家喻户晓在默认参数状况下Linux对高并发反对并不好，次要受限于单过程最大关上文件数限度、内核TCP参数方面和IO事件分配机制等。上面就从几方面来调整使Linux零碎可能反对高并发环境。
iptables相干
如非必须，关掉或卸载iptables防火墙，并阻止kernel加载iptables模块。这些模块会影响并发性能。
单过程最大关上文件数限度
个别的发行版，限度单过程最大能够关上1024个文件，这是远远不能满足高并发需要的，调整过程如下：在#号提示符下敲入：
# ulimit –n 65535将root启动的繁多过程的最大能够关上的文件数设置为65535个。如果零碎回显相似于“Operationnotpermitted”之类的话，阐明上述限度批改失败，实际上是因为在中指定的数值超过了Linux系统对该用户关上文件数的软限度或硬限度。因而，就须要批改Linux系统对用户的对于关上文件数的软限度和硬限度。
- 第一步，批改limits.conf文件，并增加：
# vim /etc/security/limits.conf* soft nofile 65535* hard nofile 65535其中'*'号示意批改所有用户的限度；soft或hard指定要批改软限度还是硬限度；65536则指定了想要批改的新的限度值，即最大关上文件数(请留神软限度值要小于或等于硬限度)。批改完后保留文件。
- 第二步，批改/etc/pam.d/login文件，在文件中增加如下行：
# vim /etc/pam.d/loginsessionrequired /lib/security/pam_limits.so这是通知Linux在用户实现零碎登录后，应该调用pam_limits.so模块来设置系统对该用户可应用的各种资源数量的最大限度(包含用户可关上的最大文件数限度)，而pam_limits.so模块就会从/etc/security/limits.conf文件中读取配置来设置这些限度值。批改完后保留此文件。
- 第三步，查看Linux零碎级的最大关上文件数限度，应用如下命令：
# cat/proc/sys/fs/file-max32568这表明这台Linux零碎最多容许同时关上(即蕴含所有用户关上文件数总和)32568个文件，是Linux零碎级硬限度，所有用户级的关上文件数限度都不应超过这个数值。
通常这个零碎级硬限度是Linux零碎在启动时依据零碎硬件资源情况计算出来的最佳的最大同时关上文件数限度，如果没有非凡须要，不应该批改此限度，除非想为用户级关上文件数限度设置超过此限度的值。批改此硬限度的办法是批改/etc/sysctl.conf文件内fs.file-max= 131072 这是让Linux在启动实现后强行将零碎级关上文件数硬限度设置为131072。批改完后保留此文件。
实现上述步骤后重启零碎，个别状况下就能够将Linux系统对指定用户的繁多过程容许同时关上的最大文件数限度设为指定的数值。
如果重启后用ulimit-n命令查看用户可关上文件数限度依然低于上述步骤中设置的最大值，这可能是因为在用户登录脚本/etc/profile中应用ulimit-n命令曾经将用户可同时关上的文件数做了限度。
因为通过ulimit-n批改系统对用户可同时关上文件的最大数限度时，新批改的值只能小于或等于上次ulimit-n设置的值，因而想用此命令增大这个限度值是不可能的。
所以，如果有上述问题存在，就只能去关上/etc/profile脚本文件，在文件中查找是否应用了ulimit-n限度了用户可同时关上的最大文件数量，如果找到，则删除这行命令，或者将其设置的值改为适合的值，而后保留文件，用户退出并从新登录零碎即可。
通过上述步骤，就为反对高并发TCP连贯解决的通信处理程序解除对于关上文件数量方面的零碎限度。
内核TCP参数方面
Linux零碎下，TCP连贯断开后，会以TIME_WAIT状态保留肯定的工夫，而后才会开释端口。当并发申请过多的时候，就会产生大量的TIME_WAIT状态的连贯，无奈及时断开的话，会占用大量的端口资源和服务器资源。这个时候咱们能够优化TCP的内核参数，来及时将TIME_WAIT状态的端口清理掉。
上面介绍的办法只对领有大量TIME_WAIT状态的连贯导致系统资源耗费无效，如果不是这种状况下，成果可能不显著。能够应用netstat命令去查TIME_WAIT状态的连贯状态，输出上面的组合命令，查看以后TCP连贯的状态和对应的连贯数量：
# netstat-n | awk ‘/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}’#这个命令会输入相似上面的后果：LAST_ACK16SYN_RECV348ESTABLISHED70FIN_WAIT1229FIN_WAIT230CLOSING33TIME_WAIT18098咱们只用关怀TIME_WAIT的个数，在这里能够看到，有18000多个TIME_WAIT，这样就占用了18000多个端口。要晓得端口的数量只有65535个，占用一个少一个，会重大的影响到后继的新连贯。这种状况下，咱们就有必要调整下Linux的TCP内核参数，让零碎更快的开释TIME_WAIT连贯。
编辑配置文件:/etc/sysctl.conf，在这个文件中，退出上面的几行内容：
# vim /etc/sysctl.confnet.ipv4.tcp_syncookies= 1net.ipv4.tcp_tw_reuse= 1net.ipv4.tcp_tw_recycle= 1net.ipv4.tcp_fin_timeout= 30输出上面的命令，让内核参数失效：
# sysctl-p简略的阐明下面的参数的含意：
net.ipv4.tcp_syncookies= 1#示意开启SYNCookies。当呈现SYN期待队列溢出时，启用cookies来解决，可防备大量SYN攻打，默认为0，示意敞开；net.ipv4.tcp_tw_reuse= 1#示意开启重用。容许将TIME-WAITsockets从新用于新的TCP连贯，默认为0，示意敞开；net.ipv4.tcp_tw_recycle= 1#示意开启TCP连贯中TIME-WAITsockets的疾速回收，默认为0，示意敞开；net.ipv4.tcp_fin_timeout#批改系統默认的TIMEOUT 工夫。在通过这样的调整之后，除了会进一步晋升服务器的负载能力之外，还可能进攻小流量水平的DoS、CC和SYN攻打。
此外，如果你的连接数自身就很多，咱们能够再优化一下TCP的可应用端口范畴，进一步晋升服务器的并发能力。仍然是往上面的参数文件中，退出上面这些配置：
net.ipv4.tcp_keepalive_time= 1200net.ipv4.ip_local_port_range= 1024 65535net.ipv4.tcp_max_syn_backlog= 8192net.ipv4.tcp_max_tw_buckets= 5000这几个参数，倡议只在流量十分大的服务器上开启，会有显著的成果。个别的流量小的服务器上，没有必要去设置这几个参数。
net.ipv4.tcp_keepalive_time= 1200示意当keepalive起用的时候，TCP发送keepalive音讯的频度。缺省是2小时，改为20分钟。
ip_local_port_range= 1024 65535示意用于向外连贯的端口范畴。缺省状况下很小，改为1024到65535。
net.ipv4.tcp_max_syn_backlog= 8192示意SYN队列的长度，默认为1024，加大队列长度为8192，能够包容更多期待连贯的网络连接数。
net.ipv4.tcp_max_tw_buckets= 5000示意零碎同时放弃TIME_WAIT的最大数量，如果超过这个数字，TIME_WAIT将立即被革除并打印正告信息。默认为180000，改为5000。此项参数能够管制TIME_WAIT的最大数量，只有超出了。
内核其余TCP参数阐明
net.ipv4.tcp_max_syn_backlog= 65535#记录的那些尚未收到客户端确认信息的连贯申请的最大值。对于有128M内存的零碎而言，缺省值是1024，小内存的零碎则是128。net.core.netdev_max_backlog= 32768#每个网络接口接管数据包的速率比内核解决这些包的速率快时，容许送到队列的数据包的最大数目。net.core.somaxconn= 32768例如web利用中listen函数的backlog默认会给咱们内核参数的net.core.somaxconn限度到128，而nginx定义的NGX_LISTEN_BACKLOG默认为511，所以有必要调整这个值。
- net.core.wmem_default= 8388608
- net.core.rmem_default= 8388608
- net.core.rmem_max= 16777216 #最大socket读buffer,可参考的优化值:873200
- net.core.wmem_max= 16777216 #最大socket写buffer,可参考的优化值:873200
net.ipv4.tcp_timestsmps= 0工夫戳能够防止序列号的卷绕。一个1Gbps的链路必定会遇到以前用过的序列号。工夫戳可能让内核承受这种“异样”的数据包。这里须要将其关掉。
net.ipv4.tcp_synack_retries= 2为了关上对端的连贯，内核须要发送一个SYN并附带一个回应后面一个SYN的ACK。也就是所谓三次握手中的第二次握手。这个设置决定了内核放弃连贯之前发送SYN+ACK包的数量。
net.ipv4.tcp_syn_retries= 2在内核放弃建设连贯之前发送SYN包的数量。
#net.ipv4.tcp_tw_len= 1net.ipv4.tcp_tw_reuse= 1开启重用。容许将TIME-WAITsockets从新用于新的TCP连贯。
net.ipv4.tcp_wmem= 8192 436600 873200TCP写buffer,可参考的优化值:8192 436600 873200
net.ipv4.tcp_rmem = 32768 436600 873200TCP读buffer,可参考的优化值:32768 436600 873200
net.ipv4.tcp_mem= 94500000 91500000 92700000同样有3个值,意思是:
- net.ipv4.tcp_mem[0]:低于此值，TCP没有内存压力。
- net.ipv4.tcp_mem[1]:在此值下，进入内存压力阶段。
- net.ipv4.tcp_mem[2]:高于此值，TCP回绝调配socket。上述内存单位是页，而不是字节。可参考的优化值是:7864321048576 1572864
net.ipv4.tcp_max_orphans= 3276800- 零碎中最多有多少个TCP套接字不被关联到任何一个用户文件句柄上。
- 如果超过这个数字，连贯将即刻被复位并打印出正告信息。
- 这个限度仅仅是为了避免简略的DoS攻打，不能过分依附它或者人为地减小这个值，
- 更应该减少这个值(如果减少了内存之后)。
net.ipv4.tcp_fin_timeout= 30如果套接字由本端要求敞开，这个参数决定了它放弃在FIN-WAIT-2状态的工夫。对端能够出错并永远不敞开连贯，甚至意外当机。缺省值是60秒。2.2 内核的通常值是180秒，你能够按这个设置，但要记住的是，即便你的机器是一个轻载的WEB服务器，也有因为大量的死套接字而内存溢出的危险，FIN-WAIT-2的危险性比FIN-WAIT-1要小，因为它最多只能吃掉1.5K内存，然而它们的生存期长些。
同时还波及到一个TCP 拥塞算法的问题，你能够用上面的命令查看本机提供的拥塞算法管制模块：
sysctlnet.ipv4.tcp_available_congestion_control对于几种算法的剖析，详情能够参考下：TCP拥塞控制算法的优缺点、实用环境、性能剖析，比方高延时能够试用hybla，中等延时能够试用htcp算法等。
如果想设置TCP 拥塞算法为hybla
net.ipv4.tcp_congestion_control=hybla额定的，对于内核版高于于3.7.1的，咱们能够开启tcp_fastopen：
net.ipv4.tcp_fastopen= 3IO事件分配机制
在Linux启用高并发TCP连贯，必须确认应用程序是否应用了适合的网络I/O技术和I/O事件分派机制。可用的I/O技术有同步I/O，非阻塞式同步I/O，以及异步I/O。在高TCP并发的情景下，如果应用同步I/O，这会重大阻塞程序的运行，除非为每个TCP连贯的I/O创立一个线程。然而，过多的线程又会因系统对线程的调度造成微小开销。因而，在高TCP并发的情景下应用同步I/O是不可取的，这时能够思考应用非阻塞式同步I/O或异步I/O。非阻塞式同步I/O的技术包含应用select()，poll()，epoll等机制。异步I/O的技术就是应用AIO。
从I/O事件分派机制来看，应用select()是不适合的，因为它所反对的并发连接数无限(通常在1024个以内)。如果思考性能，poll()也是不适合的，只管它能够反对的较高的TCP并发数，然而因为其采纳“轮询”机制，当并发数较高时，其运行效率相当低，并可能存在I/O事件分派不均，导致局部TCP连贯上的I/O呈现“饥饿”景象。而如果应用epoll或AIO，则没有上述问题(晚期Linux内核的AIO技术实现是通过在内核中为每个I/O申请创立一个线程来实现的，这种实现机制在高并发TCP连贯的情景下应用其实也有重大的性能问题。但在最新的Linux内核中，AIO的实现曾经失去改良)。
综上所述，在开发反对高并发TCP连贯的Linux应用程序时，应尽量应用epoll或AIO技术来实现并发的TCP连贯上的I/O管制，这将为晋升程序对高并发TCP连贯的反对提供无效的I/O保障。
通过这样的优化配置之后，服务器的TCP并发解决能力会显著进步。以上配置仅供参考，用于生产环境请依据本人的理论状况调整察看再调整。
原文：https://www.cnblogs.com/txlsz...