活动公告

系统通知
通知：本站资源由网友上传分享，如有违规等问题请到版务模块进行投诉，资源失效请在帖子内回复要求补档，会尽快处理！
10-23 09:31
>社区 > 科技 > 经验交流 >帖子
本版发帖返回

AlmaLinux网络配置深度优化实战指南全面提升服务器性能与安全性的专业技巧从基础设置到高级调优的完整解决方案

这是个蓝孩子 当前离线 威震华夏关云长
SunJu_FaceMall

3万

主题

2720

科技点

3万

积分

执行版主

碾压王

积分
32881

塔罗立华奏
执行版主 发表于 2025-8-30 18:10:35 | 显示全部楼层 |阅读模式

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

您需要 登录 才可以下载或查看，没有账号？立即注册

x
引言

AlmaLinux作为RHEL的下游分支，以其稳定性、安全性和长期支持而受到企业用户的青睐。在当今数字化时代，服务器网络性能和安全性对业务运行至关重要。本文将全面介绍AlmaLinux网络配置的深度优化技术，从基础设置到高级调优，帮助系统管理员和运维工程师打造高性能、高安全性的服务器网络环境。

1. 基础网络配置

1.1 网络接口配置

在AlmaLinux中，网络接口配置主要通过NetworkManager或传统的network服务进行管理。NetworkManager是现代Linux系统推荐的默认网络管理工具。
  2. # 查看所有网络接口
  3. ip addr show
  5. # 或使用传统命令
  6. ifconfig -a
复制代码
  2. # 列出所有连接
  3. nmcli connection show
  5. # 创建新的以太网连接
  6. nmcli connection add type ethernet ifname eth0 con-name eth0-static
  8. # 配置静态IP
  9. nmcli connection modify eth0-static ipv4.addresses 192.168.1.100/24
  10. nmcli connection modify eth0-static ipv4.gateway 192.168.1.1
  11. nmcli connection modify eth0-static ipv4.dns "8.8.8.8 8.8.4.4"
  12. nmcli connection modify eth0-static ipv4.method manual
  14. # 启用连接
  15. nmcli connection up eth0-static
复制代码

对于习惯使用传统配置文件的管理员，可以编辑/etc/sysconfig/network-scripts/ifcfg-<interface>文件：
  2. # 编辑eth0配置文件
  3. vi /etc/sysconfig/network-scripts/ifcfg-eth0
复制代码

配置文件内容示例：
  2. TYPE=Ethernet
  3. BOOTPROTO=static
  4. DEFROUTE=yes
  5. PEERDNS=yes
  6. PEERROUTES=yes
  7. IPV4_FAILURE_FATAL=no
  8. IPV6INIT=yes
  9. IPV6_AUTOCONF=yes
  10. IPV6_DEFROUTE=yes
  11. IPV6_PEERDNS=yes
  12. IPV6_PEERROUTES=yes
  13. IPV6_FAILURE_FATAL=no
  14. NAME=eth0
  15. UUID=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  16. DEVICE=eth0
  17. ONBOOT=yes
  18. IPADDR=192.168.1.100
  19. PREFIX=24
  20. GATEWAY=192.168.1.1
  21. DNS1=8.8.8.8
  22. DNS2=8.8.4.4
复制代码

重启网络服务：
  2. # 使用NetworkManager
  3. nmcli connection reload
  4. nmcli connection up eth0
  6. # 或使用传统network服务
  7. systemctl restart network
复制代码

1.2 静态IP与DHCP配置

静态IP适用于服务器环境，确保IP地址不会变化。如上节所示，可以通过nmcli或ifcfg文件配置静态IP。

对于客户端或不需要固定IP的服务器，可以使用DHCP自动获取IP：
  2. # 使用nmcli配置DHCP
  3. nmcli connection modify eth0-dhcp ipv4.method auto
  4. nmcli connection up eth0-dhcp
复制代码

在ifcfg文件中配置DHCP：
  2. TYPE=Ethernet
  3. BOOTPROTO=dhcp
  4. DEFROUTE=yes
  5. PEERDNS=yes
  6. PEERROUTES=yes
  7. IPV4_FAILURE_FATAL=no
  8. IPV6INIT=yes
  9. IPV6_AUTOCONF=yes
  10. IPV6_DEFROUTE=yes
  11. IPV6_PEERDNS=yes
  12. IPV6_PEERROUTES=yes
  13. IPV6_FAILURE_FATAL=no
  14. NAME=eth0
  15. UUID=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  16. DEVICE=eth0
  17. ONBOOT=yes
复制代码

1.3 主机名与DNS设置
  2. # 查看当前主机名
  3. hostnamectl status
  5. # 设置静态主机名
  6. hostnamectl set-hostname server1.example.com
  8. # 编辑/etc/hosts文件确保本地解析
  9. vi /etc/hosts
复制代码

在/etc/hosts文件中添加：
  2. 127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
  3. ::1         localhost localhost.localdomain localhost6 localhost6.localdomain6
  4. 192.168.1.100 server1.example.com server1
复制代码

除了在网络接口配置中指定DNS服务器外，还可以通过修改/etc/resolv.conf文件配置DNS：
  2. # 编辑resolv.conf文件
  3. vi /etc/resolv.conf
复制代码

内容示例：
  2. search example.com
  3. nameserver 8.8.8.8
  4. nameserver 8.8.4.4
  5. nameserver 192.168.1.1
复制代码

注意：如果使用NetworkManager，直接编辑resolv.conf可能会被覆盖。建议通过nmcli或修改ifcfg文件来配置DNS。

1.4 基本网络测试工具
  2. # 测试网络连通性
  3. ping -c 4 google.com
  5. # 持续ping并记录时间戳
  6. ping -D google.com
复制代码
  2. # 跟踪网络路径
  3. traceroute google.com
  5. # 使用ICMP协议进行跟踪
  6. traceroute -I google.com
复制代码

mtr结合了ping和traceroute的功能，提供更详细的网络诊断信息：
  2. # 使用mtr诊断网络路径
  3. mtr google.com
  5. # 使用报告模式，输出10次测试结果
  6. mtr -r -c 10 google.com
复制代码
  2. # 使用netstat查看所有网络连接
  3. netstat -tulnp
  5. # 使用ss命令（更快更现代的替代品）
  6. ss -tulnp
  8. # 查看路由表
  9. netstat -rn
  10. # 或
  11. ip route show
复制代码
  2. # 使用nslookup查询DNS
  3. nslookup google.com
  5. # 使用dig获取更详细的DNS信息
  6. dig google.com
  8. # 查询特定类型的DNS记录
  9. dig google.com MX
复制代码

2. 网络性能优化

2.1 内核参数调优

AlmaLinux的内核参数可以通过修改/etc/sysctl.conf或/etc/sysctl.d/目录下的文件进行优化。
  2. # 编辑sysctl配置文件
  3. vi /etc/sysctl.d/99-network.conf
复制代码

添加以下内容：
  2. # 增加文件描述符限制
  3. fs.file-max = 100000
  5. # 增加网络端口范围
  6. net.ipv4.ip_local_port_range = 1024 65535
  8. # 启用TCP SYN cookie保护，防止SYN Flood攻击
  9. net.ipv4.tcp_syncookies = 1
  11. # 允许重用TIME_WAIT套接字用于新连接
  12. net.ipv4.tcp_tw_reuse = 1
  14. # 快速回收TIME_WAIT套接字
  15. net.ipv4.tcp_tw_recycle = 0
  17. # TCP连接队列长度
  18. net.core.somaxconn = 65535
  20. # 增加TCP最大缓冲区大小
  21. net.core.rmem_max = 16777216
  22. net.core.wmem_max = 16777216
  23. net.ipv4.tcp_rmem = 4096 87380 16777216
  24. net.ipv4.tcp_wmem = 4096 65536 16777216
  26. # 优化TCP拥塞控制算法
  27. net.ipv4.tcp_congestion_control = bbr
  29. # 启用TCP窗口缩放
  30. net.ipv4.tcp_window_scaling = 1
  32. # 优化网络设备队列长度
  33. net.core.netdev_max_backlog = 5000
  35. # 允许更多的PMTU发现
  36. net.ipv4.tcp_no_metrics_save = 1
  38. # 减少keepalive探测时间
  39. net.ipv4.tcp_keepalive_time = 600
  40. net.ipv4.tcp_keepalive_intvl = 60
  41. net.ipv4.tcp_keepalive_probes = 3
  43. # 禁用IP源路由
  44. net.ipv4.conf.all.accept_source_route = 0
  45. net.ipv4.conf.default.accept_source_route = 0
  47. # 禁用ICMP重定向
  48. net.ipv4.conf.all.accept_redirects = 0
  49. net.ipv4.conf.default.accept_redirects = 0
  51. # 启用反向路径过滤
  52. net.ipv4.conf.all.rp_filter = 1
  53. net.ipv4.conf.default.rp_filter = 1
  55. # 记录可疑数据包
  56. net.ipv4.conf.all.log_martians = 1
  58. # 忽略ICMP广播请求
  59. net.ipv4.icmp_echo_ignore_broadcasts = 1
  61. # 忽略 bogus ICMP 错误响应
  62. net.ipv4.icmp_ignore_bogus_error_responses = 1
  64. # 启用IP转发（如果服务器用作路由器）
  65. # net.ipv4.ip_forward = 1
复制代码

应用配置：
  2. # 立即应用sysctl配置
  3. sysctl -p /etc/sysctl.d/99-network.conf
  5. # 或应用所有sysctl配置
  6. sysctl -p
复制代码

对于高负载Web服务器或数据库服务器，可以添加以下优化：
  2. # 增加最大连接跟踪表大小
  3. net.netfilter.nf_conntrack_max = 1000000
  5. # 减少conntrack超时时间
  6. net.netfilter.nf_conntrack_tcp_timeout_established = 300
  7. net.netfilter.nf_conntrack_tcp_timeout_time_wait = 1
  8. net.netfilter.nf_conntrack_tcp_timeout_close_wait = 10
  9. net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 10
  11. # 优化TCP内存限制
  12. net.ipv4.tcp_mem = 786432 1048576 1572864
  14. # 增加最大半连接队列长度
  15. net.ipv4.tcp_max_syn_backlog = 65536
  17. # 启用TCP Fast Open
  18. net.ipv4.tcp_fastopen = 3
  20. # 优化TCP重传超时时间
  21. net.ipv4.tcp_retries2 = 5
复制代码

2.2 网络缓冲区优化

网络缓冲区大小对网络性能有直接影响。可以通过以下方式优化：
  2. # 安装ethtool
  3. dnf install -y ethtool
  5. # 查看当前网络接口设置
  6. ethtool -g eth0
  8. # 启用自动调整网络缓冲区
  9. ethtool -G eth0 rx 4096 tx 4096
复制代码

要使设置永久生效，可以创建NetworkManager调度程序脚本：
  2. # 创建脚本目录
  3. mkdir -p /etc/NetworkManager/dispatcher.d
  5. # 创建脚本文件
  6. vi /etc/NetworkManager/dispatcher.d/02-ethtool-settings
复制代码

添加以下内容：
  2. #!/bin/bash
  3. # 获取接口名称
  4. INTERFACE=$1
  5. # 获取连接状态
  6. STATUS=$2
  8. # 仅在接口启动时应用设置
  9. if [ "$STATUS" = "up" ]; then
  10.     case "$INTERFACE" in
  11.         eth*)
  12.             ethtool -G $INTERFACE rx 4096 tx 4096
  13.             ethtool -K $INTERFACE gso on
  14.             ethtool -K $INTERFACE tso on
  15.             ethtool -K $INTERFACE ufo on
  16.             ethtool -K $INTERFACE gro on
  17.             ;;
  18.     esac
  19. fi
复制代码

使脚本可执行：
  2. chmod +x /etc/NetworkManager/dispatcher.d/02-ethtool-settings
复制代码

2.3 网络协议优化
  2. # 查看当前拥塞控制算法
  3. sysctl net.ipv4.tcp_congestion_control
  5. # 查看可用的拥塞控制算法
  6. sysctl net.ipv4.tcp_available_congestion_control
复制代码

现代AlmaLinux内核支持多种拥塞控制算法，如BBR、CUBIC等。BBR（Bottleneck Bandwidth and RTT）是Google开发的高性能拥塞控制算法，特别适合高延迟、高带宽的网络环境。

启用BBR：
  2. # 确保内核加载了BBR模块
  3. modprobe tcp_bbr
  5. # 设置BBR为默认拥塞控制算法
  6. sysctl -w net.ipv4.tcp_congestion_control=bbr
  8. # 使设置永久生效
  9. echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.d/99-network.conf
复制代码

对于使用大量UDP连接的应用（如DNS、流媒体服务器等），可以优化UDP缓冲区：
  2. # 增加UDP接收缓冲区大小
  3. sysctl -w net.core.rmem_max=26214400
  4. sysctl -w net.ipv4.udp_rmem_min=8192
  6. # 增加UDP发送缓冲区大小
  7. sysctl -w net.core.wmem_max=26214400
  8. sysctl -w net.ipv4.udp_wmem_min=8192
  10. # 使设置永久生效
  11. echo "net.core.rmem_max=26214400" >> /etc/sysctl.d/99-network.conf
  12. echo "net.ipv4.udp_rmem_min=8192" >> /etc/sysctl.d/99-network.conf
  13. echo "net.core.wmem_max=26214400" >> /etc/sysctl.d/99-network.conf
  14. echo "net.ipv4.udp_wmem_min=8192" >> /etc/sysctl.d/99-network.conf
复制代码

2.4 多队列网卡优化

现代服务器通常配备支持多队列的网卡，可以利用多核CPU并行处理网络中断，提高网络性能。
  2. # 查看网卡支持的队列数
  3. ethtool -l eth0
复制代码
  2. # 查看当前RSS设置
  3. ethtool -x eth0
  5. # 配置RSS indirection table
  6. ethtool -X eth0 equal 4
复制代码

RPS是软件层面的多核处理，可以在不支持硬件多队列的网卡上实现类似效果。
  2. # 为eth0启用RPS
  3. echo ff > /sys/class/net/eth0/queues/rx-0/rps_cpus
  5. # 设置RPS流限制
  6. echo 32768 > /proc/sys/net/core/rps_sock_flow_entries
复制代码

要使RPS设置永久生效，可以创建udev规则：
  2. # 创建udev规则文件
  3. vi /etc/udev/rules.d/99-network-rps.rules
复制代码

添加以下内容：
  2. ACTION=="add", SUBSYSTEM=="net", KERNEL=="eth*", RUN+="/bin/sh -c 'echo ff > /sys/class/net/$name/queues/rx-0/rps_cpus'"
复制代码

XPS是发送端的CPU亲和性设置，可以提高发送性能：
  2. # 为eth0启用XPS
  3. echo ff > /sys/class/net/eth0/queues/tx-0/xps_cpus
复制代码
  2. # 查看网络接口的IRQ分配
  3. grep eth0 /proc/interrupts
  5. # 设置IRQ亲和性
  6. echo 1 > /proc/irq/123/smp_affinity
复制代码

要使IRQ亲和性设置永久生效，可以创建systemd服务：
  2. # 创建systemd服务文件
  3. vi /etc/systemd/system/set-network-irq-affinity.service
复制代码

添加以下内容：
  2. [Unit]
  3. Description=Set network IRQ affinity
  4. After=network.target
  6. [Service]
  7. Type=oneshot
  8. ExecStart=/bin/sh -c 'for i in $(grep eth0 /proc/interrupts | cut -d: -f1 | sed "s/ //g"); do echo 1 > /proc/irq/$i/smp_affinity; done'
  10. [Install]
  11. WantedBy=multi-user.target
复制代码

启用服务：
  2. systemctl enable set-network-irq-affinity.service
  3. systemctl start set-network-irq-affinity.service
复制代码

3. 网络安全加固

3.1 防火墙配置

AlmaLinux默认使用firewalld作为防火墙管理工具，它基于nftables/iptables实现。
  2. # 安装firewalld
  3. dnf install -y firewalld
  5. # 启动并启用firewalld
  6. systemctl start firewalld
  7. systemctl enable firewalld
  9. # 查看默认区域
  10. firewall-cmd --get-default-zone
  12. # 查看活动区域
  13. firewall-cmd --get-active-zones
  15. # 查看当前区域规则
  16. firewall-cmd --list-all
  18. # 开放端口
  19. firewall-cmd --permanent --add-port=80/tcp
  20. firewall-cmd --permanent --add-port=443/tcp
  22. # 开放服务
  23. firewall-cmd --permanent --add-service=http
  24. firewall-cmd --permanent --add-service=https
  26. # 重新加载防火墙规则
  27. firewall-cmd --reload
复制代码
  2. # 创建自定义区域
  3. firewall-cmd --permanent --new-zone=webserver
  4. firewall-cmd --permanent --zone=webserver --set-target=DROP
  6. # 为自定义区域添加规则
  7. firewall-cmd --permanent --zone=webserver --add-service=http
  8. firewall-cmd --permanent --zone=webserver --add-service=https
  9. firewall-cmd --permanent --zone=webserver --add-port=22/tcp
  11. # 将接口分配到自定义区域
  12. firewall-cmd --permanent --zone=webserver --change-interface=eth0
  14. # 启用富规则（rich rules）
  15. firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" service name="ssh" accept'
  16. firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.0.0/8" drop'
  18. # 重新加载防火墙规则
  19. firewall-cmd --reload
复制代码

对于更复杂的防火墙需求，可以直接使用nftables：
  2. # 安装nftables
  3. dnf install -y nftables
  5. # 启动并启用nftables
  6. systemctl start nftables
  7. systemctl enable nftables
  9. # 创建nftables规则集
  10. vi /etc/nftables/firewall.nft
复制代码

添加以下内容：
  2. #!/usr/sbin/nft -f
  4. # 清除所有规则
  5. flush ruleset
  7. # 创建表
  8. table inet filter {
  9.     # 创建链
  10.     chain input {
  11.         type filter hook input priority 0; policy drop;
  13.         # 允许本地回环
  14.         iifname lo accept comment "Accept loopback"
  16.         # 允许已建立的连接和相关的连接
  17.         ct state established,related accept comment "Allow established/related connections"
  19.         # 允许ICMP
  20.         icmp type { echo-request, echo-reply, destination-unreachable } accept comment "Allow ICMP"
  22.         # 允许SSH
  23.         tcp dport 22 accept comment "Allow SSH"
  25.         # 允许HTTP/HTTPS
  26.         tcp dport { 80, 443 } accept comment "Allow HTTP/HTTPS"
  28.         # 记录并拒绝其他连接
  29.         log prefix "Dropped: " level info
  30.         reject with icmp type admin-prohibited
  31.     }
  33.     chain forward {
  34.         type filter hook forward priority 0; policy drop;
  35.     }
  37.     chain output {
  38.         type filter hook output priority 0; policy accept;
  39.     }
  40. }
复制代码

应用规则：
  2. nft -f /etc/nftables/firewall.nft
  4. # 保存规则
  5. nft list ruleset > /etc/nftables/ruleset-save
复制代码

3.2 SELinux网络策略

SELinux是AlmaLinux中的强制访问控制系统，可以提供额外的网络安全保护。
  2. # 检查SELinux状态
  3. sestatus
  5. # 设置SELinux为强制模式
  6. setenforce 1
  7. vi /etc/selinux/config
复制代码

确保/etc/selinux/config文件中包含：
  2. SELINUX=enforcing
  3. SELINUXTYPE=targeted
复制代码
  2. # 查看与网络相关的SELinux布尔值
  3. getsebool -a | grep http
  4. getsebool -a | grep ftp
  5. getsebool -a | grep nis
  7. # 允许HTTP脚本网络连接
  8. setsebool -P httpd_can_network_connect=1
  10. # 允许FTP匿名写入
  11. setsebool -P ftpd_anon_write=1
  13. # 允许NFS共享目录
  14. setsebool -P nfs_export_all_rw=1
复制代码
  2. # 查看服务允许的端口
  3. semanage port -l | grep http
  5. # 添加新端口到SELinux策略
  6. semanage port -a -t http_port_t -p tcp 8080
  8. # 查看端口上下文
  9. semanage port -l | grep 8080
复制代码
  2. # 安装SELinux故障排除工具
  3. dnf install -y setroubleshoot-server
  5. # 查看SELinux拒绝日志
  6. sealert -a /var/log/audit/audit.log
  8. # 启用SELinux日志
  9. auditctl -w /var/log/audit/audit.log -p wa -k selinux
复制代码

3.3 网络服务安全配置
  2. # 备份SSH配置文件
  3. cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
  5. # 编辑SSH配置文件
  6. vi /etc/ssh/sshd_config
复制代码

建议的安全配置：
  2. # 禁用root登录
  3. PermitRootLogin no
  5. # 仅允许特定用户登录
  6. AllowUsers user1 user2
  8. # 禁用密码认证，仅允许密钥认证
  9. PasswordAuthentication no
  10. PubkeyAuthentication yes
  12. # 更改默认端口
  13. Port 2222
  15. # 禁用空密码
  16. PermitEmptyPasswords no
  18. # 限制登录尝试次数
  19. MaxAuthTries 3
  21. # 设置登录超时时间
  22. LoginGraceTime 60
  24. # 禁用X11转发
  25. X11Forwarding no
  27. # 仅使用协议2
  28. Protocol 2
  30. # 禁用.rhosts文件认证
  31. IgnoreRhosts yes
  33. # 禁用基于主机的认证
  34. HostbasedAuthentication no
  36. # 设置客户端保持活动时间间隔
  37. ClientAliveInterval 300
  38. ClientAliveCountMax 3
  40. # 使用更强的加密算法
  41. Ciphers chacha20-poly1305@openssl.com,aes256-gcm@openssl.com,aes128-gcm@openssl.com,aes256-ctr,aes192-ctr,aes128-ctr
  42. MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256
  43. KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256
复制代码

重启SSH服务：
  2. systemctl restart sshd
复制代码
  2. # 在客户端生成SSH密钥对
  3. ssh-keygen -t ed25519 -b 4096
  5. # 将公钥复制到服务器
  6. ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server
  8. # 或者手动复制公钥到服务器
  9. cat ~/.ssh/id_ed25519.pub | ssh user@server "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"
  11. # 设置服务器上的密钥文件权限
  12. chmod 700 ~/.ssh
  13. chmod 600 ~/.ssh/authorized_keys
复制代码
  2. # 安装EPEL仓库
  3. dnf install -y epel-release
  5. # 安装fail2ban
  6. dnf install -y fail2ban
  8. # 启动并启用fail2ban
  9. systemctl start fail2ban
  10. systemctl enable fail2ban
  12. # 复制配置文件
  13. cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
  15. # 编辑配置文件
  16. vi /etc/fail2ban/jail.local
复制代码

配置示例：
  2. [DEFAULT]
  3. # 禁止时间（秒）
  4. bantime = 3600
  6. # 找到失败次数
  7. findtime = 600
  9. # 最大尝试次数
  10. maxretry = 3
  12. [sshd]
  13. enabled = true
  14. port = 2222
  15. filter = sshd
  16. logpath = /var/log/secure
  17. maxretry = 3
  18. bantime = 3600
  20. [nginx-http-auth]
  21. enabled = true
  22. filter = nginx-http-auth
  23. port = http,https
  24. logpath = /var/log/nginx/error.log
  25. maxretry = 3
  26. bantime = 3600
复制代码

重启fail2ban：
  2. systemctl restart fail2ban
复制代码

3.4 DDoS防护措施
  2. # 使用iptables限制每分钟新连接数
  3. iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j DROP
  4. iptables -A INPUT -p tcp --dport 80 -m limit --limit 50/minute --limit-burst 100 -j ACCEPT
  6. # 使用nftables限制连接速率
  7. nft add table inet filter
  8. nft add chain inet filter input { type filter hook input priority 0 \; }
  9. nft add rule inet filter input tcp dport 80 ct state new limit rate 50/minute burst 100 packets accept
  10. nft add rule inet filter input tcp dport 80 ct state new drop
复制代码
  2. # 增加SYN队列长度
  3. sysctl -w net.ipv4.tcp_max_syn_backlog=65536
  5. # 启用SYN cookies
  6. sysctl -w net.ipv4.tcp_syncookies=1
  8. # 减少SYN-ACK重传次数
  9. sysctl -w net.ipv4.tcp_synack_retries=2
  11. # 减少SYN重传次数
  12. sysctl -w net.ipv4.tcp_syn_retries=2
  14. # 使设置永久生效
  15. echo "net.ipv4.tcp_max_syn_backlog=65536" >> /etc/sysctl.d/99-network.conf
  16. echo "net.ipv4.tcp_syncookies=1" >> /etc/sysctl.d/99-network.conf
  17. echo "net.ipv4.tcp_synack_retries=2" >> /etc/sysctl.d/99-network.conf
  18. echo "net.ipv4.tcp_syn_retries=2" >> /etc/sysctl.d/99-network.conf
复制代码
  2. # 下载APF
  3. cd /usr/src
  4. wget http://www.rfxn.com/downloads/apf-current.tar.gz
  5. tar -xvzf apf-current.tar.gz
  6. cd apf-*
  8. # 安装APF
  9. ./install.sh
  11. # 配置APF
  12. vi /etc/apf/conf.apf
复制代码

重要配置项：
  2. # 启用防火墙
  3. DEVEL_MODE="0"
  5. # 设置入站和出站连接策略
  6. IG_TCP_CPORTS="22,80,443"
  7. IG_UDP_CPORTS=""
  8. EG_TCP_CPORTS="21,25,80,443,43"
  9. EG_UDP_CPORTS="20,21,53"
  11. # 启用DOS防护
  12. USE_AD="1"
复制代码

启动APF：
  2. /etc/apf/apf -s
复制代码

如果使用nginx作为Web服务器，可以配置请求限制：
  2. http {
  3.     limit_req_zone $binary_remote_addr zone=login:10m rate=10r/m;
  4.    
  5.     server {
  6.         location /login {
  7.             limit_req zone=login burst=20 nodelay;
  8.             proxy_pass http://backend;
  9.         }
  10.     }
  11. }
复制代码

对于大型网站，建议使用Cloudflare等CDN服务来缓解DDoS攻击。这些服务提供：

1. 分布式流量清洗
2. 基于行为的DDoS检测
3. 自动攻击缓解
4. 全球流量分发

4. 高级网络配置

4.1 网络绑定与冗余

网络绑定（Bonding）可以将多个物理网络接口组合为一个逻辑接口，提高带宽和冗余性。
  2. # 安装绑定工具
  3. dnf install -y bonding-utils
  5. # 加载绑定模块
  6. modprobe bonding
  8. # 创建绑定配置文件
  9. vi /etc/sysconfig/network-scripts/ifcfg-bond0
复制代码

添加以下内容：
  2. DEVICE=bond0
  3. TYPE=Bond
  4. NAME=bond0
  5. BONDING_MASTER=yes
  6. IPADDR=192.168.1.100
  7. PREFIX=24
  8. GATEWAY=192.168.1.1
  9. DNS1=8.8.8.8
  10. DNS2=8.8.4.4
  11. ONBOOT=yes
  12. BOOTPROTO=none
  13. BONDING_OPTS="mode=4 miimon=100 lacp_rate=1 xmit_hash_policy=layer3+4"
复制代码

配置从属接口：
  2. # 编辑eth0配置文件
  3. vi /etc/sysconfig/network-scripts/ifcfg-eth0
复制代码

内容：
  2. DEVICE=eth0
  3. TYPE=Ethernet
  4. NAME=eth0
  5. UUID=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  6. ONBOOT=yes
  7. BOOTPROTO=none
  8. MASTER=bond0
  9. SLAVE=yes
复制代码
  2. # 编辑eth1配置文件
  3. vi /etc/sysconfig/network-scripts/ifcfg-eth1
复制代码

内容：
  2. DEVICE=eth1
  3. TYPE=Ethernet
  4. NAME=eth1
  5. UUID=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  6. ONBOOT=yes
  7. BOOTPROTO=none
  8. MASTER=bond0
  9. SLAVE=yes
复制代码

重启网络服务：
  2. systemctl restart network
复制代码

1. mode=0 (balance-rr): 轮询模式，提供负载均衡和容错
2. mode=1 (active-backup): 主备模式，提供容错
3. mode=2 (balance-xor): XOR模式，提供负载均衡和容错
4. mode=3 (broadcast): 广播模式，提供容错
5. mode=4 (802.3ad): IEEE 802.3ad动态链接聚合，提供负载均衡和容错
6. mode=5 (balance-tlb): 自适应传输负载均衡，提供负载均衡和容错
7. mode=6 (balance-alb): 自适应负载均衡，提供负载均衡和容错
  2. # 查看绑定状态
  3. cat /proc/net/bonding/bond0
  5. # 查看绑定接口状态
  6. ip link show bond0
复制代码

4.2 VLAN配置

VLAN（虚拟局域网）允许在物理网络上创建逻辑隔离的子网。
  2. # 安装VLAN工具
  3. dnf install -y vconfig
  5. # 加载802.1q模块
  6. modprobe 8021q
  8. # 创建VLAN接口配置文件
  9. vi /etc/sysconfig/network-scripts/ifcfg-bond0.100
复制代码

添加以下内容：
  2. DEVICE=bond0.100
  3. VLAN=yes
  4. TYPE=Vlan
  5. PHYSDEV=bond0
  6. VLAN_ID=100
  7. NAME=bond0.100
  8. ONBOOT=yes
  9. BOOTPROTO=none
  10. IPADDR=192.168.100.100
  11. PREFIX=24
复制代码

重启网络服务：
  2. systemctl restart network
复制代码
  2. # 创建VLAN连接
  3. nmcli connection add type vlan ifname bond0.100 dev bond0 id 100
  5. # 配置VLAN连接
  6. nmcli connection modify vlan-bond0.100 ipv4.addresses 192.168.100.100/24
  7. nmcli connection modify vlan-bond0.100 ipv4.method manual
  9. # 启用VLAN连接
  10. nmcli connection up vlan-bond0.100
复制代码

4.3 网络桥接

网络桥接允许将多个网络接口连接到同一个广播域，常用于虚拟化环境。
  2. # 安装网桥工具
  3. dnf install -y bridge-utils
  5. # 创建桥接接口配置文件
  6. vi /etc/sysconfig/network-scripts/ifcfg-br0
复制代码

添加以下内容：
  2. DEVICE=br0
  3. TYPE=Bridge
  4. NAME=br0
  5. ONBOOT=yes
  6. BOOTPROTO=none
  7. IPADDR=192.168.1.100
  8. PREFIX=24
  9. GATEWAY=192.168.1.1
  10. DNS1=8.8.8.8
  11. DNS2=8.8.4.4
  12. DELAY=0
  13. STP=off
复制代码

配置从属接口：
  2. # 编辑eth0配置文件
  3. vi /etc/sysconfig/network-scripts/ifcfg-eth0
复制代码

内容：
  2. DEVICE=eth0
  3. TYPE=Ethernet
  4. NAME=eth0
  5. UUID=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  6. ONBOOT=yes
  7. BOOTPROTO=none
  8. BRIDGE=br0
复制代码

重启网络服务：
  2. systemctl restart network
复制代码
  2. # 创建桥接连接
  3. nmcli connection add type bridge ifname br0
  5. # 配置桥接连接
  6. nmcli connection modify bridge-br0 ipv4.addresses 192.168.1.100/24
  7. nmcli connection modify bridge-br0 ipv4.method manual
  8. nmcli connection modify bridge-br0 bridge.stp no
  10. # 将接口添加到桥接
  11. nmcli connection add type ethernet slave-type bridge ifname eth0 master br0
  13. # 启用桥接连接
  14. nmcli connection up bridge-br0
  15. nmcli connection up bridge-slave-eth0
复制代码
  2. # 查看桥接状态
  3. brctl show
  5. # 查看桥接接口状态
  6. ip link show br0
复制代码

4.4 高级路由策略

策略路由允许根据数据包的源地址、目标地址、端口等属性选择不同的路由表。
  2. # 创建自定义路由表
  3. echo "200 custom_table" >> /etc/iproute2/rt_tables
  5. # 添加路由规则
  6. ip rule add from 192.168.1.0/24 table custom_table
  7. ip rule add to 192.168.1.0/24 table custom_table
  9. # 添加路由到自定义表
  10. ip route add default via 192.168.1.1 table custom_table
  11. ip route add 192.168.1.0/24 dev eth0 table custom_table
  13. # 刷新路由缓存
  14. ip route flush cache
复制代码

要使设置永久生效，可以创建网络脚本：
  2. # 创建路由脚本
  3. vi /etc/network-scripts/route-eth0
复制代码

添加以下内容：
  2. 192.168.1.0/24 via 192.168.1.1 dev eth0 table custom_table
  3. default via 192.168.1.1 dev eth0 table custom_table
复制代码
  2. # 创建规则脚本
  3. vi /etc/network-scripts/rule-eth0
复制代码

添加以下内容：
  2. from 192.168.1.0/24 table custom_table
  3. to 192.168.1.0/24 table custom_table
复制代码

多宿主路由允许服务器连接到多个网络，并根据策略选择出口。
  2. # 添加默认路由到第一个ISP
  3. ip route add default via 10.0.0.1 dev eth0 table 100
  5. # 添加默认路由到第二个ISP
  6. ip route add default via 20.0.0.1 dev eth1 table 200
  8. # 添加路由规则
  9. ip rule add from 10.0.0.0/24 table 100
  10. ip rule add from 20.0.0.0/24 table 200
  12. # 设置主路由表
  13. ip route add default via 10.0.0.1 dev eth0
  15. # 刷新路由缓存
  16. ip route flush cache
复制代码
  2. # 创建多路径路由
  3. ip route add default nexthop via 10.0.0.1 dev eth0 weight 1 nexthop via 20.0.0.1 dev eth1 weight 1
  5. # 设置源路由
  6. ip rule add from 10.0.0.0/24 table 100
  7. ip rule add from 20.0.0.0/24 table 200
  9. # 添加路由到表
  10. ip route add 10.0.0.0/24 dev eth0 table 100
  11. ip route add 20.0.0.0/24 dev eth1 table 200
  12. ip route add default via 10.0.0.1 dev eth0 table 100
  13. ip route add default via 20.0.0.1 dev eth1 table 200
  15. # 刷新路由缓存
  16. ip route flush cache
复制代码

5. 网络监控与故障排除

5.1 网络监控工具
  2. # 安装iftop
  3. dnf install -y iftop
  5. # 监控eth0接口流量
  6. iftop -i eth0
  8. # 显示端口信息
  9. iftop -P -i eth0
  11. # 显示特定网段的流量
  12. iftop -F 192.168.1.0/24 -i eth0
复制代码
  2. # 安装nethogs
  3. dnf install -y nethogs
  5. # 监控进程网络使用
  6. nethogs eth0
  8. # 按流量排序
  9. nethogs -t eth0
复制代码
  2. # 安装vnStat
  3. dnf install -y vnstat
  5. # 初始化数据库
  6. vnstat -u -i eth0
  8. # 查看流量统计
  9. vnstat -i eth0
  11. # 实时监控
  12. vnstat -l -i eth0
复制代码
  2. # 安装bmon
  3. dnf install -y bmon
  5. # 启动bmon
  6. bmon -p eth0
复制代码
  2. # 安装Prometheus Node Exporter
  3. dnf install -y prometheus-node-exporter
  5. # 启动Node Exporter
  6. systemctl start prometheus-node-exporter
  7. systemctl enable prometheus-node-exporter
  9. # 配置Prometheus抓取数据
  10. vi /etc/prometheus/prometheus.yml
复制代码

添加以下内容：
  2. scrape_configs:
  3.   - job_name: 'node_exporter'
  4.     static_configs:
  5.       - targets: ['localhost:9100']
复制代码

重启Prometheus：
  2. systemctl restart prometheus
复制代码

在Grafana中导入Node Exporter仪表板（ID：1860）来监控网络性能。

5.2 性能分析工具
  2. # 安装tcpdump
  3. dnf install -y tcpdump
  5. # 捕获eth0接口上的所有数据包
  6. tcpdump -i eth0
  8. # 捕获特定主机的数据包
  9. tcpdump -i eth0 host 192.168.1.100
  11. # 捕获特定端口的数据包
  12. tcpdump -i eth0 port 80
  14. # 捕获HTTP请求
  15. tcpdump -i eth0 -A 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'
  17. # 保存捕获结果到文件
  18. tcpdump -i eth0 -w capture.pcap
  20. # 读取捕获文件
  21. tcpdump -r capture.pcap
复制代码
  2. # 安装Wireshark
  3. dnf install -y wireshark
  5. # 添加用户到wireshark组
  6. usermod -a -G wireshark $USER
  7. newgrp wireshark
  9. # 启动Wireshark GUI
  10. wireshark
复制代码
  2. # 安装netperf
  3. dnf install -y netperf
  5. # 在服务器端启动netserver
  6. netserver
  8. # 在客户端测试TCP吞吐量
  9. netperf -H server_ip -t TCP_STREAM
  11. # 测试UDP吞吐量
  12. netperf -H server_ip -t UDP_STREAM
  14. # 测试请求/响应性能
  15. netperf -H server_ip -t TCP_RR
复制代码
  2. # 安装iperf3
  3. dnf install -y iperf3
  5. # 在服务器端启动iperf3
  6. iperf3 -s
  8. # 在客户端测试TCP带宽
  9. iperf3 -c server_ip
  11. # 测试UDP带宽
  12. iperf3 -c server_ip -u
  14. # 测试双向带宽
  15. iperf3 -c server_ip -d
  17. # 指定测试时间
  18. iperf3 -c server_ip -t 60
复制代码

5.3 常见问题及解决方案

问题：网络接口无法启动，错误信息”Device not found”

解决方案：
  2. # 检查接口是否存在
  3. ip link show
  5. # 检查驱动是否加载
  6. lspci | grep -i ethernet
  7. lsmod | grep e1000
  9. # 重新加载驱动
  10. modprobe -r e1000
  11. modprobe e1000
  13. # 检查NetworkManager状态
  14. systemctl status NetworkManager
  15. journalctl -u NetworkManager
复制代码

问题：网络连接缓慢，延迟高

解决方案：
  2. # 检查网络接口错误
  3. ethtool -S eth0
  5. # 检查网络队列
  6. ethtool -g eth0
  8. # 调整网络缓冲区
  9. ethtool -G eth0 rx 4096 tx 4096
  11. # 检查网络拥塞控制算法
  12. sysctl net.ipv4.tcp_congestion_control
  14. # 更改为BBR算法
  15. sysctl -w net.ipv4.tcp_congestion_control=bbr
  17. # 检查MTU设置
  18. ip link show eth0
  20. # 测试最佳MTU
  21. ping -M do -s 1472 192.168.1.1
复制代码

问题：网络连接频繁断开，不稳定

解决方案：
  2. # 检查网络接口状态
  3. ip link show eth0
  5. # 检查网络接口统计
  6. ethtool -S eth0
  8. # 禁用节能功能
  9. ethtool -s eth0 wol d
  10. ethtool -s eth0 autoneg off speed 1000 duplex full
  12. # 检查网络电缆和交换机
  13. # 尝试更换网络电缆或交换机端口
  15. # 检查系统日志
  16. journalctl -k | grep eth0
复制代码

问题：DNS解析缓慢，影响网络访问

解决方案：
  2. # 检查DNS配置
  3. cat /etc/resolv.conf
  5. # 测试DNS解析速度
  6. time dig example.com
  8. # 使用更快的DNS服务器
  9. echo "nameserver 8.8.8.8" > /etc/resolv.conf
  10. echo "nameserver 1.1.1.1" >> /etc/resolv.conf
  12. # 安装并启用本地DNS缓存
  13. dnf install -y unbound
  14. systemctl start unbound
  15. systemctl enable unbound
  17. # 配置本地DNS缓存
  18. echo "nameserver 127.0.0.1" > /etc/resolv.conf
复制代码

问题：检测到网络攻击，如SYN Flood、DDoS等

解决方案：
  2. # 检查网络连接
  3. ss -tuna | grep SYN_RECV
  5. # 使用iptables限制连接速率
  6. iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j DROP
  8. # 使用sysctl参数防止SYN Flood
  9. sysctl -w net.ipv4.tcp_syncookies=1
  10. sysctl -w net.ipv4.tcp_max_syn_backlog=65536
  11. sysctl -w net.ipv4.tcp_synack_retries=2
  13. # 使用fail2ban防止暴力破解
  14. systemctl start fail2ban
  16. # 使用APF防火墙
  17. /etc/apf/apf -r
  19. # 考虑使用专业的DDoS防护服务
复制代码

6. 最佳实践与案例研究

6.1 Web服务器网络优化案例

某电子商务网站在AlmaLinux上运行，面临高并发访问和网络安全挑战。

1. 网络接口配置
  2. # 配置双网卡绑定
  3. vi /etc/sysconfig/network-scripts/ifcfg-bond0
复制代码

内容：
  2. DEVICE=bond0
  3. TYPE=Bond
  4. NAME=bond0
  5. BONDING_MASTER=yes
  6. IPADDR=203.0.113.100
  7. PREFIX=24
  8. GATEWAY=203.0.113.1
  9. DNS1=8.8.8.8
  10. DNS2=8.8.4.4
  11. ONBOOT=yes
  12. BOOTPROTO=none
  13. BONDING_OPTS="mode=4 miimon=100 lacp_rate=1 xmit_hash_policy=layer3+4"
复制代码

1. 内核参数优化
  2. # 编辑sysctl配置文件
  3. vi /etc/sysctl.d/99-webserver.conf
复制代码

内容：
  2. # 增加文件描述符限制
  3. fs.file-max = 100000
  5. # 增加网络端口范围
  6. net.ipv4.ip_local_port_range = 1024 65535
  8. # TCP优化
  9. net.ipv4.tcp_tw_reuse = 1
  10. net.ipv4.tcp_fin_timeout = 10
  11. net.ipv4.tcp_keepalive_time = 600
  12. net.ipv4.tcp_keepalive_intvl = 60
  13. net.ipv4.tcp_keepalive_probes = 3
  14. net.ipv4.tcp_max_syn_backlog = 65536
  15. net.ipv4.tcp_syncookies = 1
  16. net.ipv4.tcp_synack_retries = 2
  17. net.ipv4.tcp_syn_retries = 2
  18. net.ipv4.tcp_retries2 = 5
  19. net.ipv4.tcp_rmem = 4096 87380 16777216
  20. net.ipv4.tcp_wmem = 4096 65536 16777216
  21. net.core.rmem_max = 16777216
  22. net.core.wmem_max = 16777216
  23. net.core.netdev_max_backlog = 5000
  24. net.core.somaxconn = 65535
  26. # 使用BBR拥塞控制算法
  27. net.ipv4.tcp_congestion_control = bbr
  28. net.ipv4.tcp_fastopen = 3
  30. # 增加连接跟踪表大小
  31. net.netfilter.nf_conntrack_max = 1000000
  32. net.netfilter.nf_conntrack_tcp_timeout_established = 300
复制代码

应用配置：
  2. sysctl -p /etc/sysctl.d/99-webserver.conf
复制代码

1. 网络缓冲区优化
  2. # 创建NetworkManager调度程序脚本
  3. vi /etc/NetworkManager/dispatcher.d/02-ethtool-settings
复制代码

内容：
  2. #!/bin/bash
  3. INTERFACE=$1
  4. STATUS=$2
  6. if [ "$STATUS" = "up" ]; then
  7.     case "$INTERFACE" in
  8.         bond*)
  9.             ethtool -G $INTERFACE rx 4096 tx 4096
  10.             ethtool -K $INTERFACE gso on
  11.             ethtool -K $INTERFACE tso on
  12.             ethtool -K $INTERFACE ufo on
  13.             ethtool -K $INTERFACE gro on
  14.             ;;
  15.     esac
  16. fi
复制代码

使脚本可执行：
  2. chmod +x /etc/NetworkManager/dispatcher.d/02-ethtool-settings
复制代码

1. 防火墙配置
  2. # 配置firewalld
  3. firewall-cmd --permanent --add-service=http
  4. firewall-cmd --permanent --add-service=https
  5. firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.0.0/8" drop'
  6. firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="172.16.0.0/12" drop'
  7. firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.0.0/16" drop'
  8. firewall-cmd --reload
复制代码

1. Nginx配置优化
  2. user nginx;
  3. worker_processes auto;
  4. worker_rlimit_nofile 100000;
  6. events {
  7.     worker_connections 4000;
  8.     use epoll;
  9.     multi_accept on;
  10. }
  12. http {
  13.     open_file_cache max=200000 inactive=20s;
  14.     open_file_cache_valid 30s;
  15.     open_file_cache_min_uses 2;
  16.     open_file_cache_errors on;
  18.     sendfile on;
  19.     tcp_nopush on;
  20.     tcp_nodelay on;
  22.     keepalive_timeout 30;
  23.     keepalive_requests 100000;
  24.     reset_timedout_connection on;
  25.     client_body_timeout 10;
  26.     send_timeout 2;
  28.     # 限制请求速率
  29.     limit_req_zone $binary_remote_addr zone=login:10m rate=10r/m;
  30.     limit_req_zone $binary_remote_addr zone=api:10m rate=100r/m;
  32.     server {
  33.         listen 80 reuseport;
  34.         listen 443 ssl reuseport;
  36.         # 限制登录请求
  37.         location /login {
  38.             limit_req zone=login burst=20 nodelay;
  39.             proxy_pass http://backend;
  40.         }
  42.         # 限制API请求
  43.         location /api {
  44.             limit_req zone=api burst=200 nodelay;
  45.             proxy_pass http://backend;
  46.         }
  47.     }
  48. }
复制代码

1. 监控配置
  2. # 安装Prometheus Node Exporter
  3. dnf install -y prometheus-node-exporter
  4. systemctl start prometheus-node-exporter
  5. systemctl enable prometheus-node-exporter
  7. # 安装nginx_exporter
  8. dnf install -y nginx-exporter
  9. systemctl start nginx-exporter
  10. systemctl enable nginx-exporter
复制代码

经过优化后，该电子商务网站的并发处理能力提高了300%，页面加载时间减少了50%，成功抵御了多次DDoS攻击，网络稳定性显著提高。

6.2 数据库服务器网络优化案例

某金融机构的AlmaLinux数据库服务器需要处理大量交易数据，对网络延迟和吞吐量要求极高。

1. 网络接口配置
  2. # 配置双网卡绑定和VLAN
  3. vi /etc/sysconfig/network-scripts/ifcfg-bond0
复制代码

内容：
  2. DEVICE=bond0
  3. TYPE=Bond
  4. NAME=bond0
  5. BONDING_MASTER=yes
  6. ONBOOT=yes
  7. BOOTPROTO=none
  8. BONDING_OPTS="mode=4 miimon=100 lacp_rate=1 xmit_hash_policy=layer3+4"
复制代码
  2. # 配置VLAN接口
  3. vi /etc/sysconfig/network-scripts/ifcfg-bond0.100
复制代码

内容：
  2. DEVICE=bond0.100
  3. VLAN=yes
  4. TYPE=Vlan
  5. PHYSDEV=bond0
  6. VLAN_ID=100
  7. NAME=bond0.100
  8. ONBOOT=yes
  9. BOOTPROTO=none
  10. IPADDR=10.10.100.100
  11. PREFIX=24
复制代码

1. 内核参数优化
  2. # 编辑sysctl配置文件
  3. vi /etc/sysctl.d/99-database.conf
复制代码

内容：
  2. # 增加文件描述符限制
  3. fs.file-max = 100000
  5. # 增加网络端口范围
  6. net.ipv4.ip_local_port_range = 1024 65535
  8. # TCP优化
  9. net.ipv4.tcp_tw_reuse = 1
  10. net.ipv4.tcp_fin_timeout = 10
  11. net.ipv4.tcp_keepalive_time = 1200
  12. net.ipv4.tcp_keepalive_intvl = 60
  13. net.ipv4.tcp_keepalive_probes = 3
  14. net.ipv4.tcp_max_syn_backlog = 65536
  15. net.ipv4.tcp_syncookies = 1
  16. net.ipv4.tcp_synack_retries = 2
  17. net.ipv4.tcp_syn_retries = 2
  18. net.ipv4.tcp_retries2 = 5
  19. net.ipv4.tcp_rmem = 4096 87380 16777216
  20. net.ipv4.tcp_wmem = 4096 65536 16777216
  21. net.core.rmem_max = 16777216
  22. net.core.wmem_max = 16777216
  23. net.core.netdev_max_backlog = 10000
  24. net.core.somaxconn = 65535
  26. # 使用BBR拥塞控制算法
  27. net.ipv4.tcp_congestion_control = bbr
  28. net.ipv4.tcp_fastopen = 3
  30. # 禁用TCP时间戳
  31. net.ipv4.tcp_timestamps = 0
  33. # 增加连接跟踪表大小
  34. net.netfilter.nf_conntrack_max = 1000000
  35. net.netfilter.nf_conntrack_tcp_timeout_established = 300
  37. # 优化内存管理
  38. vm.swappiness = 10
  39. vm.dirty_ratio = 15
  40. vm.dirty_background_ratio = 5
复制代码

应用配置：
  2. sysctl -p /etc/sysctl.d/99-database.conf
复制代码

1. 网络缓冲区和队列优化
  2. # 创建NetworkManager调度程序脚本
  3. vi /etc/NetworkManager/dispatcher.d/02-ethtool-settings
复制代码

内容：
  2. #!/bin/bash
  3. INTERFACE=$1
  4. STATUS=$2
  6. if [ "$STATUS" = "up" ]; then
  7.     case "$INTERFACE" in
  8.         bond*)
  9.             ethtool -G $INTERFACE rx 8192 tx 8192
  10.             ethtool -K $INTERFACE gso off
  11.             ethtool -K $INTERFACE tso off
  12.             ethtool -K $INTERFACE ufo off
  13.             ethtool -K $INTERFACE gro on
  14.             ethtool -C $INTERFACE rx-usecs 100 tx-usecs 100
  15.             ;;
  16.     esac
  17. fi
复制代码

使脚本可执行：
  2. chmod +x /etc/NetworkManager/dispatcher.d/02-ethtool-settings
复制代码

1. 多队列网卡优化
  2. # 配置RPS
  3. echo ff > /sys/class/net/bond0/queues/rx-0/rps_cpus
  4. echo ff > /sys/class/net/bond0/queues/rx-1/rps_cpus
  5. echo ff > /sys/class/net/bond0/queues/rx-2/rps_cpus
  6. echo ff > /sys/class/net/bond0/queues/rx-3/rps_cpus
  8. # 配置XPS
  9. echo ff > /sys/class/net/bond0/queues/tx-0/xps_cpus
  10. echo ff > /sys/class/net/bond0/queues/tx-1/xps_cpus
  11. echo ff > /sys/class/net/bond0/queues/tx-2/xps_cpus
  12. echo ff > /sys/class/net/bond0/queues/tx-3/xps_cpus
  14. # 设置RPS流限制
  15. echo 32768 > /proc/sys/net/core/rps_sock_flow_entries
复制代码

1. 防火墙配置
  2. # 配置firewalld
  3. firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.10.0.0/16" port protocol="tcp" port="3306" accept'
  4. firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.20.0.0/16" port protocol="tcp" port="3306" accept'
  5. firewall-cmd --reload
复制代码

1. 数据库网络配置
  2. # MySQL配置优化
  3. vi /etc/my.cnf
复制代码

添加以下内容：
  2. [mysqld]
  3. # 网络配置
  4. bind-address = 10.10.100.100
  5. port = 3306
  6. max_connections = 5000
  7. back_log = 2048
  8. max_connect_errors = 100000
  9. connect_timeout = 10
  10. wait_timeout = 28800
  11. interactive_timeout = 28800
  13. # 缓冲区配置
  14. max_allowed_packet = 256M
  15. thread_stack = 256K
  16. thread_cache_size = 300
  17. thread_concurrency = 16
  19. # InnoDB配置
  20. innodb_buffer_pool_size = 32G
  21. innodb_log_file_size = 2G
  22. innodb_log_buffer_size = 64M
  23. innodb_flush_log_at_trx_commit = 2
  24. innodb_flush_method = O_DIRECT
  25. innodb_file_per_table = 1
  26. innodb_read_io_threads = 16
  27. innodb_write_io_threads = 16
  28. innodb_thread_concurrency = 0
复制代码

1. 监控配置
  2. # 安装Prometheus Node Exporter
  3. dnf install -y prometheus-node-exporter
  4. systemctl start prometheus-node-exporter
  5. systemctl enable prometheus-node-exporter
  7. # 安装MySQL Exporter
  8. dnf install -y mysql_exporter
  9. systemctl start mysql_exporter
  10. systemctl enable mysql_exporter
复制代码

经过优化后，该金融机构的数据库服务器网络延迟降低了70%，吞吐量提高了200%，事务处理速度显著提升，成功应对了高峰期的交易负载，系统稳定性大幅提高。

7. 总结

本文全面介绍了AlmaLinux网络配置的深度优化技术，从基础设置到高级调优，涵盖了网络性能优化和安全加固的各个方面。通过合理配置网络接口、调整内核参数、优化网络协议、配置高级网络功能以及实施有效的安全措施，可以显著提高AlmaLinux服务器的网络性能和安全性。

关键要点包括：

1. 基础网络配置：正确配置网络接口、IP地址、DNS和主机名是网络优化的基础。
2. 网络性能优化：通过调整内核参数、网络缓冲区、拥塞控制算法和多队列网卡设置，可以显著提高网络性能。
3. 网络安全加固：使用防火墙、SELinux、安全服务配置和DDoS防护措施，可以有效提高网络安全性。
4. 高级网络配置：网络绑定、VLAN、网络桥接和高级路由策略可以提供更灵活、更可靠的网络解决方案。
5. 网络监控与故障排除：使用各种网络监控工具和性能分析工具，可以及时发现和解决网络问题。
6. 最佳实践与案例研究：通过实际案例展示了如何针对不同应用场景进行网络优化。

基础网络配置：正确配置网络接口、IP地址、DNS和主机名是网络优化的基础。

网络性能优化：通过调整内核参数、网络缓冲区、拥塞控制算法和多队列网卡设置，可以显著提高网络性能。

网络安全加固：使用防火墙、SELinux、安全服务配置和DDoS防护措施，可以有效提高网络安全性。

高级网络配置：网络绑定、VLAN、网络桥接和高级路由策略可以提供更灵活、更可靠的网络解决方案。

网络监控与故障排除：使用各种网络监控工具和性能分析工具，可以及时发现和解决网络问题。

最佳实践与案例研究：通过实际案例展示了如何针对不同应用场景进行网络优化。

网络优化是一个持续的过程，需要根据实际应用场景和需求不断调整和优化。希望本文能够帮助系统管理员和运维工程师更好地理解和掌握AlmaLinux网络配置优化技术，构建高性能、高安全性的服务器网络环境。
高性能, 系统管理员
「七転び八起き（ななころびやおき）」
回复

使用道具 举报

返回列表 发新帖
您需要登录后才可以回帖 登录 | 立即注册
高级模式
B Color Image Link Quote Code Smilies

本版积分规则