运维必备:Linux高并发内核优化手册,极致释放服务器性能
- 2026-07-01 08:15:22
对于业务系统在Linux完成部署后，很多小伙伴采用系统默认配置，直接投产使用。其实，我们还可以针对内核进行深度优化，充分发挥Linux性能，让服务器响应更为快速。本文详细介绍Linux性能优化步骤。
一、用户级/系统最大文件句柄
文件句柄（File Handle)：是Linux给进程打开的对象（文件、设备、sockect等）分配一个ID编号，可用于内核快速寻址、进程间相互通信，提升Linux性能处理效率。系统默认为1024，这个设置在高并发场景会出现too many open files。造成系统内存资源很大，但业务系统总是卡死的问题。
用户级：
（1）修改/etc/security/limits.conf配置
（2）修改内容如下：
注： *代表是所有普通用户，nofile是最大文件句柄数，nproc为最大进程数，soft和hard代表软硬限制，数值代表设置值
* soft nofile 65535
* hard nofile 65535
* soft nproc 65535
* hard nproc 65535
root soft nofile 65535
root hard nofile 65535
系统级：
（1）修改/etc/sysctl.conf配置
（2）修改内容如下：
fs.file-max = 655350系统最大打开文件数，这个数要为单进程的2倍及以上，建议采用10倍。
kernel.pid_max=65535 表示本机可以跑多少个进程，系统默认是32768，偏少。
fs.inotify.max_user_instances = 8192单用户可创建inotify监控实例
fs.inotify.max_user_watches = 524288用户可以同时监控文件数
生效配置：sysctl -p
二、网络高并发内核优化
网络传输层主要是TCP、UDP两种协议栈，现网80%业务采用TCP。本文针对TCP进行内核优化。
（1）编辑/etc/sysctl.conf文件
（2）填写如下内容到文件里面：
net.ipv4.ip_local_port_range = 1024 65535设置端口的可用范围
net.ipv4.tcp_tw_reuse = 1允许新连接复用TIME_WAIT端口，避免出现端口耗尽问题
net.ipv4.tcp_tw_recycle = 0关闭TIME_WAIT快速回收
net.ipv4.tcp_max_tw_buckets = 50000防止TIME_WAIT占满服务器端口和内存
net.ipv4.tcp_syncookies = 1开启防护SYN缓存防攻击
net.ipv4.ip_forward = 1开启路由转发，在docker场景、NAT场景使用。
三、内存内核优化
为了防止OOM、脏页问题，需要对内存内核进行优化，提升内核响应速度。
（1）编辑/etc/sysctl.conf文件
（2）填写如下内容到文件里面：
vm.swappiness = 10设置SWAP交换分区倾向，范围0-100，本文设置为10，尽量不使用交换内存。
vm.dirty_ratio = 20数据写入内存，但是还没刷到硬盘。在脏页达到总内存20%会强制刷入硬盘。
vm.dirty_background_ratio = 10脏页达到总内存10%主动刷入硬盘，不阻塞业务。
vm.dirty_expire_centisecs = 3000脏页在内存>30s进行落盘
vm.dirty_writeback_centisecs = 500每隔5s进行脏页查询
vm.overcommit_memory = 1允许内存超分，数据库、redis场景应用，避免服务启动失败。
vm.overcommit_ratio = 80物理内存给内核预留20%，应用可用80%
vm.nr_hugepages = 2 设置大页内存，固定内存不被置换。数值以内存数据为准。
四、内核安全防控
提升内核层面安全，需要各类安全风险。最近的Dirty Frag漏洞、copyfail漏洞都通过提权获取root权限。
（1）编辑/etc/sysctl.conf文件
（2）填写如下内容到文件里面：
kernel.kptr_restrict = 2禁止内核暴漏内存地址，防止提权利用
# 禁止接收ICMP重定向报文，防止路由篡改
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.default.secure_redirects = 0
# 忽略广播ARP、禁止ARP欺骗
net.ipv4.conf.all.arp_ignore = 1
net.ipv4.conf.all.arp_announce = 2
net.ipv4.icmp_echo_ignore_broadcasts = 1禁止响应广播ping，防止内网扫描、DDOS放大
net.ipv4.icmp_ignore_bogus_error_responses = 1 忽略错误ICMP报文，防畸形包攻击
【总结】
恭喜你成功掌握高性能内核优化策略，评论区有文章总结！觉得好可以关注、点赞、推荐、转发，谢谢！
