nginx性能依赖内核网络参数优化：调大连接队列（somaxconn、tcp_max_syn_backlog）、启用tcp_fastopen、合理复用time_wait、扩大端口范围、提升文件句柄与缓冲区上限，并同步配置ulimit和sysctl持久化。
Nginx 本身不直接调用 sysctl，但它的高性能表现高度依赖 Linux 内核网络协议栈的响应能力。当并发连接数上升、请求频次提高或后端延迟波动时，内核参数若未适配，就会成为瓶颈——比如大量 TIME_WAIT 积压、连接队列溢出、端口耗尽或文件句柄不足。所以，Sysctl 优化不是给 Nginx 配置，而是为它运行的环境“松绑”和“提速”。
调整 TCP 连接队列与握手效率
Nginx 接收海量 SYN 请求时，内核需在 SYN_RECV 状态暂存半连接，并在 ESTABLISHED 后放入全连接队列。默认 net.core.somaxconn=128 远不够用，尤其在高 CPS（每秒新建连接）场景下容易丢包。
- 将
net.core.somaxconn设为65535或更高（如20480），匹配 Nginx 的worker_connections上限； - 启用
net.ipv4.tcp_max_syn_backlog = 65535，避免 SYN 洪水或突发流量导致半连接被丢弃； - 开启
net.ipv4.tcp_fastopen = 3（服务端+客户端均支持时可省去 1 个 RTT），需配合listen 443 ssl http2 reuseport;使用； - 关闭
net.ipv4.tcp_syncookies = 0（仅在确认无 SYN Flood 攻击风险时），减少握手路径开销。
释放 TIME-WAIT 套接字并复用端口
Nginx 作为反向代理或负载均衡器，常主动发起大量上游连接，易产生大量 TIME_WAIT 状态套接字。若不优化，会快速占满本地端口范围，引发 Cannot assign requested address 错误。
- 设置
net.ipv4.tcp_tw_reuse = 1，允许内核将处于TIME_WAIT的 socket 用于新连接（仅对客户端有效，且需tcp_timestamps=1）； - 缩短
net.ipv4.tcp_fin_timeout = 30，加快FIN_WAIT_2到TIME_WAIT的过渡； - 扩大可用端口范围：
net.ipv4.ip_local_port_range = 1024 65535，提升瞬时并发建连能力； - 控制
net.ipv4.tcp_max_tw_buckets = 5000，防止TIME_WAIT过多影响内存。
提升系统资源上限与缓冲区能力
Nginx 每个连接至少占用 1 个文件描述符 + 若干内核 socket 结构体，高并发下极易触达系统级限制。
- 增大全局文件句柄上限：
fs.file-max = 1048576（注意不是65535，后者是单进程软限制）； - 调高 socket 缓冲区：
-
net.core.rmem_max = 2097152和net.core.wmem_max = 2097152； -
net.ipv4.tcp_rmem = 4096 65536 4194304、net.ipv4.tcp_wmem = 4096 65536 4194304，让内核自动适配带宽；
-
- 加大网卡接收队列：
net.core.netdev_max_backlog = 8096，应对突发流量洪峰。
配合用户态限制与持久化生效
sysctl 参数只改内核行为，还需同步调整用户进程限制，否则 Nginx worker 进程仍受限于 ulimit：
- 在
/etc/security/limits.conf中添加：* soft nofile 1048576 * hard nofile 1048576
- 确保
nginx启动用户（如www-data或nginx）能继承该限制； - 所有修改写入
/etc/sysctl.conf后，执行sysctl -p生效； - 可用
sysctl net.core.somaxconn或ss -s快速验证当前值。
不复杂但容易忽略
