Тюнинг ядра Linux через sysctl для высоких нагрузок

Утилита sysctl управляет параметрами ядра Linux через виртуальную файловую систему /proc/sys/. Каждый параметр соответствует файлу в этой файловой системе — например, net.core.somaxconn соответствует файлу /proc/sys/net/core/somaxconn.

# Просмотр всех параметров
sysctl -a

# Просмотр конкретного параметра
sysctl net.core.somaxconn

# Временная установка (до перезагрузки)
sysctl -w net.core.somaxconn=65535

# Или через /proc
echo 65535 > /proc/sys/net/core/somaxconn

# Применение из файла конфигурации
sysctl -p /etc/sysctl.d/99-tuning.conf

# Применение всех конфигурационных файлов
sysctl --system

Для постоянных изменений создавайте файлы в /etc/sysctl.d/ с расширением .conf. Файлы применяются в алфавитном порядке, поэтому используйте числовой префикс (например, 99-tuning.conf) для контроля приоритета.

Сетевые параметры — основная область тюнинга для веб-серверов, балансировщиков нагрузки, прокси-серверов и баз данных с сетевым доступом.

Параметры управления памятью влияют на поведение OOM Killer, swap и кэширование:

# /etc/sysctl.d/99-memory.conf

# Агрессивность использования swap (0-100)
# Для серверов с большим объёмом RAM рекомендуется низкое значение
vm.swappiness = 10

# Процент памяти для dirty pages (страницы, ожидающие записи на диск)
# Уменьшаем для предотвращения больших пиков записи
vm.dirty_ratio = 15
vm.dirty_background_ratio = 5

# Или абсолютные значения в байтах (приоритет над ratio)
# vm.dirty_bytes = 268435456
# vm.dirty_background_bytes = 134217728

# Overcommit: 0 = эвристика, 1 = всегда разрешать, 2 = строгий контроль
# Для баз данных рекомендуется 2 (строгий контроль)
vm.overcommit_memory = 0

# Минимальный свободный объём памяти (KB)
# Ядро начнёт освобождать память при достижении этого порога
vm.min_free_kbytes = 262144

# Предпочтение сброса inode/dentry кэша вместо page cache
vm.vfs_cache_pressure = 50

Каждое сетевое соединение, открытый файл и канал — это файловый дескриптор. Серверы с высокой нагрузкой быстро достигают лимитов по умолчанию:

# /etc/sysctl.d/99-limits.conf

# Максимальное количество файловых дескрипторов в системе
fs.file-max = 2097152

# Максимальное количество inotify watches (для мониторинга файлов)
fs.inotify.max_user_watches = 524288
fs.inotify.max_user_instances = 8192

# Диапазон эфемерных портов
net.ipv4.ip_local_port_range = 1024 65535

# Максимальное количество conntrack записей (для NAT/firewall)
net.netfilter.nf_conntrack_max = 1048576
nf_conntrack_hash_size = 262144

Помимо sysctl, настройте пользовательские лимиты в /etc/security/limits.conf:

# /etc/security/limits.conf
*    soft    nofile    1048576
*    hard    nofile    1048576
*    soft    nproc     65536
*    hard    nproc     65536
root soft    nofile    1048576
root hard    nofile    1048576

Для systemd-сервисов настройте лимиты в unit-файле:

# /etc/systemd/system/nginx.service.d/limits.conf
[Service]
LimitNOFILE=1048576
LimitNPROC=65536

Sysctl позволяет hardening ядра — защиту от сетевых атак и утечки информации:

# /etc/sysctl.d/99-security.conf

# Защита от IP spoofing (проверка обратного маршрута)
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1

# Игнорирование ICMP redirects (защита от MitM)
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv6.conf.all.accept_redirects = 0

# Запрет отправки ICMP redirects (если сервер не маршрутизатор)
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0

# Игнорирование broadcast ICMP (защита от smurf-атак)
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Логирование подозрительных пакетов
net.ipv4.conf.all.log_martians = 1

# Запрет маршрутизации (если сервер не роутер)
net.ipv4.ip_forward = 0
net.ipv6.conf.all.forwarding = 0

# Защита от hardlink/symlink атак
fs.protected_hardlinks = 1
fs.protected_symlinks = 1

# Ограничение информации о ядре для непривилегированных пользователей
kernel.dmesg_restrict = 1
kernel.kptr_restrict = 2

# Рандомизация адресного пространства (ASLR)
kernel.randomize_va_space = 2

Готовые профили sysctl для типичных серверных ролей:

После применения параметров необходимо убедиться, что они действуют и дают ожидаемый эффект:

# Проверка, что все параметры применены
sysctl -p /etc/sysctl.d/99-network.conf

# Сравнение текущих значений с конфигурацией
while IFS='=' read -r key value; do
  key=$(echo "$key" | xargs)
  value=$(echo "$value" | xargs)
  [[ -z "$key" || "$key" == \#* ]] && continue
  current=$(sysctl -n "$key" 2>/dev/null)
  if [ "$current" != "$value" ]; then
    echo "MISMATCH: $key = $current (expected $value)"
  fi
done < /etc/sysctl.d/99-network.conf

# Мониторинг сетевых метрик до и после
ss -s
cat /proc/net/sockstat
nstat -az | grep -i "drop\|overflow\|reject"

# Бенчмарк: тест с wrk
wrk -t12 -c1000 -d30s http://localhost/

# Проверка текущего лимита файловых дескрипторов
cat /proc/sys/fs/file-nr  # used / unused / max

Документируйте все изменения и их обоснование. Храните конфигурацию sysctl в системе контроля версий вместе с остальной инфраструктурной конфигурацией.