怎样优化Debian SFTP带宽使用

Debian SFTP带宽优化与限速实用指南

一 提升吞吐的关键配置

• 使用公钥认证替代密码，减少握手与失败重试开销；在**/etc/ssh/sshd_config**中启用：
  • PubkeyAuthentication yes
  • PasswordAuthentication no（或仅在内网临时开启）
• 采用internal-sftp并配合ChrootDirectory，减少开销与攻击面：
  • Subsystem sftp internal-sftp
  • Match Group sftpusers
    • ChrootDirectory %h
    • ForceCommand internal-sftp
• 调整并发与会话：适度增大MaxSessions与MaxStartups，避免连接排队与拒绝；同时控制登录并发，防止资源被过多会话占满。
• 启用SSH压缩（对文本/可压缩文件有效）：在客户端或服务端设置Compression yes，可降低传输字节量，但会提升CPU占用，需结合CPU与带宽权衡。
• 客户端并发/多线程：使用支持多连接的客户端（如 lftp 的 mirror -P、parallel，或基于 rsync 的并发方案）提升总吞吐，适合多文件/大目录场景。

二 系统网络与文件系统的底层优化

• 文件系统挂载选项：对数据盘使用noatime（必要时 nodiratime），减少元数据写入；选择ext4/XFS等成熟文件系统，并结合条带化/对齐（SSD/NVMe）提升IOPS与顺序带宽。
• TCP/IP栈与缓冲区：在**/etc/sysctl.conf**中优化网络参数（示例为通用起点，需结合带宽/延迟与实例规格压测微调）：
  • net.core.rmem_max = 16777216
  • net.core.wmem_max = 16777216
  • net.ipv4.tcp_rmem = 4096 87380 16777216
  • net.ipv4.tcp_wmem = 4096 65536 16777216
  • net.ipv4.tcp_tw_reuse = 1
  • 可选：net.ipv4.tcp_congestion_control = bbr（需内核支持）
• 硬件与存储：优先SSD/NVMe、充足内存与CPU；对高并发/大文件场景，确保存储后端（本地盘、云盘、阵列）不成为瓶颈。

三 精准限速的两种落地方式

• 方式A 全局端口限速（tc + u32，适合按端口统一限速）
  • 安装工具：sudo apt-get install -y iproute2
  • 假设限速1Mbps，网卡为eth0：
    • sudo tc qdisc add dev eth0 root handle 1: htb default 30
    • sudo tc class add dev eth0 parent 1: classid 1:1 htb rate 1mbit
    • sudo tc class add dev eth0 parent 1:1 classid 1:10 htb rate 1mbit ceil 1mbit
    • sudo tc filter add dev eth0 protocol ip parent 1:0 prio 1 u32 match ip dport 22 0xffff flowid 1:10
  • 说明：将eth0替换为实际接口；如需按源/目的IP限速，可改用 fw/ct 过滤器或更复杂的匹配规则。
• 方式B 按进程/用户限速（cgroups + tc，适合精细化到会话或用户）
  • 安装工具：sudo apt-get install -y cgroup-tools
  • 创建 cgroup：sudo cgcreate -g net_cls:/sftp_limit
  • 写入 classid（十六进制）：echo 0x100001 | sudo tee /sys/fs/cgroup/net_cls/sftp_limit/net_cls.classid
  • 将 SFTP 会话的 PID 写入 tasks：echo | sudo tee /sys/fs/cgroup/net_cls/sftp_limit/tasks
  • 用方式A的 tc 规则对 classid 0x100001 对应的流量限速（需结合 tc 的 classid/filter 能力或借助 net_cls.classid 映射）。
• 变更与回滚：限速规则建议先在测试环境验证；如需回滚，删除对应 qdisc/class/filter（如 tc qdisc del dev eth0 root）。

四 监控与瓶颈定位

• 网络与进程：iftop/nethogs 观察端口/进程带宽占用；ss -tnp 检查连接状态与重传；必要时用 tcpdump 抓包定位异常。
• 吞吐基准：用 iperf3/netperf 测试端到端可用带宽与抖动，确认是否为网络瓶颈。
• 系统资源：top/htop、vmstat、iostat -x 1 观察 CPU、内存与磁盘 IO 饱和度，判断是否为计算或存储瓶颈。

五 实用配置示例

• 服务端（/etc/ssh/sshd_config）片段：
  • PubkeyAuthentication yes
  • PasswordAuthentication no
  • Subsystem sftp internal-sftp
  • Match Group sftpusers
    • ChrootDirectory %h
    • ForceCommand internal-sftp
• 客户端并发传输示例（lftp）：lftp -u user,pass sftp://host -e “mirror -P 4 /remote /local; quit”
• 全局限速示例（tc，1Mbps，端口22）：见第三部分方式A命令，注意替换eth0为实际网卡。