应协同调整内核、协议和应用层队列参数以防止连接拒绝：先用ss、/proc/net/snmp和dmesg确认丢包，再同步设置net.core.somaxconn与net.ipv4.tcp_max_syn_backlog为相同值（如65535），并匹配应用listen()的backlog，最后启用tcp_syncookies作为兜底防护。
要防止 Linux 中因监听队列满而导致新连接被拒绝，关键不是只调一个参数，而是协同调整内核层、协议层和应用层三处的队列限制，让它们对齐且足够应对业务峰值。
查清当前是否真在丢连接
别一上来就改配置。先确认问题是否存在：
- 运行 ss -lnt | grep :端口，看 Recv-Q 是否长期接近或等于 Send-Q（Send-Q 就是当前全连接队列上限）
- 执行 awk '/^TcpExt/ {print $1,$2}' /proc/net/snmp | grep SynsToListenDrops，该值持续增长说明半连接队列溢出，SYN 包被直接丢弃
- 检查 dmesg | grep -i "possible SYN flooding"，出现提示且 tcp_syncookies=0，基本可断定是半连接队列瓶颈
同步调高两个核心内核参数
net.core.somaxconn 和 net.ipv4.tcp_max_syn_backlog 必须设为相同值，否则会相互制约：
- 全连接队列实际大小 = min(应用 listen() 的 backlog, net.core.somaxconn)
- 半连接队列实际大小 = min(net.core.somaxconn, net.ipv4.tcp_max_syn_backlog)
- 推荐值：中小服务设为 4096，高并发网关或 API 入口可设为 65535
- 临时生效：echo 65535 > /proc/sys/net/core/somaxconn 和 echo 65535 > /proc/sys/net/ipv4/tcp_max_syn_backlog
- 永久生效：追加两行到 /etc/sysctl.conf，再运行 sysctl -p
匹配应用层 listen() 的 backlog 设置
内核调再大，应用自己设小了也白搭。常见服务需显式对齐：
- Nginx：在 listen 80 backlog=65535; 中声明，不能依赖默认
- uWSGI：启动时加 --listen 65535 参数
- Spring Boot：配置 server.tomcat.accept-count=65535
- Go net.ListenTCP：传入 syscall.SOMAXCONN 或明确数值（注意 Go 1.19+ 默认已用 somaxconn）
- Python（如 uvicorn）：用 --backlog 65535
开启 tcp_syncookies 作为兜底防护
突发流量或攻击下，队列再大也可能瞬间打满。启用后，即使半连接队列满，内核也能通过加密 Cookie 方式完成三次握手，避免静默丢包：
- 临时开启：sysctl -w net.ipv4.tcp_syncookies=1
- 永久生效：在 /etc/sysctl.conf 中添加 net.ipv4.tcp_syncookies = 1
- 注意：它不替代合理调队列，而是最后一道防线；生产环境建议始终开启
