sysctl参数修改后不生效因加载时机与顺序问题：net.ipv4.conf.all.forwarding等依赖模块状态的参数需在系统服务启动后设置，永久生效须写入/etc/sysctl.d/99-security.conf并执行sysctl --system重载。
sysctl 参数修改后不生效？检查 net.ipv4.conf.all.forwarding 和写入时机
很多加固操作失败，不是参数写错了，而是改完没生效——sysctl 命令临时生效，重启即丢；而配置文件加载有顺序和条件限制。尤其 net.ipv4.conf.all.forwarding 这类依赖内核模块加载状态的参数，若在 systemd 网络服务启动前就尝试设置，会被覆盖。
实操建议：
- 确认当前值用
sysctl net.ipv4.conf.all.forwarding，别只看配置文件 - 永久生效必须写入
/etc/sysctl.d/99-security.conf（优先级高于10-default.conf），不能只改/etc/sysctl.conf - 写完运行
sysctl --system重载全部配置，不是sysctl -p（后者不读.d/目录） - 若涉及
rp_filter、log_martians等依赖forwarding的参数，确保forwarding=0或=1已先稳定生效
开启 net.ipv4.conf.all.rp_filter=1 后 SSH 断连？这是路径不对称导致的
rp_filter=1 启用严格反向路径校验，会丢弃“回程路由不经过入接口”的包。在多网卡、策略路由或 NAT 环境下，SSH 回包可能走另一张网卡，触发丢弃，现象是连接突然卡死或认证后立即断开。
实操建议：
- 先用
tcpdump -i any port 22抓包，确认客户端发来的 SYN/ACK 是否被本机发出，再查回包是否被rp_filter丢弃（查/proc/net/snmp中IcmpDestUnreachs或ip -s link的rx_dropped） - 生产环境更稳妥用
rp_filter=2（宽松模式），它允许回程路由存在任意接口，只要路由表里有对应条目 - 若必须用
=1，需配合net.ipv4.conf.<interface>.rp_filter</interface>单独设为0（如对管理口eth0关闭校验）
net.core.somaxconn 和 net.core.netdev_max_backlog 该设多大？看并发连接特征
这两个参数控制连接队列深度，但作用位置不同：somaxconn 是应用层 listen() 的全连接队列上限，netdev_max_backlog 是网卡中断后、协议栈处理前的未入队数据包缓冲区。设太小会导致 SYN 被丢、连接超时；设太大则浪费内存、增加延迟。
实操建议：
-
somaxconn推荐值 = 应用预期峰值并发连接数 ÷ 3（因每个连接平均占用队列时间约 3 个 RTT），常见 Web 服务设4096～8192足够，超过65535需同步调高应用listen()的backlog参数 -
netdev_max_backlog取决于网卡吞吐和单包处理延迟，千兆网卡设5000，万兆建议10000～20000；若netstat -s | grep "packet receive errors"显示receive_errors持续增长，说明 backlog 溢出 - 两者都需配合
net.ipv4.tcp_max_syn_backlog（半连接队列），三者比例建议为tcp_max_syn_backlog : somaxconn : netdev_max_backlog ≈ 1 : 2 : 4
禁用 IPv6 时只关 net.ipv6.conf.all.disable_ipv6 不够
只设 net.ipv6.conf.all.disable_ipv6=1 会让内核停止 IPv6 地址自动配置，但协议栈仍加载、socket 仍可 bind ::、部分模块（如 nf_conntrack_ipv6）照常工作，反而增加攻击面且浪费资源。
实操建议：
- 彻底禁用需三步：在
/etc/default/grub的GRUB_CMDLINE_LINUX加ipv6.disable=1，然后update-grub && reboot - 若无法重启，至少补全以下 sysctl：
net.ipv6.conf.all.disable_ipv6=1、net.ipv6.conf.default.disable_ipv6=1、net.ipv6.conf.lo.disable_ipv6=1 - 检查是否还有 IPv6 模块残留：
lsmod | grep ipv6，若有则echo 'blacklist ipv6' > /etc/modprobe.d/blacklist-ipv6.conf并dracut -f（RHEL/CentOS）或update-initramfs -u（Debian/Ubuntu）
真正难的不是记住哪些参数要开或关，而是理解每个参数在协议栈哪一层起作用、谁在读它、谁会覆盖它。比如 rp_filter 的行为取决于路由缓存是否启用，somaxconn 的实际生效值还受应用调用 listen() 时传入的 backlog 限制——这些细节不查内核源码或 strace，光看文档很容易漏掉。
