Linux TCP: различия между версиями
Sirmax (обсуждение | вклад) (Новая страница: «=Настройка Linux= ==TL; DR== <B>/etc/sysctl.conf</B> <PRE> net.ipv4.conf.all.accept_redirects = 0 net.ipv4.conf.all.secure_redirects = 0 net.ipv4.conf.a…») |
Sirmax (обсуждение | вклад) |
||
(не показаны 3 промежуточные версии этого же участника) | |||
Строка 1: | Строка 1: | ||
+ | [[Категория:Linux]] |
||
+ | [[Категория:Networking]] |
||
+ | [[Категория:TCP]] |
||
+ | [[Категория:SYSCTL]] |
||
=Настройка Linux= |
=Настройка Linux= |
||
Строка 51: | Строка 55: | ||
</PRE> |
</PRE> |
||
+ | ==accept_redirects== |
||
− | А теперь о каждой опции более детально. |
||
+ | <PRE> |
||
net.ipv4.conf.all.accept_redirects = 0 |
net.ipv4.conf.all.accept_redirects = 0 |
||
net.ipv4.conf.all.secure_redirects = 0 |
net.ipv4.conf.all.secure_redirects = 0 |
||
net.ipv4.conf.all.send_redirects = 0 |
net.ipv4.conf.all.send_redirects = 0 |
||
+ | </PRE> |
||
− | Не принимать и не отправлять ICMP-пакеты перенаправления. ICMP-перенаправления могут быть использованы злоумышленником для изменения таблиц маршрутизации. Целесообразно выставить в «0″. Единица имеет смысл только для хостов, использующихся в качестве маршрутизаторов. |
||
+ | Не принимать и не отправлять ICMP-пакеты перенаправления. |
||
+ | ICMP-перенаправления могут быть использованы злоумышленником для изменения таблиц маршрутизации. |
||
+ | Целесообразно выставить в 0 |
||
+ | Единица имеет смысл только для хостов, использующихся в качестве маршрутизаторов. |
||
+ | ==tcp_max_orphans== |
||
+ | <PRE> |
||
net.ipv4.tcp_max_orphans = 65536 |
net.ipv4.tcp_max_orphans = 65536 |
||
+ | </PRE> |
||
− | Целочисленное значение параметра tcp_max_orphans определяет максимальное число допустимых в системе сокетов TCP, не связанных каким-либо идентификатором пользовательского файла (user file handle). При достижении порогового значения “осиротевшие” (orphan) соединения незамедлительно сбрасываются с выдачей предупреждения. Этот порог помогает предотвращать только простые атаки DoS. Не следует уменьшать пороговое значение (скорее увеличить его в соответствии с требованиями системы – например, после добавления памяти. Каждое orphan-соединение поглощает около 64 Кбайт несбрасываемой на диск (unswappable) памяти. |
||
+ | Целочисленное значение параметра tcp_max_orphans определяет максимальное число допустимых в системе сокетов TCP, |
||
+ | не связанных каким-либо идентификатором пользовательского файла (user file handle). |
||
+ | При достижении порогового значения “осиротевшие” (orphan) соединения незамедлительно |
||
+ | сбрасываются с выдачей предупреждения. |
||
+ | Этот порог помогает предотвращать только простые атаки DoS. |
||
+ | Не следует уменьшать пороговое значение (скорее увеличить его в соответствии с требованиями системы – например, после добавления памяти. |
||
+ | Каждое orphan-соединение поглощает около 64 Кбайт несбрасываемой на диск (unswappable) памяти. |
||
+ | |||
+ | ==.tcp_fin_timeout== |
||
+ | <PRE> |
||
net.ipv4.tcp_fin_timeout = 10 |
net.ipv4.tcp_fin_timeout = 10 |
||
+ | </PRE> |
||
− | Параметр tcp_fin_timeout определяет время сохранения сокета в состоянии FIN-WAIT-2 после его закрытия локальной стороной. Партнер может не закрыть это соединение никогда, поэтому следует закрыть его по своей инициативе по истечении тайм-аута. По умолчанию тайм-аут составляет 60 секунд. В ядрах серии 2.2 обычно использовалось значение 180 секунд и вы можете сохранить это значение, но не следует забывать, что на загруженных WEB-серверах вы рискуете израсходовать много памяти на сохранение полуразорванных мертвых соединений. Сокеты в состоянии FIN-WAIT-2 менее опасны, нежели FIN-WAIT-1, поскольку поглощают не более 1,5 Кбайт памяти, но они могут существовать дольше. |
||
+ | Параметр tcp_fin_timeout определяет время сохранения сокета в состоянии FIN-WAIT-2 после |
||
+ | его закрытия локальной стороной. Партнер может не закрыть это соединение никогда, поэтому |
||
+ | следует закрыть его по своей инициативе по истечении тайм-аута. По умолчанию тайм-аут |
||
+ | составляет 60 секунд. В ядрах серии 2.2 обычно использовалось значение 180 секунд и вы |
||
+ | можете сохранить это значение, но не следует забывать, что на загруженных WEB-серверах |
||
+ | вы рискуете израсходовать много памяти на сохранение полуразорванных мертвых соединений. |
||
+ | Сокеты в состоянии FIN-WAIT-2 менее опасны, нежели FIN-WAIT-1, поскольку поглощают не |
||
+ | более 1,5 Кбайт памяти, но они могут существовать дольше. |
||
+ | ==tcp_keepalive_time== |
||
+ | <PRE> |
||
net.ipv4.tcp_keepalive_time = 1800 |
net.ipv4.tcp_keepalive_time = 1800 |
||
net.ipv4.tcp_keepalive_intvl = 15 |
net.ipv4.tcp_keepalive_intvl = 15 |
||
net.ipv4.tcp_keepalive_probes = 5 |
net.ipv4.tcp_keepalive_probes = 5 |
||
+ | </PRE> |
||
tcp_keepalive_time Переменная определяет как часто следует проверять соединение, если оно давно не используется. Значение переменной имеет смысл только для тех сокетов, которые были созданы с флагом SO_KEEPALIVE. Целочисленная переменная tcp_keepalive_intvl определяет интервал передачи проб. Произведение tcp_keepalive_probes * tcp_keepalive_intvl определяет время, по истечении которого соединение будет разорвано при отсутствии откликов. По умолчанию установлен интервал 75 секунд, т.е., время разрыва соединения при отсутствии откликов составит приблизительно 11 минут. |
tcp_keepalive_time Переменная определяет как часто следует проверять соединение, если оно давно не используется. Значение переменной имеет смысл только для тех сокетов, которые были созданы с флагом SO_KEEPALIVE. Целочисленная переменная tcp_keepalive_intvl определяет интервал передачи проб. Произведение tcp_keepalive_probes * tcp_keepalive_intvl определяет время, по истечении которого соединение будет разорвано при отсутствии откликов. По умолчанию установлен интервал 75 секунд, т.е., время разрыва соединения при отсутствии откликов составит приблизительно 11 минут. |
||
+ | |||
+ | <PRE> |
||
net.ipv4.tcp_max_syn_backlog = 4096 |
net.ipv4.tcp_max_syn_backlog = 4096 |
||
+ | </PRE> |
||
Целочисленное значение в файле tcp_max_syn_backlog определяет максимальное число запоминаемых запросов на соединение, для которых не было получено подтверждения от подключающегося клиента. Если на сервере возникают перегрузки, можно попытаться увеличить это значение. |
Целочисленное значение в файле tcp_max_syn_backlog определяет максимальное число запоминаемых запросов на соединение, для которых не было получено подтверждения от подключающегося клиента. Если на сервере возникают перегрузки, можно попытаться увеличить это значение. |
||
+ | <PRE> |
||
net.ipv4.tcp_synack_retries = 1 |
net.ipv4.tcp_synack_retries = 1 |
||
+ | </PRE> |
||
Целочисленное значение (1 байт) tcp_synack_retries определяет число попыток повтора передачи пакетов SYNACK для пассивных соединений TCP. Число попыток не должно превышать 255. Значение 5 соответствует приблизительно 180 секундам на выполнение попыток организации соединения. |
Целочисленное значение (1 байт) tcp_synack_retries определяет число попыток повтора передачи пакетов SYNACK для пассивных соединений TCP. Число попыток не должно превышать 255. Значение 5 соответствует приблизительно 180 секундам на выполнение попыток организации соединения. |
||
+ | <PRE> |
||
net.ipv4.tcp_mem = 50576 64768 98152 |
net.ipv4.tcp_mem = 50576 64768 98152 |
||
+ | </PRE> |
||
Векторная (минимум, режим нагрузки, максимум) переменная в файле tcp_mem cодержит общие настройки потребления памяти для протокола TCP. Эта переменная измеряется в страницах (обычно 4Кб), а не байтах. |
Векторная (минимум, режим нагрузки, максимум) переменная в файле tcp_mem cодержит общие настройки потребления памяти для протокола TCP. Эта переменная измеряется в страницах (обычно 4Кб), а не байтах. |
||
Минимум: пока общий размер памяти для структур протокола TCP менее этого количества страниц, операционная система ничего не делает. |
Минимум: пока общий размер памяти для структур протокола TCP менее этого количества страниц, операционная система ничего не делает. |
||
Режим нагрузки: как только количество страниц памяти, выделенное для работы протокола TCP, достигает этого значения, активируется режим работы под нагрузкой, при котором операционная система старается ограничивать выделение памяти. Этот режим сохраняется до тех пор, пока потребление памяти опять не достигнет минимального уровня. |
Режим нагрузки: как только количество страниц памяти, выделенное для работы протокола TCP, достигает этого значения, активируется режим работы под нагрузкой, при котором операционная система старается ограничивать выделение памяти. Этот режим сохраняется до тех пор, пока потребление памяти опять не достигнет минимального уровня. |
||
Максимум: максимальное количество страниц памяти, разрешенное для всех TCP сокетов. |
Максимум: максимальное количество страниц памяти, разрешенное для всех TCP сокетов. |
||
+ | <PRE> |
||
net.ipv4.tcp_rmem = 4096 87380 16777216 |
net.ipv4.tcp_rmem = 4096 87380 16777216 |
||
+ | </PRE> |
||
Векторная (минимум, по умолчанию, максимум) переменная в файле tcp_rmem содержит 3 целых числа, определяющих размер приемного буфера сокетов TCP. |
Векторная (минимум, по умолчанию, максимум) переменная в файле tcp_rmem содержит 3 целых числа, определяющих размер приемного буфера сокетов TCP. |
||
Минимум: каждый сокет TCP имеет право использовать эту память по факту своего создания. Возможность использования такого буфера гарантируется даже при достижении порога ограничения (moderate memory pressure). Размер минимального буфера по умолчанию составляет 8 Кбайт (8192). |
Минимум: каждый сокет TCP имеет право использовать эту память по факту своего создания. Возможность использования такого буфера гарантируется даже при достижении порога ограничения (moderate memory pressure). Размер минимального буфера по умолчанию составляет 8 Кбайт (8192). |
||
Значение по умолчанию: количество памяти, допустимое для буфера передачи сокета TCP по умолчанию. Это значение применяется взамен параметра /proc/sys/net/core/rmem_default, используемого другими протоколами. Значение используемого по умолчанию буфера обычно (по умолчанию) составляет 87830 байт. Это определяет размер окна 65535 с заданным по умолчанию значением tcp_adv_win_scale и tcp_app_win = 0, несколько меньший, нежели определяет принятое по умолчанию значение tcp_app_win. |
Значение по умолчанию: количество памяти, допустимое для буфера передачи сокета TCP по умолчанию. Это значение применяется взамен параметра /proc/sys/net/core/rmem_default, используемого другими протоколами. Значение используемого по умолчанию буфера обычно (по умолчанию) составляет 87830 байт. Это определяет размер окна 65535 с заданным по умолчанию значением tcp_adv_win_scale и tcp_app_win = 0, несколько меньший, нежели определяет принятое по умолчанию значение tcp_app_win. |
||
Максимум: максимальный размер буфера, который может быть автоматически выделен для приема сокету TCP. Это значение не отменяет максимума, заданного в файле /proc/sys/net/core/rmem_max. При «статическом» выделении памяти с помощью SO_RCVBUF этот параметр не имеет значения. |
Максимум: максимальный размер буфера, который может быть автоматически выделен для приема сокету TCP. Это значение не отменяет максимума, заданного в файле /proc/sys/net/core/rmem_max. При «статическом» выделении памяти с помощью SO_RCVBUF этот параметр не имеет значения. |
||
+ | <PRE> |
||
net.ipv4.tcp_wmem = 4096 65536 16777216 |
net.ipv4.tcp_wmem = 4096 65536 16777216 |
||
+ | </PRE> |
||
Векторная переменная в файле tcp_wmem содержит 3 целочисленных значения, определяющих минимальное, принятое по умолчанию и максимальное количество памяти, резервируемой для буферов передачи сокета TCP. |
Векторная переменная в файле tcp_wmem содержит 3 целочисленных значения, определяющих минимальное, принятое по умолчанию и максимальное количество памяти, резервируемой для буферов передачи сокета TCP. |
||
Минимум: каждый сокет TCP имеет право использовать эту память по факту своего создания. Размер минимального буфера по умолчанию составляет 4 Кбайт (4096) |
Минимум: каждый сокет TCP имеет право использовать эту память по факту своего создания. Размер минимального буфера по умолчанию составляет 4 Кбайт (4096) |
||
Значение по умолчанию: количество памяти, допустимое для буфера передачи сокета TCP по умолчанию. Это значение применяется взамен параметра /proc/sys/net/core/wmem_default, используемого другими протоколами и обычно меньше, чем /proc/sys/net/core/wmem_default. Размер принятого по умолчанию буфера обычно (по умолчанию) составляет 16 Кбайт (16384) |
Значение по умолчанию: количество памяти, допустимое для буфера передачи сокета TCP по умолчанию. Это значение применяется взамен параметра /proc/sys/net/core/wmem_default, используемого другими протоколами и обычно меньше, чем /proc/sys/net/core/wmem_default. Размер принятого по умолчанию буфера обычно (по умолчанию) составляет 16 Кбайт (16384) |
||
Максимум: максимальное количество памяти, которое может быть автоматически выделено для буфера передачи сокета TCP. Это значение не отменяет максимум, заданный в файле /proc/sys/net/core/wmem_max. При «статическом» выделении памяти с помощью SO_SNDBUF этот параметр не имеет значения. |
Максимум: максимальное количество памяти, которое может быть автоматически выделено для буфера передачи сокета TCP. Это значение не отменяет максимум, заданный в файле /proc/sys/net/core/wmem_max. При «статическом» выделении памяти с помощью SO_SNDBUF этот параметр не имеет значения. |
||
+ | <PRE> |
||
net.ipv4.tcp_orphan_retries = 0 |
net.ipv4.tcp_orphan_retries = 0 |
||
+ | </PRE> |
||
Целочисленной значение tcp_orphan_retries определяет число неудачных попыток, после которого уничтожается соединение TCP, закрытое на локальной стороне. По умолчанию используется значение 7, соответствующее приблизительно периоду от 50 секунд до 16минут в зависимости от RTO. На сильно загруженных WEB-серверах имеет смысл уменьшить значение этого параметра, поскольку закрытые соединения могут поглощать достаточно много ресурсов. |
Целочисленной значение tcp_orphan_retries определяет число неудачных попыток, после которого уничтожается соединение TCP, закрытое на локальной стороне. По умолчанию используется значение 7, соответствующее приблизительно периоду от 50 секунд до 16минут в зависимости от RTO. На сильно загруженных WEB-серверах имеет смысл уменьшить значение этого параметра, поскольку закрытые соединения могут поглощать достаточно много ресурсов. |
||
+ | <PRE> |
||
net.ipv4.tcp_syncookies = 0 |
net.ipv4.tcp_syncookies = 0 |
||
+ | </PRE> |
||
Согласно рекомендациям разработчиков ядра, этот режим лучше отключить. |
Согласно рекомендациям разработчиков ядра, этот режим лучше отключить. |
||
+ | <PRE> |
||
net.ipv4.netfilter.ip_conntrack_max = 16777216 |
net.ipv4.netfilter.ip_conntrack_max = 16777216 |
||
+ | </PRE> |
||
Максимальное количество соединений для работы механизма connection tracking (используется, например, iptables). При слишком маленьких значениях ядро начинает отвергать входящие подключения с соответствующей записью в системном логе. |
Максимальное количество соединений для работы механизма connection tracking (используется, например, iptables). При слишком маленьких значениях ядро начинает отвергать входящие подключения с соответствующей записью в системном логе. |
||
+ | <PRE> |
||
net.ipv4.tcp_timestamps = 1 |
net.ipv4.tcp_timestamps = 1 |
||
+ | </PRE> |
||
+ | |||
Разрешает временные метки протокола TCP. Их наличие позволяет управлять работой протокола в условиях серьезных нагрузок (см. tcp_congestion_control). |
Разрешает временные метки протокола TCP. Их наличие позволяет управлять работой протокола в условиях серьезных нагрузок (см. tcp_congestion_control). |
||
+ | <PRE> |
||
net.ipv4.tcp_sack = 1 |
net.ipv4.tcp_sack = 1 |
||
+ | </PRE> |
||
Разрешить выборочные подтверждения протокола TCP. Опция необходима для эффективного использования всей доступной пропускной способности некоторых сетей. |
Разрешить выборочные подтверждения протокола TCP. Опция необходима для эффективного использования всей доступной пропускной способности некоторых сетей. |
||
+ | <PRE> |
||
net.ipv4.tcp_congestion_control = htcp |
net.ipv4.tcp_congestion_control = htcp |
||
+ | </PRE> |
||
Протокол, используемый для управления нагрузкой в сетях TCP. bic и cubic реализации, используемые по умолчанию, содержат баги в большинстве версий ядра RedHat и ее клонов. Рекомендуется использовать htcp. |
Протокол, используемый для управления нагрузкой в сетях TCP. bic и cubic реализации, используемые по умолчанию, содержат баги в большинстве версий ядра RedHat и ее клонов. Рекомендуется использовать htcp. |
||
+ | <PRE> |
||
net.ipv4.tcp_no_metrics_save = 1 |
net.ipv4.tcp_no_metrics_save = 1 |
||
+ | </PRE> |
||
Не сохранять результаты измерений TCP соединения в кеше при его закрытии. В некоторых случаях помогает повысить производительность. |
Не сохранять результаты измерений TCP соединения в кеше при его закрытии. В некоторых случаях помогает повысить производительность. |
||
+ | <PRE> |
||
net.ipv4.route.flush = 1 |
net.ipv4.route.flush = 1 |
||
+ | </PRE> |
||
Актуально для ядер 2.4. По странной причине в ядрах 2.4, если в рамках TCP сессии произошел повтор передачи с уменьшенным размером окна, все соединения с данным хостом в следующие 10 минут будут иметь именно этот уменьшенный размер окна. Данная настройка позволяет этого избежать. |
Актуально для ядер 2.4. По странной причине в ядрах 2.4, если в рамках TCP сессии произошел повтор передачи с уменьшенным размером окна, все соединения с данным хостом в следующие 10 минут будут иметь именно этот уменьшенный размер окна. Данная настройка позволяет этого избежать. |
||
+ | <PRE> |
||
net.ipv4.conf.all.rp_filter = 1 |
net.ipv4.conf.all.rp_filter = 1 |
||
net.ipv4.conf.lo.rp_filter = 1 |
net.ipv4.conf.lo.rp_filter = 1 |
||
net.ipv4.conf.eth0.rp_filter = 1 |
net.ipv4.conf.eth0.rp_filter = 1 |
||
net.ipv4.conf.default.rp_filter = 1 |
net.ipv4.conf.default.rp_filter = 1 |
||
+ | </PRE> |
||
Активируем защиту от IP-спуфинга. |
Активируем защиту от IP-спуфинга. |
||
+ | <PRE> |
||
net.ipv4.conf.all.accept_source_route = 0 |
net.ipv4.conf.all.accept_source_route = 0 |
||
net.ipv4.conf.lo.accept_source_route = 0 |
net.ipv4.conf.lo.accept_source_route = 0 |
||
net.ipv4.conf.eth0.accept_source_route = 0 |
net.ipv4.conf.eth0.accept_source_route = 0 |
||
net.ipv4.conf.default.accept_source_route = 0 |
net.ipv4.conf.default.accept_source_route = 0 |
||
+ | <PRE> |
||
Запрещаем маршрутизацию от источника. |
Запрещаем маршрутизацию от источника. |
||
+ | <PRE> |
||
net.ipv4.ip_local_port_range = 1024 65535 |
net.ipv4.ip_local_port_range = 1024 65535 |
||
+ | </PRE> |
||
Увеличиваем диапазон локальных портов, доступных для установки исходящих подключений |
Увеличиваем диапазон локальных портов, доступных для установки исходящих подключений |
||
+ | <PRE> |
||
net.ipv4.tcp_tw_reuse = 1 |
net.ipv4.tcp_tw_reuse = 1 |
||
+ | </PRE> |
||
Разрешаем повторное использование TIME-WAIT сокетов в случаях, если протокол считает это безопасным. |
Разрешаем повторное использование TIME-WAIT сокетов в случаях, если протокол считает это безопасным. |
||
+ | <PRE> |
||
net.ipv4.tcp_window_scaling = 1 |
net.ipv4.tcp_window_scaling = 1 |
||
+ | </PRE> |
||
Разрешаем динамическое изменение размера окна TCP стека |
Разрешаем динамическое изменение размера окна TCP стека |
||
+ | <PRE> |
||
net.ipv4.tcp_rfc1337 = 1 |
net.ipv4.tcp_rfc1337 = 1 |
||
+ | </PRE> |
||
Защищаемся от TIME_WAIT атак. |
Защищаемся от TIME_WAIT атак. |
||
+ | <PRE> |
||
net.ipv4.ip_forward = 0 |
net.ipv4.ip_forward = 0 |
||
+ | </PRE> |
||
Запрещаем переадресацию пакетов, поскольку мы не роутер. |
Запрещаем переадресацию пакетов, поскольку мы не роутер. |
||
+ | <PRE> |
||
net.ipv4.icmp_echo_ignore_broadcasts = 1 |
net.ipv4.icmp_echo_ignore_broadcasts = 1 |
||
+ | </PRE> |
||
Не отвечаем на ICMP ECHO запросы, переданные широковещательными пакетами |
Не отвечаем на ICMP ECHO запросы, переданные широковещательными пакетами |
||
+ | <PRE> |
||
net.ipv4.icmp_echo_ignore_all = 1 |
net.ipv4.icmp_echo_ignore_all = 1 |
||
+ | </PRE> |
||
Можно вообще не отвечать на ICMP ECHO запросы (сервер не будет пинговаться) |
Можно вообще не отвечать на ICMP ECHO запросы (сервер не будет пинговаться) |
||
+ | <PRE> |
||
net.ipv4.icmp_ignore_bogus_error_responses = 1 |
net.ipv4.icmp_ignore_bogus_error_responses = 1 |
||
+ | </PRE> |
||
Не отвечаем на ошибочно сформированные сообщения |
Не отвечаем на ошибочно сформированные сообщения |
||
+ | <PRE> |
||
net.core.somaxconn = 65535 |
net.core.somaxconn = 65535 |
||
+ | </PRE> |
||
Максимальное число открытых сокетов, ждущих соединения. Имеет смысл увеличить значение по умолчанию. |
Максимальное число открытых сокетов, ждущих соединения. Имеет смысл увеличить значение по умолчанию. |
||
+ | <PRE> |
||
net.core.netdev_max_backlog = 1000 |
net.core.netdev_max_backlog = 1000 |
||
+ | </PRE> |
||
Параметр определяет максимальное количество пакетов в очереди на обработку, если интерфейс получает пакеты быстрее, чем ядро может их обработать. |
Параметр определяет максимальное количество пакетов в очереди на обработку, если интерфейс получает пакеты быстрее, чем ядро может их обработать. |
||
+ | <PRE> |
||
net.core.rmem_default = 65536 |
net.core.rmem_default = 65536 |
||
+ | </PRE> |
||
Размер буфера приема данных по умолчанию для всех соединений. |
Размер буфера приема данных по умолчанию для всех соединений. |
||
+ | <PRE> |
||
net.core.wmem_default = 65536 |
net.core.wmem_default = 65536 |
||
+ | </PRE> |
||
Размер буфера передачи данных по умолчанию для всех соединений. |
Размер буфера передачи данных по умолчанию для всех соединений. |
||
+ | <PRE> |
||
net.core.rmem_max = 16777216 |
net.core.rmem_max = 16777216 |
||
+ | </PRE> |
||
Максимальный размер буфера приема данных для всех соединений. |
Максимальный размер буфера приема данных для всех соединений. |
||
+ | <PRE> |
||
net.core.wmem_max = 16777216 |
net.core.wmem_max = 16777216 |
||
+ | </PRE> |
||
Максимальный размер буфера передачи данных для всех соединений. |
Максимальный размер буфера передачи данных для всех соединений. |
||
− | Это всё. |
||
− | Удачи! |
||
− | P.S. Количество соединений обычно можно подсчитать с помощью |
||
− | wc -l /proc/net/ip_conntrack |
Текущая версия на 10:01, 24 апреля 2019
Настройка Linux
TL; DR
/etc/sysctl.conf
net.ipv4.conf.all.accept_redirects = 0 net.ipv4.conf.all.secure_redirects = 0 net.ipv4.conf.all.send_redirects = 0 net.ipv4.tcp_max_orphans = 65536 net.ipv4.tcp_fin_timeout = 10 net.ipv4.tcp_keepalive_time = 1800 net.ipv4.tcp_keepalive_intvl = 15 net.ipv4.tcp_keepalive_probes = 5 net.ipv4.tcp_max_syn_backlog = 4096 net.ipv4.tcp_synack_retries = 1 net.ipv4.tcp_mem = 50576 64768 98152 net.ipv4.tcp_rmem = 4096 87380 16777216 net.ipv4.tcp_wmem = 4096 65536 16777216 net.ipv4.tcp_orphan_retries = 0 net.ipv4.tcp_syncookies = 0 net.ipv4.netfilter.ip_conntrack_max = 16777216 net.netfilter.nf_conntrack_max = 16777216 net.ipv4.tcp_timestamps = 1 net.ipv4.tcp_sack = 1 net.ipv4.tcp_congestion_control = htcp net.ipv4.tcp_no_metrics_save = 1 net.ipv4.route.flush = 1 net.ipv4.conf.all.rp_filter = 1 net.ipv4.conf.lo.rp_filter = 1 net.ipv4.conf.eth0.rp_filter = 1 net.ipv4.conf.default.rp_filter = 1 net.ipv4.conf.all.accept_source_route = 0 net.ipv4.conf.lo.accept_source_route = 0 net.ipv4.conf.eth0.accept_source_route = 0 net.ipv4.conf.default.accept_source_route = 0 net.ipv4.ip_local_port_range = 1024 65535 net.ipv4.tcp_tw_reuse = 1 net.ipv4.tcp_window_scaling = 1 net.ipv4.tcp_rfc1337 = 1 net.ipv4.ip_forward = 0 net.ipv4.icmp_echo_ignore_broadcasts = 1 net.ipv4.icmp_echo_ignore_all = 1 net.ipv4.icmp_ignore_bogus_error_responses = 1 net.core.somaxconn = 65535 net.core.netdev_max_backlog = 1000 net.core.rmem_default = 65536 net.core.wmem_default = 65536 net.core.rmem_max = 16777216 net.core.wmem_max = 16777216 fs.inotify.max_user_watches = 16777216
accept_redirects
net.ipv4.conf.all.accept_redirects = 0 net.ipv4.conf.all.secure_redirects = 0 net.ipv4.conf.all.send_redirects = 0
Не принимать и не отправлять ICMP-пакеты перенаправления.
ICMP-перенаправления могут быть использованы злоумышленником для изменения таблиц маршрутизации.
Целесообразно выставить в 0 Единица имеет смысл только для хостов, использующихся в качестве маршрутизаторов.
tcp_max_orphans
net.ipv4.tcp_max_orphans = 65536
Целочисленное значение параметра tcp_max_orphans определяет максимальное число допустимых в системе сокетов TCP, не связанных каким-либо идентификатором пользовательского файла (user file handle). При достижении порогового значения “осиротевшие” (orphan) соединения незамедлительно сбрасываются с выдачей предупреждения. Этот порог помогает предотвращать только простые атаки DoS. Не следует уменьшать пороговое значение (скорее увеличить его в соответствии с требованиями системы – например, после добавления памяти. Каждое orphan-соединение поглощает около 64 Кбайт несбрасываемой на диск (unswappable) памяти.
.tcp_fin_timeout
net.ipv4.tcp_fin_timeout = 10
Параметр tcp_fin_timeout определяет время сохранения сокета в состоянии FIN-WAIT-2 после его закрытия локальной стороной. Партнер может не закрыть это соединение никогда, поэтому следует закрыть его по своей инициативе по истечении тайм-аута. По умолчанию тайм-аут составляет 60 секунд. В ядрах серии 2.2 обычно использовалось значение 180 секунд и вы можете сохранить это значение, но не следует забывать, что на загруженных WEB-серверах вы рискуете израсходовать много памяти на сохранение полуразорванных мертвых соединений. Сокеты в состоянии FIN-WAIT-2 менее опасны, нежели FIN-WAIT-1, поскольку поглощают не более 1,5 Кбайт памяти, но они могут существовать дольше.
tcp_keepalive_time
net.ipv4.tcp_keepalive_time = 1800 net.ipv4.tcp_keepalive_intvl = 15 net.ipv4.tcp_keepalive_probes = 5
tcp_keepalive_time Переменная определяет как часто следует проверять соединение, если оно давно не используется. Значение переменной имеет смысл только для тех сокетов, которые были созданы с флагом SO_KEEPALIVE. Целочисленная переменная tcp_keepalive_intvl определяет интервал передачи проб. Произведение tcp_keepalive_probes * tcp_keepalive_intvl определяет время, по истечении которого соединение будет разорвано при отсутствии откликов. По умолчанию установлен интервал 75 секунд, т.е., время разрыва соединения при отсутствии откликов составит приблизительно 11 минут.
net.ipv4.tcp_max_syn_backlog = 4096
Целочисленное значение в файле tcp_max_syn_backlog определяет максимальное число запоминаемых запросов на соединение, для которых не было получено подтверждения от подключающегося клиента. Если на сервере возникают перегрузки, можно попытаться увеличить это значение.
net.ipv4.tcp_synack_retries = 1
Целочисленное значение (1 байт) tcp_synack_retries определяет число попыток повтора передачи пакетов SYNACK для пассивных соединений TCP. Число попыток не должно превышать 255. Значение 5 соответствует приблизительно 180 секундам на выполнение попыток организации соединения.
net.ipv4.tcp_mem = 50576 64768 98152
Векторная (минимум, режим нагрузки, максимум) переменная в файле tcp_mem cодержит общие настройки потребления памяти для протокола TCP. Эта переменная измеряется в страницах (обычно 4Кб), а не байтах. Минимум: пока общий размер памяти для структур протокола TCP менее этого количества страниц, операционная система ничего не делает. Режим нагрузки: как только количество страниц памяти, выделенное для работы протокола TCP, достигает этого значения, активируется режим работы под нагрузкой, при котором операционная система старается ограничивать выделение памяти. Этот режим сохраняется до тех пор, пока потребление памяти опять не достигнет минимального уровня. Максимум: максимальное количество страниц памяти, разрешенное для всех TCP сокетов.
net.ipv4.tcp_rmem = 4096 87380 16777216
Векторная (минимум, по умолчанию, максимум) переменная в файле tcp_rmem содержит 3 целых числа, определяющих размер приемного буфера сокетов TCP. Минимум: каждый сокет TCP имеет право использовать эту память по факту своего создания. Возможность использования такого буфера гарантируется даже при достижении порога ограничения (moderate memory pressure). Размер минимального буфера по умолчанию составляет 8 Кбайт (8192). Значение по умолчанию: количество памяти, допустимое для буфера передачи сокета TCP по умолчанию. Это значение применяется взамен параметра /proc/sys/net/core/rmem_default, используемого другими протоколами. Значение используемого по умолчанию буфера обычно (по умолчанию) составляет 87830 байт. Это определяет размер окна 65535 с заданным по умолчанию значением tcp_adv_win_scale и tcp_app_win = 0, несколько меньший, нежели определяет принятое по умолчанию значение tcp_app_win. Максимум: максимальный размер буфера, который может быть автоматически выделен для приема сокету TCP. Это значение не отменяет максимума, заданного в файле /proc/sys/net/core/rmem_max. При «статическом» выделении памяти с помощью SO_RCVBUF этот параметр не имеет значения.
net.ipv4.tcp_wmem = 4096 65536 16777216
Векторная переменная в файле tcp_wmem содержит 3 целочисленных значения, определяющих минимальное, принятое по умолчанию и максимальное количество памяти, резервируемой для буферов передачи сокета TCP. Минимум: каждый сокет TCP имеет право использовать эту память по факту своего создания. Размер минимального буфера по умолчанию составляет 4 Кбайт (4096) Значение по умолчанию: количество памяти, допустимое для буфера передачи сокета TCP по умолчанию. Это значение применяется взамен параметра /proc/sys/net/core/wmem_default, используемого другими протоколами и обычно меньше, чем /proc/sys/net/core/wmem_default. Размер принятого по умолчанию буфера обычно (по умолчанию) составляет 16 Кбайт (16384) Максимум: максимальное количество памяти, которое может быть автоматически выделено для буфера передачи сокета TCP. Это значение не отменяет максимум, заданный в файле /proc/sys/net/core/wmem_max. При «статическом» выделении памяти с помощью SO_SNDBUF этот параметр не имеет значения.
net.ipv4.tcp_orphan_retries = 0
Целочисленной значение tcp_orphan_retries определяет число неудачных попыток, после которого уничтожается соединение TCP, закрытое на локальной стороне. По умолчанию используется значение 7, соответствующее приблизительно периоду от 50 секунд до 16минут в зависимости от RTO. На сильно загруженных WEB-серверах имеет смысл уменьшить значение этого параметра, поскольку закрытые соединения могут поглощать достаточно много ресурсов.
net.ipv4.tcp_syncookies = 0
Согласно рекомендациям разработчиков ядра, этот режим лучше отключить.
net.ipv4.netfilter.ip_conntrack_max = 16777216
Максимальное количество соединений для работы механизма connection tracking (используется, например, iptables). При слишком маленьких значениях ядро начинает отвергать входящие подключения с соответствующей записью в системном логе.
net.ipv4.tcp_timestamps = 1
Разрешает временные метки протокола TCP. Их наличие позволяет управлять работой протокола в условиях серьезных нагрузок (см. tcp_congestion_control).
net.ipv4.tcp_sack = 1
Разрешить выборочные подтверждения протокола TCP. Опция необходима для эффективного использования всей доступной пропускной способности некоторых сетей.
net.ipv4.tcp_congestion_control = htcp
Протокол, используемый для управления нагрузкой в сетях TCP. bic и cubic реализации, используемые по умолчанию, содержат баги в большинстве версий ядра RedHat и ее клонов. Рекомендуется использовать htcp.
net.ipv4.tcp_no_metrics_save = 1
Не сохранять результаты измерений TCP соединения в кеше при его закрытии. В некоторых случаях помогает повысить производительность.
net.ipv4.route.flush = 1
Актуально для ядер 2.4. По странной причине в ядрах 2.4, если в рамках TCP сессии произошел повтор передачи с уменьшенным размером окна, все соединения с данным хостом в следующие 10 минут будут иметь именно этот уменьшенный размер окна. Данная настройка позволяет этого избежать.
net.ipv4.conf.all.rp_filter = 1 net.ipv4.conf.lo.rp_filter = 1 net.ipv4.conf.eth0.rp_filter = 1 net.ipv4.conf.default.rp_filter = 1
Активируем защиту от IP-спуфинга.
net.ipv4.conf.all.accept_source_route = 0 net.ipv4.conf.lo.accept_source_route = 0 net.ipv4.conf.eth0.accept_source_route = 0 net.ipv4.conf.default.accept_source_route = 0 <PRE> Запрещаем маршрутизацию от источника. <PRE> net.ipv4.ip_local_port_range = 1024 65535
Увеличиваем диапазон локальных портов, доступных для установки исходящих подключений
net.ipv4.tcp_tw_reuse = 1
Разрешаем повторное использование TIME-WAIT сокетов в случаях, если протокол считает это безопасным.
net.ipv4.tcp_window_scaling = 1
Разрешаем динамическое изменение размера окна TCP стека
net.ipv4.tcp_rfc1337 = 1
Защищаемся от TIME_WAIT атак.
net.ipv4.ip_forward = 0
Запрещаем переадресацию пакетов, поскольку мы не роутер.
net.ipv4.icmp_echo_ignore_broadcasts = 1
Не отвечаем на ICMP ECHO запросы, переданные широковещательными пакетами
net.ipv4.icmp_echo_ignore_all = 1
Можно вообще не отвечать на ICMP ECHO запросы (сервер не будет пинговаться)
net.ipv4.icmp_ignore_bogus_error_responses = 1
Не отвечаем на ошибочно сформированные сообщения
net.core.somaxconn = 65535
Максимальное число открытых сокетов, ждущих соединения. Имеет смысл увеличить значение по умолчанию.
net.core.netdev_max_backlog = 1000
Параметр определяет максимальное количество пакетов в очереди на обработку, если интерфейс получает пакеты быстрее, чем ядро может их обработать.
net.core.rmem_default = 65536
Размер буфера приема данных по умолчанию для всех соединений.
net.core.wmem_default = 65536
Размер буфера передачи данных по умолчанию для всех соединений.
net.core.rmem_max = 16777216
Максимальный размер буфера приема данных для всех соединений.
net.core.wmem_max = 16777216
Максимальный размер буфера передачи данных для всех соединений.