Debian 系统中 backlog 阈值的设置与监控
一、概念与范围
- backlog通常指监听套接字的未完成连接队列长度，以及内核中与之相关的队列上限。常见可调项包括：
- net.core.somaxconn：全系统监听队列长度上限。
- net.ipv4.tcp_max_syn_backlog：SYN 半连接队列上限。
- net.core.netdev_max_backlog：网卡接收队列上限。
- 某些服务自身也提供 backlog 配置（如 Nginx listen backlog=…、Apache ListenBacklog …、SSH MaxStartups …）。
二、系统级设置
- 临时生效（立即修改，重启后失效）：
- 提高全系统监听队列上限：
- sudo sysctl -w net.core.somaxconn=4096
- 提高半连接队列上限：
- sudo sysctl -w net.ipv4.tcp_max_syn_backlog=8192
- 提高网卡接收队列上限：
- sudo sysctl -w net.core.netdev_max_backlog=16384
- 永久生效（重启后保留）：
- 编辑 /etc/sysctl.conf 或 /etc/sysctl.d/99-backlog.conf，加入：
- net.core.somaxconn = 4096
- net.ipv4.tcp_max_syn_backlog = 8192
- net.core.netdev_max_backlog = 16384
- 应用：sudo sysctl -p
- 可选的安全与可用性增强：
- 启用 SYN Cookies（抵御 SYN Flood，半开连接过多时更稳）：
- sudo sysctl -w net.ipv4.tcp_syncookies=1
- 永久：在 sysctl 配置中加入 net.ipv4.tcp_syncookies = 1。
三、服务级设置
- 不同服务的 backlog 配置方式不同，需同时兼顾系统上限与应用自身限制（应用设置不可超过内核上限）。
- 常见服务示例：
| 服务 |
配置项与示例 |
重启命令 |
| SSH |
编辑 /etc/ssh/sshd_config：MaxStartups 10:30:60（含义：未认证并发连接从10开始随机丢弃，满30开始丢弃更多，上限60） |
sudo systemctl restart sshd |
| Nginx |
在 server 配置中：listen 80 backlog=4096; |
sudo systemctl restart nginx |
| Apache |
在 MPM 配置中：ListenBacklog 4096 |
sudo systemctl restart apache2 |
- 提示：若服务设置的 backlog 大于 net.core.somaxconn，实际生效值会被内核上限截断，需同步调大内核参数。
四、监控与阈值建议
- 查看当前监听套接字与队列情况：
- ss -lnt
- 或 netstat -lnt（较老系统）
- 监控思路与预警：
- 用脚本定期解析 ss 输出，当 Recv-Q 接近或超过你为某端口设定的 backlog 时触发告警（邮件/企业微信/钉钉等）。
- 也可接入 Prometheus + Grafana，对连接队列与 SYN 队列等指标做可视化与阈值告警。
- 设置原则与经验值：
- backlog 过小会导致新连接被拒绝或超时；过大则增加内存与 CPU 压力。
- 可先以 net.core.somaxconn=4096、net.ipv4.tcp_max_syn_backlog=8192 为起点，结合压测与监控逐步调优。
- 在遭受 SYN Flood 时，优先开启 tcp_syncookies 并结合防火墙/清洗策略。