改完 /etc/sysctl.conf 未生效是因为仅修改文件不触发内核加载，必须执行 sysctl -p（默认只读该文件）或 sysctl --system（加载 /etc/sysctl.d/ 下全部配置），且需验证运行值 sysctl net.ipv4.ip_forward 是否为1，而非仅依赖命令输出。
改完 /etc/sysctl.conf 为什么没生效？
因为修改文件本身只是写入文本，内核完全不知道——sysctl -p 才是真正把参数写进内核的命令。但很多人跑完 sysctl -p 看到 “net.ipv4.ip_forward = 1” 就以为成功了，其实可能根本没加载进去。
-
sysctl -p默认只读/etc/sysctl.conf，不会自动加载/etc/sysctl.d/下的任何文件 - 如果参数写在
/etc/sysctl.d/99-custom.conf，必须用sysctl --system，否则静默忽略 -
sysctl -p报错（比如error: "net.ipv4.tcp_tw_recycle" is an unknown key）说明该参数在当前内核中已被移除（如 ≥4.12），硬写会失效 - 验证是否真生效：别信输出，直接查运行值——
sysctl net.core.somaxconn或cat /proc/sys/net/core/somaxconn
参数写错一个空格就全崩，怎么避免？
等号前后多一个空格、tab 混用、中文冒号，都会让 sysctl -p 失败甚至部分网络功能异常。线上出过 vm.swappiness= 0（等号后多空格）导致加载失败的案例。
- 改前必须备份：
cp /etc/sysctl.conf /etc/sysctl.conf.$(date +%Y%m%d-%H%M) - 用
vim编辑时执行:set list，能清楚看到$（行尾）、·（空格）、^I（tab） - 不要用图形编辑器（如 gedit、vscode 直接 sudo 编辑），容易插入不可见字符
- 检查语法：运行
sysctl --parse /etc/sysctl.conf 2>&1 | grep -v "ignored"，有报错就是格式问题
容器和云主机里改 /etc/sysctl.conf 有用吗？
基本没用。Docker、K8s Pod、阿里云 ECS、腾讯云 CVM 这些环境，进程默认运行在独立 namespace 中，绝大多数 net.*、vm.* 参数无法继承宿主机配置。
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- Docker 启动时需显式传参：
docker run --sysctl net.core.somaxconn=65535 ... - Kubernetes 必须在 Pod 的
securityContext.sysctls中声明，且仅限白名单参数（如net.core.somaxconn允许，kernel.shm_rmid_forced不允许） - 云厂商常锁定关键参数：腾讯云禁止改
net.ipv4.tcp_tw_reuse，改了sysctl -p也静默跳过 - 先确认参数是否支持：
sysctl -w net.core.somaxconn=65535，如果报Permission denied或Invalid argument，说明被 namespace 隔离或内核未编译支持
哪些参数值得调？别抄“万能模板”
网上流传的“高并发调优模板”很多来自十年前物理机场景，SSD、多队列网卡、cgroup v2 已让部分参数失效甚至起反作用。真正要关注的是三类实际瓶颈点：
-
net.core.somaxconn、net.ipv4.tcp_max_syn_backlog、net.core.netdev_max_backlog：三者建议同量级（如都设为65535），避免某一层先堵死；设太高反而浪费内存 -
net.ipv4.tcp_rmem和net.ipv4.tcp_wmem必须配三元组（最小,默认,最大），只改rmem_max无效；推荐起始值：4096 262144 4194304 -
fs.file-max要同步改/etc/security/limits.conf中的nofile，否则进程仍卡在默认 1024 -
vm.swappiness=0对 Kubernetes 节点合理，但对 Redis + fork 场景可能引发 OOM Kill，不是越小越好
真实生效永远取决于运行时值，而不是你写了什么。哪怕一行配置没错，也要用 sysctl 参数名 去查——这才是唯一可信的信号。
