linux下优化tcp握手延迟的核心手段是启用tcp fast open（tfo），它在首次握手完成后，允许后续连接在syn包中携带应用数据，节省1个rtt；需内核≥3.7并设net.ipv4.tcp_fastopen=3，服务端需配置fastopen队列，客户端须用msg_fastopen发送。
Linux 下优化 TCP 连接建立的握手延迟，核心手段之一是启用 TCP Fast Open（TFO）。它不跳过三次握手，而是在首次完成握手后，让后续连接在 SYN 包中直接携带应用数据，从而节省 1 个 RTT——这对 API 网关、移动端请求、静态资源加载等短连接密集场景效果显著。
确认内核与基础支持
TFO 自 Linux 内核 3.7 起原生支持，但默认关闭。需先验证版本和当前状态：
- 运行 uname -r 确认内核 ≥ 3.7（主流发行版如 Ubuntu 22.04+/CentOS 8+ 均满足）
- 执行 sysctl net.ipv4.tcp_fastopen 查看返回值：
→ 0：完全禁用
→ 1：仅客户端可发 SYN+Data（适合外连型服务）
→ 2：仅服务端可验证 Cookie（适合内网可信调用）
→ 3：双向启用（Web 服务常用，但需两端都适配） - 临时启用（重启失效）：sudo sysctl -w net.ipv4.tcp_fastopen=3
永久生效：在 /etc/sysctl.conf 中追加 net.ipv4.tcp_fastopen = 3，再运行 sudo sysctl -p
服务端必须显式启用 Fast Open 队列
内核参数只是前提，服务端应用层若不调用 setsockopt 设置 TCP_FASTOPEN，TFO 不会真正生效。
- Nginx 1.15.5+：在 listen 指令后添加 fastopen=128（例如 listen 443 ssl http2 fastopen=128;），数值代表待验证 Cookie 的半连接队列长度
- OpenResty/Caddy/自研服务：初始化监听 socket 后，调用 setsockopt(listen_fd, IPPROTO_TCP, TCP_FASTOPEN, &qlen, sizeof(qlen))，建议 qlen 设为 64–256，视并发量调整
- 注意：未配置时，即使内核设为 3，SYN 包也不会带数据；抓包看到 SYN 长度仍为 60 字节，即未触发 TFO
客户端需改用 MSG_FASTOPEN 发送方式
TFO 不是自动生效的“开关”，它依赖客户端主动使用支持数据捎带的系统调用。
- 不能用传统 connect() + send() 流程——这会走标准路径，忽略 TFO
- C 语言：创建 socket 后，直接调用 sendto(sockfd, data, len, MSG_FASTOPEN, &addr, addrlen)
- Go：使用 golang.org/x/net/tcp 包，设置 TCPFastOpen: true
- Python 标准 socket 不支持 MSG_FASTOPEN，需通过 ctypes 调用底层 syscall 或切换至 asyncio + 自定义封装
- 关键点：首次连接无本地 Cookie，SYN 仅带 TFO Option 请求；只有第二次起且 Cookie 有效，才真正实现“SYN+数据”
高安全环境下的稳妥配置
生产环境中，尤其涉及公网或敏感业务，不应盲目设为 3。
- 若服务端只接收内网可信请求（如微服务间调用），推荐设为 2：服务端验证 Cookie，但不对外发放，降低 Cookie 泄露风险
- 若客户端需频繁外连（如边缘设备上报），设为 1 更安全，避免服务端暴露 TFO 验证逻辑
- 务必持久化 tcp_fastopen_key：默认密钥重启即失效，导致 Cookie 失效退化为普通握手。可通过 systemd service 或 init 脚本写入 /proc/sys/net/ipv4/tcp_fastopen_key，权限设为 600
- 配合加固参数：tcp_max_syn_backlog=65536、tcp_syncookies=1、somaxconn=65535，防止高并发下队列溢出或被攻击干扰
