3. 网络栈优化（上）：核心参数解析

Kubernetes 集群中，Pod 间通信、Service 负载均衡、Ingress 流量接入均依赖宿主机网络栈。若操作系统网络参数未针对高并发、短连接场景调优，极易出现连接超时、丢包、队列溢出等问题。本节聚焦四个最关键的 TCP/IP 栈参数，解析其原理、默认值与生产推荐值。

3.1 参数全景图

以下 SVG 展示了四个参数在 TCP 连接生命周期中的位置与作用阶段：

3.2 参数详解与配置

3.2.1 net.core.somaxconn

作用：定义每个监听 socket 的已完成连接队列（accept queue）最大长度。当应用调用 listen(fd, backlog) 时，内核实际取 min(backlog, somaxconn)。

• 默认值：128（多数发行版）
• K8s 推荐值：65535 或 16384
• 影响场景：Ingress Controller（Nginx/HAProxy）、API Server、Service Mesh Sidecar

# 查看当前值
sysctl net.core.somaxconn

# 查看 socket 当前 accept 队列溢出计数
netstat -s | grep -i "listen queue overflow"
# 或
ss -lnt | grep -v State | awk '{print $2}' | sort -n | uniq -c

3.2.2 net.ipv4.tcp_max_syn_backlog

作用：控制半连接队列（SYN_RCVD 状态）的最大长度。当 SYN 泛洪攻击或瞬时高并发连接涌入时，此参数决定内核能缓存多少未完成三次握手的连接。

• 默认值：1024（低内存设备）或 4096（服务器）
• K8s 推荐值：65536 或 131072
• 关联参数：net.ipv4.tcp_syncookies 开启后，此队列限制作用减弱，但仍建议调大以应对突发流量。

3.2.3 net.ipv4.tcp_tw_reuse

作用：允许内核在 出站连接（客户端侧）中复用处于 TIME_WAIT 状态的 socket 端口。注意：此参数仅对主动发起连接的一方生效，对监听 socket 无效。

• 默认值：0（关闭）
• K8s 推荐值：1（开启）
• 适用场景：NodePort 访问、Service Mesh 客户端、Prometheus 抓取、kube-proxy 出站连接

3.2.4 net.ipv4.tcp_fin_timeout

作用：定义 socket 在 FIN_WAIT2 状态的最大等待时间（单位：秒）。当主动关闭方收到对端 FIN 并发送 ACK 后，进入 FIN_WAIT2，若对端不发送 FIN，此定时器负责超时回收。

• 默认值：60 秒
• K8s 推荐值：15 或 30 秒
• 影响：缩短此值可加速异常连接回收，减少内核内存占用；但过小可能导致正常慢速对端未完成关闭即被强制回收。

3.3 参数对比速查表

3.4 一次性配置示例

以下为 K8s 节点推荐的 sysctl 配置片段，可直接写入 /etc/sysctl.d/99-k8s-network.conf：

# 网络栈优化 - K8s 节点通用配置
net.core.somaxconn = 65535
net.ipv4.tcp_max_syn_backlog = 65536
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_fin_timeout = 15

# 必须同时开启时间戳以支持 tcp_tw_reuse
net.ipv4.tcp_timestamps = 1

# 应用配置
sysctl -p /etc/sysctl.d/99-k8s-network.conf

3.5 验证与监控

配置生效后，建议通过以下手段验证优化效果：

• 队列溢出检查：netstat -s | grep -E "overflow|drop|syn"，观察计数是否持续增长。
• TIME_WAIT 数量：ss -tan state time-wait | wc -l，开启 tcp_tw_reuse 后应显著下降。
• 连接建立延迟：使用 ss -i 查看 socket 的 rtt 与拥塞状态。