4. 内核参数调优基础

在容器网络场景中，内核参数是决定网络性能的底层基石。无论是 TCP 连接吞吐量、Socket 缓冲区大小，还是 Netfilter 连接跟踪能力，都直接受内核参数控制。本章将系统讲解内核参数的查询与修改方法、网络相关参数的分类体系，以及生产环境中的参数持久化策略。

4.1 sysctl 与 /proc 文件系统：两种操作接口

Linux 内核提供了两套用户态接口来查看和修改内核运行时参数：sysctl 命令与 /proc/sys 虚拟文件系统。两者本质操作同一份内核数据结构，只是呈现形式不同。

4.1.1 运行时查询与修改示例

# 查询当前 TCP 接收缓冲区默认值（字节）
sysctl net.ipv4.tcp_rmem

# 通过 /proc 查询相同参数
cat /proc/sys/net/ipv4/tcp_rmem

# 临时修改（重启失效）
sysctl -w net.ipv4.tcp_rmem="4096 131072 6291456"

# 等效的 /proc 写入
echo "4096 131072 6291456" > /proc/sys/net/ipv4/tcp_rmem

4.2 网络相关内核参数分类

网络内核参数数量超过 500 个，直接调优需要按功能域分类管理。以下按 TCP/IP、Socket、Netfilter 三大类进行梳理，每类选取对容器网络性能影响最大的参数。

4.2.1 TCP/IP 协议栈参数

TCP 参数直接影响连接吞吐量、延迟与稳定性。在容器化微服务场景中，短连接与长连接并存，参数配置需要兼顾两者。

4.2.2 Socket 与通用网络参数

Socket 层参数控制数据包在用户态与内核态之间的传递效率，直接影响系统调用开销与并发连接容量。

4.2.3 Netfilter / conntrack 参数

容器网络依赖 iptables / nftables 进行 NAT、网络策略与 Service 转发，conntrack 表是核心瓶颈之一。

4.3 参数持久化方法

运行时修改的参数在系统重启后失效。生产环境必须通过配置文件实现持久化，并确保在容器宿主机与容器内均生效。

4.3.1 传统 sysctl.conf 方式

# /etc/sysctl.conf
net.ipv4.tcp_rmem = 4096 131072 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216
net.core.somaxconn = 4096
net.ipv4.ip_local_port_range = 10240 65535
net.netfilter.nf_conntrack_max = 1048576

# 应用配置
sysctl -p

4.3.2 模块化配置（推荐）

现代 Linux 发行版支持 /etc/sysctl.d/ 目录下的独立配置文件，按功能拆分便于维护。

# /etc/sysctl.d/90-container-network.conf
# TCP 缓冲区调优
net.ipv4.tcp_rmem = 4096 131072 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216

# Socket 层
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216
net.core.somaxconn = 4096

# 端口与 conntrack
net.ipv4.ip_local_port_range = 10240 65535
net.netfilter.nf_conntrack_max = 1048576

# 应用所有 .conf 文件
sysctl --system

4.3.3 容器内持久化策略

容器重启后内核参数会重置为宿主机默认值。持久化方案取决于容器运行时与编排平台：

• Docker： 使用 --sysctl 参数启动容器，或在 docker-compose.yml 的 sysctls 字段声明。
• Kubernetes： 通过 Pod 的 securityContext.sysctls 字段设置，需启用 Sysctl 特性门控。
• 特权容器： 直接修改 /proc/sys 并配合 entrypoint 脚本重载。

# Docker 示例
docker run --sysctl net.ipv4.tcp_rmem="4096 131072 16777216" \
           --sysctl net.core.somaxconn=4096 \
           nginx:latest

# Kubernetes Pod 示例
apiVersion: v1
kind: Pod
metadata:
  name: sysctl-pod
spec:
  securityContext:
    sysctls:
    - name: net.ipv4.tcp_rmem
      value: "4096 131072 16777216"
    - name: net.core.somaxconn
      value: "4096"
  containers:
  - name: nginx
    image: nginx:latest

4.4 调优前的基线检查清单

在修改任何参数之前，建议执行以下基线检查，避免盲目调优引入新问题：

1. 确认内核版本： uname -r，不同版本默认值差异较大（如 4.x vs 5.x）。
2. 记录当前配置： sysctl -a > /tmp/sysctl_baseline_$(date +%Y%m%d).txt。
3. 检查硬件资源： 内存总量、CPU 核心数、网卡队列数（ethtool -l eth0）。
4. 评估业务模型： 短连接 / 长连接比例、平均包大小、并发连接峰值。
5. 确认容器网络模式： bridge / host / overlay，不同模式对参数敏感度不同。