3. Linux 基础环境配置：内核参数调优、文件系统优化、网络配置、安全加固

倒排索引缓存一致性闭环系统对 Linux 内核的 网络吞吐、内存分配 和 I/O 调度 有极高要求。本章从四个维度进行系统性调优，确保底层环境能够支撑高并发、低延迟的缓存同步与索引更新。

3.1 内核参数调优

内核参数直接影响 TCP 连接数、内存回收策略和文件句柄上限。以下为生产环境推荐配置，适用于 CentOS 7.9+ / Ubuntu 20.04+。

参数项	推荐值	作用说明
net.ipv4.tcp_tw_reuse	1	允许将 TIME_WAIT socket 用于新连接，减少端口占用
net.ipv4.tcp_fin_timeout	15	缩短 FIN-WAIT-2 超时时间，加速连接回收
net.core.somaxconn	65535	增大 listen 队列长度，防止高并发下连接拒绝
vm.swappiness	10	降低 swap 使用倾向，优先使用物理内存
vm.max_map_count	262144	提升内存映射区域上限，适配 Elasticsearch/Lucene
fs.file-max	2097152	增大系统级文件句柄上限

# 示例配置片段
cat >> /etc/sysctl.d/99-cache-cluster.conf << 'EOF'
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_fin_timeout = 15
net.core.somaxconn = 65535
vm.swappiness = 10
vm.max_map_count = 262144
fs.file-max = 2097152
EOF
sysctl -p /etc/sysctl.d/99-cache-cluster.conf

3.2 文件系统优化

倒排索引的段合并与缓存持久化对文件系统有大量随机写和顺序读操作。推荐使用 XFS 或 ext4，并调整挂载参数。

挂载选项	推荐值	优化目标
noatime	启用	禁止更新访问时间，减少元数据写操作
nobarrier	启用（仅限 SSD + BBU RAID）	关闭写屏障，提升写入吞吐
data=writeback	启用（ext4）	仅记录元数据日志，降低写延迟
allocsize=1M	启用（XFS）	预分配大块空间，减少文件碎片

# XFS 挂载示例（数据盘 /dev/sdb 挂载到 /data）
mkfs.xfs -f /dev/sdb
mount -o noatime,nobarrier,allocsize=1M /dev/sdb /data
echo '/dev/sdb /data xfs defaults,noatime,nobarrier,allocsize=1M 0 0' >> /etc/fstab

3.3 网络配置

缓存一致性闭环依赖节点间的低延迟通信。需调整网卡队列、RPS/RFS 以及 TCP 缓冲区。

• 网卡多队列：确认 ethtool -l eth0 的 Combined 值等于 CPU 核心数，否则执行 ethtool -L eth0 combined N。
• RPS/RFS 分发：将中断绑定到多个 CPU，避免单核瓶颈。
• TCP 缓冲区：增大读写缓冲区以匹配高速网络。

# 增大 TCP 缓冲区（追加到 sysctl 配置）
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216
net.ipv4.tcp_rmem = 4096 87380 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216

3.4 安全加固

缓存集群通常暴露在内网，但仍需防范横向移动和未授权访问。

加固项	操作要点	检查命令
SSH 密钥登录	禁用密码登录，仅允许 ed25519 密钥	grep PasswordAuthentication /etc/ssh/sshd_config
防火墙最小化	仅放通 22、9200（ES）、6379（Redis）、集群内部端口	iptables -L -n
内核参数防攻击	启用 net.ipv4.conf.all.rp_filter=1 和 net.ipv4.tcp_syncookies=1	sysctl net.ipv4.tcp_syncookies
文件权限收紧	数据目录设为 750，属主为专用运行用户	ls -ld /data

# 防火墙规则示例（仅保留必要端口）
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 9200 -s 10.0.0.0/8 -j ACCEPT
iptables -A INPUT -p tcp --dport 6379 -s 10.0.0.0/8 -j ACCEPT
iptables -A INPUT -j DROP

3.5 整体调优流程

以下 SVG 图展示了从内核参数 → 文件系统 → 网络 → 安全 → 验证的完整闭环流程。

3.6 固化与验证清单

完成所有配置后，执行以下步骤确保环境一致性：

1. 固化内核参数：sysctl -p /etc/sysctl.d/99-cache-cluster.conf
2. 固化文件系统：mount -a 验证 fstab 无报错
3. 网络验证：ethtool -l eth0 确认队列数；iperf3 测试带宽
4. 安全验证：nmap -sT -p 22,9200,6379 localhost 确认端口开放范围
5. 压力测试：使用 stress --cpu 8 --io 4 --vm 2 --vm-bytes 2G --timeout 60s 观察系统稳定性