1.10:80的数据包的源地址改为网关本身的本地ip，这里是192.168.1.1
iptables -t nat -A POSTROUTING -d 192.168.1.10 -p tcp --dport 80 -j SNAT --to $LOCAL_IN_IP
# 在FORWARD链上添加到192.168.1.10:80的容许，不然不能实现转发
iptables -A FORWARD -o $INTERNAL -d 192.168.1.10 -p tcp --dport 80 -j ACCEPT
# 经过上面重要的三句话以后，实现的效果是，经过网关的外网ip:80访问，所有转发到内网的192.168.1.10:80端口，实现典型的端口映射
# 特别注意，全部被转发过的数据都是源地址是网关内网ip的数据包，因此192.168.1.10上看到的全部访问都好像是网关发过来的同样，而看不到外部ip
# 一个重要的思想：数据包根据“从哪里来，回哪里去”的策略来走，因此没必要担忧回头数据的问题
# 如今还有一个问题，网关本身访问本身的外网ip:80，是不会被NAT到192.168.1.10的，这不是一个严重的问题，但让人很不爽，解决的方法以下：
iptables -t nat -A OUTPUT -d $LOCAL_EX_IP -p tcp --dport 80 -j DNAT --to 192.168.1.10
获取系统中的NAT信息和诊断错误
了解/proc目录的意义
在Linux系统中，/proc是一个特殊的目录，proc文件系统是一个伪文件系统，它只存在内存当中，而不占用外存空间。它包含当前系统的一些参数（variables）和状态（status）状况。它以文件系统的方式为访问系统内核数据的操做提供接口
经过/proc能够了解到系统当前的一些重要信息，包括磁盘使用状况，内存使用情况，硬件信息，网络使用状况等等，不少系统监控工具（如HotSaNIC）都经过/proc目录获取系统数据。
另外一方面经过直接操做/proc中的参数能够实现系统内核参数的调节，好比是否容许ip转发，syn-cookie是否打开，tcp超时时间等。
得到参数的方式：
第一种：cat /proc/xxx/xxx，如 cat /proc/sys/net/ipv4/conf/all/rp_filter
第二种：sysctl xxx.xxx.xxx，如 sysctl net.ipv4.conf.all.rp_filter
改变参数的方式：
第一种：echo value > /proc/xxx/xxx，如 echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
第二种：sysctl [-w] variable=value，如 sysctl [-w] net.ipv4.conf.all.rp_filter=1
以上设定系统参数的方式只对当前系统有效，重起系统就没了，想要保存下来，须要写入/etc/sysctl.conf文件中
经过执行 man 5 proc能够得到一些关于proc目录的介绍
查看系统中的NAT状况
和NAT相关的系统变量
/proc/slabinfo：内核缓存使用状况统计信息（Kernel slab allocator statistics）
/proc/sys/net/ipv4/ip_conntrack_max：系统支持的最大ipv4链接数，默认65536（事实上这也是理论最大值）
/proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_established 已创建的tcp链接的超时时间，默认432000，也就是5天
和NAT相关的状态值
/proc/net/ip_conntrack：当前的前被跟踪的链接情况，nat翻译表就在这里体现（对于一个网关为主要功能的Linux主机，里面大部分信息是NAT翻译表）
/proc/sys/net/ipv4/ip_local_port_range：本地开放端口范围，这个范围一样会间接限制NAT表规模
# 1. 查看当前系统支持的最大链接数
cat /proc/sys/net/ipv4/ip_conntrack_max
# 值：默认65536，同时这个值和你的内存大小有关，若是内存128M，这个值最大8192，1G以上内存这个值都是默认65536
# 影响：这个值决定了你做为NAT网关的工做能力上限，全部局域网内经过这台网关对外的链接都将占用一个链接，若是这个值过低，将会影响吞吐量
# 2. 查看tcp链接超时时间
cat /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_established
# 值：默认432000（秒），也就是5天
# 影响：这个值过大将致使一些可能已经不用的链接常驻于内存中，占用大量连接资源，从而可能致使NAT ip_conntrack: table full的问题
# 建议：对于NAT负载相对本机的 NAT表大小很紧张的时候，可能须要考虑缩小这个值，以尽早清除链接，保证有可用的链接资源；若是不紧张，没必要修改
# 3. 查看NAT表使用状况（判断NAT表资源是否紧张）
# 执行下面的命令能够查看你的网关中NAT表状况
cat /proc/net/ip_conntrack
# 4. 查看本地开放端口的范围
cat /proc/sys/net/ipv4/ip_local_port_range
# 返回两个值，最小值和最大值
# 下面的命令帮你明确一下NAT表的规模
wc -l /proc/net/ip_conntrack
#或者
grep ip_conntrack /proc/slabinfo | grep -v expect | awk '{print $1 ',' $2;}'
# 下面的命令帮你明确可用的NAT表项，若是这个值比较大，那就说明NAT表资源不紧张
grep ip_conntrack /proc/slabinfo | grep -v expect | awk '{print $1 ',' $3;}'
# 下面的命令帮你统计NAT表中占用端口最多的几个ip，颇有可能这些家伙再作一些bt的事情，嗯bt的事情:-)
cat /proc/net/ip_conntrack | cut -d ' ' -f 10 | cut -d '=' -f 2 | sort | uniq -c | sort -nr | head -n 10
# 上面这个命令有点瑕疵cut -d' ' -f10会由于命令输出有些行缺项而形成统计误差，下面给出一个正确的写法：
cat /proc/net/ip_conntrack | perl -pe s/^.∗?.∗? src/src/g | cut -d ' ' -f1 | cut -d '=' -f2 | sort | uniq -c | sort -nr | head -n 10