请问linux怎么增大socket连接上限？

1、修改用户进程可打开文件数限制

在Linux平台上，无论编写客户端程序还是服务端程序，在进行高并发TCP连接处理时，

最高的并发数量都要受到系统对用户单一进程同时可打开文件数量的限制(这是因为系统

为每个TCP连接都要创建一个socket句柄，每个socket句柄同时也是一个文件句柄)。

可使用ulimit命令查看系统允许当前用户进程打开的文件数限制：

[speng@as4 ~]$ ulimit -n

1024

这表示当前用户的每个进程最多允许同时打开1024个文件，这1024个文件中还得除去

每个进程必然打开的标准输入，标准输出，标准错误，服务器监听 socket，

进程间通讯的unix域socket等文件，那么剩下的可用于客户端socket连接的文件数就

只有大概1024-10=1014个左右。也就是说缺省情况下，基于Linux的通讯程序最多允许

同时1014个TCP并发连接。

对于想支持更高数量的TCP并发连接的通讯处理程序，就必须修改Linux对当前用户的

进程同时打开的文件数量的软限制(soft limit)和硬限制(hardlimit)。其中软限制

是指Linux在当前系统能够承受的范围内进一步限制用户同时打开的文件数；硬限制

则是根据系统硬件资源状况(主要是系统内存)计算出来的系统最多可同时打开的文件数量。

通常软限制小于或等于硬限制。

修改上述限制的最简单的办法就是使用ulimit命令：

[speng@as4 ~]$ ulimit -n

上述命令中，在中指定要设置的单一进程允许打开的最大文件数。如果系统回显

类似于“Operation notpermitted”之类的话，说明上述限制修改失败，实际上是

因为在中指定的数值超过了Linux系统对该用户打开文件数的软限制或硬限制。

因此，就需要修改Linux系统对用户的关于打开文件数的软限制和硬限制。

第一步，修改/etc/security/limitsconf文件，在文件中添加如下行：

speng soft nofile 10240

speng hard nofile 10240

其中speng指定了要修改哪个用户的打开文件数限制，可用’'号表示修改所有用户的限制；

soft或hard指定要修改软限制还是硬限制；10240则指定了想要修改的新的限制值，

即最大打开文件数(请注意软限制值要小于或等于硬限制)。修改完后保存文件。

第二步，修改/etc/pamd/login文件，在文件中添加如下行：

session required /lib/security/pam_limitsso

这是告诉Linux在用户完成系统登录后，应该调用pam_limitsso模块来设置系统对

该用户可使用的各种资源数量的最大限制(包括用户可打开的最大文件数限制)，

而pam_limitsso模块就会从/etc/security/limitsconf文件中读取配置来设置这些限制值。

修改完后保存此文件。

第三步，查看Linux系统级的最大打开文件数限制，使用如下命令：

[speng@as4 ~]$ cat /proc/sys/fs/file-max

12158

这表明这台Linux系统最多允许同时打开(即包含所有用户打开文件数总和)12158个文件，

是Linux系统级硬限制，所有用户级的打开文件数限制都不应超过这个数值。通常这个系统级

硬限制是Linux系统在启动时根据系统硬件资源状况计算出来的最佳的最大同时打开文件数限制，

如果没有特殊需要，不应该修改此限制，除非想为用户级打开文件数限制设置超过此限制的值。

修改此硬限制的方法是修改/etc/rclocal脚本，在脚本中添加如下行：

echo 22158 > /proc/sys/fs/file-max

这是让Linux在启动完成后强行将系统级打开文件数硬限制设置为22158。修改完后保存此文件。

完成上述步骤后重启系统，一般情况下就可以将Linux系统对指定用户的单一进程允许同时

打开的最大文件数限制设为指定的数值。如果重启后用 ulimit-n命令查看用户可打开文件数限制

仍然低于上述步骤中设置的最大值，这可能是因为在用户登录脚本/etc/profile中使用ulimit -n命令

已经将用户可同时打开的文件数做了限制。由于通过ulimit-n修改系统对用户可同时打开文件的

最大数限制时，新修改的值只能小于或等于上次 ulimit-n设置的值，因此想用此命令增大这个

限制值是不可能的。

所以，如果有上述问题存在，就只能去打开/etc/profile脚本文件，

在文件中查找是否使用了ulimit-n限制了用户可同时打开的最大文件数量，如果找到，

则删除这行命令，或者将其设置的值改为合适的值，然后保存文件，用户退出并重新登录系统即可。

通过上述步骤，就为支持高并发TCP连接处理的通讯处理程序解除关于打开文件数量方面的系统限制。

2、修改网络内核对TCP连接的有关限制

在Linux上编写支持高并发TCP连接的客户端通讯处理程序时，有时会发现尽管已经解除了系统

对用户同时打开文件数的限制，但仍会出现并发TCP连接数增加到一定数量时，再也无法成功

建立新的TCP连接的现象。出现这种现在的原因有多种。

第一种原因可能是因为Linux网络内核对本地端口号范围有限制。此时，进一步分析为什么无法

建立TCP连接，会发现问题出在connect()调用返回失败，查看系统错误提示消息是“Can’t assign requestedaddress”。同时，如果在此时用tcpdump工具监视网络，会发现根本没有TCP连接时客户端

发SYN包的网络流量。这些情况说明问题在于本地Linux系统内核中有限制。

其实，问题的根本原因

在于Linux内核的TCP/IP协议实现模块对系统中所有的客户端TCP连接对应的本地端口号的范围

进行了限制(例如，内核限制本地端口号的范围为1024~32768之间)。当系统中某一时刻同时

存在太多的TCP客户端连接时，由于每个TCP客户端连接都要占用一个唯一的本地端口号

(此端口号在系统的本地端口号范围限制中)，如果现有的TCP客户端连接已将所有的本地端口号占满，

则此时就无法为新的TCP客户端连接分配一个本地端口号了，因此系统会在这种情况下在connect()

调用中返回失败，并将错误提示消息设为“Can’t assignrequested address”。

有关这些控制

逻辑可以查看Linux内核源代码，以linux26内核为例，可以查看tcp_ipv4c文件中如下函数：

static int tcp_v4_hash_connect(struct sock sk)

请注意上述函数中对变量sysctl_local_port_range的访问控制。变量sysctl_local_port_range

的初始化则是在tcpc文件中的如下函数中设置：

void __init tcp_init(void)

内核编译时默认设置的本地端口号范围可能太小，因此需要修改此本地端口范围限制。

第一步，修改/etc/sysctlconf文件，在文件中添加如下行：

netipv4ip_local_port_range = 1024 65000

这表明将系统对本地端口范围限制设置为1024~65000之间。请注意，本地端口范围的最小值

必须大于或等于1024；而端口范围的最大值则应小于或等于65535。修改完后保存此文件。

第二步，执行sysctl命令：

[speng@as4 ~]$ sysctl -p

如果系统没有错误提示，就表明新的本地端口范围设置成功。如果按上述端口范围进行设置，

则理论上单独一个进程最多可以同时建立60000多个TCP客户端连接。

第二种无法建立TCP连接的原因可能是因为Linux网络内核的IP_TABLE防火墙对最大跟踪的TCP

连接数有限制。此时程序会表现为在 connect()调用中阻塞，如同死机，如果用tcpdump工具监视网络，

也会发现根本没有TCP连接时客户端发SYN包的网络流量。由于 IP_TABLE防火墙在内核中会对

每个TCP连接的状态进行跟踪，跟踪信息将会放在位于内核内存中的conntrackdatabase中，

这个数据库的大小有限，当系统中存在过多的TCP连接时，数据库容量不足，IP_TABLE无法为

新的TCP连接建立跟踪信息，于是表现为在connect()调用中阻塞。此时就必须修改内核对最大跟踪

的TCP连接数的限制，方法同修改内核对本地端口号范围的限制是类似的：

第一步，修改/etc/sysctlconf文件，在文件中添加如下行：

netipv4ip_conntrack_max = 10240

这表明将系统对最大跟踪的TCP连接数限制设置为10240。请注意，此限制值要尽量小，

以节省对内核内存的占用。

第二步，执行sysctl命令：

[speng@as4 ~]$ sysctl -p

如果系统没有错误提示，就表明系统对新的最大跟踪的TCP连接数限制修改成功。

如果按上述参数进行设置，则理论上单独一个进程最多可以同时建立10000多个TCP客户端连接。

3、使用支持高并发网络I/O的编程技术

在Linux上编写高并发TCP连接应用程序时，必须使用合适的网络I/O技术和I/O事件分派机制。

可用的I/O技术有同步I/O，非阻塞式同步I/O(也称反应式I/O)，以及异步I/O。在高TCP并发的情形下，

如果使用同步I/O，这会严重阻塞程序的运转，除非为每个TCP连接的I/O创建一个线程。

但是，过多的线程又会因系统对线程的调度造成巨大开销。因此，在高TCP并发的情形下使用

同步 I/O是不可取的，这时可以考虑使用非阻塞式同步I/O或异步I/O。非阻塞式同步I/O的技术包括使用select()，poll()，epoll等机制。异步I/O的技术就是使用AIO。

从I/O事件分派机制来看，使用select()是不合适的，因为它所支持的并发连接数有限(通常在1024个以内)。

如果考虑性能，poll()也是不合适的，尽管它可以支持的较高的TCP并发数，但是由于其采用

“轮询”机制，当并发数较高时，其运行效率相当低，并可能存在I/O事件分派不均，导致部分TCP

连接上的I/O出现“饥饿”现象。而如果使用epoll或AIO，则没有上述问题(早期Linux内核的AIO技术

实现是通过在内核中为每个 I/O请求创建一个线程来实现的，这种实现机制在高并发TCP连接的情形下

使用其实也有严重的性能问题。但在最新的Linux内核中，AIO的实现已经得到改进)。

综上所述，在开发支持高并发TCP连接的Linux应用程序时，应尽量使用epoll或AIO技术来实现并发的

TCP连接上的I/O控制，这将为提升程序对高并发TCP连接的支持提供有效的I/O保证。

内核参数sysctlconf的优化

/etc/sysctlconf 是用来控制linux网络的配置文件，对于依赖网络的程序（如web服务器和cache服务器）

非常重要，RHEL默认提供的最好调整。

推荐配置（把原/etc/sysctlconf内容清掉，把下面内容复制进去）：

netipv4ip_local_port_range = 1024 65536

netcorermem_max=16777216

netcorewmem_max=16777216

netipv4tcp_rmem=4096 87380 16777216

netipv4tcp_wmem=4096 65536 16777216

netipv4tcp_fin_timeout = 10

netipv4tcp_tw_recycle = 1

netipv4tcp_timestamps = 0

netipv4tcp_window_scaling = 0

netipv4tcp_sack = 0

netcorenetdev_max_backlog = 30000

netipv4tcp_no_metrics_save=1

netcoresomaxconn = 262144

netipv4tcp_syncookies = 0

netipv4tcp_max_orphans = 262144

netipv4tcp_max_syn_backlog = 262144

netipv4tcp_synack_retries = 2

netipv4tcp_syn_retries = 2

这个配置参考于cache服务器varnish的推荐配置和SunOne 服务器系统优化的推荐配置。

varnish调优推荐配置的地址为：http://varnishprojectslinprono/wiki/Performance

不过varnish推荐的配置是有问题的，实际运行表明“netipv4tcp_fin_timeout = 3”的配置

会导致页面经常打不开；并且当网友使用的是IE6浏览器时，访问网站一段时间后，所有网页都会

打不开，重启浏览器后正常。可能是国外的网速快吧，我们国情决定需要

调整“netipv4tcp_fin_timeout = 10”，在10s的情况下，一切正常（实际运行结论）。

修改完毕后，执行：

/sbin/sysctl -p /etc/sysctlconf

/sbin/sysctl -w netipv4routeflush=1

命令生效。为了保险起见，也可以reboot系统。

调整文件数：

linux系统优化完网络必须调高系统允许打开的文件数才能支持大的并发，默认1024是远远不够的。

执行命令：

Shell代码

echo ulimit -HSn 65536 >> /etc/rclocal

echo ulimit -HSn 65536 >>/root/bash_profile

ulimit -HSn 65536

linux查看连接数，并发数1、查看apache当前并发访问数：netstat -an grep ESTABLISHED wc -l　　对比httpdconf中MaxClients的数字差距多少。　　2、查看有多少个进程数：　　ps auxgrep httpdwc -l　　3、可以使用如下参数查看数据　　server-statusauto　　#ps -efgrep httpdwc -l　　1388　　统计httpd进程数，连个请求会启动一个进程，使用于Apache服务器。　　表示Apache能够处理1388个并发请求，这个值Apache可根据负载情况自动调整。　　#netstat -natgrep -i 80wc -l　　4341　　netstat -an会打印系统当前网络链接状态，而grep -i 80是用来提取与80端口有关的连接的，wc -l进行连接数统计。最终返回的数字就是当前所有80端口的请求总数。　　#netstat -nagrep ESTABLISHEDwc -l　　376　　netstat -an会打印系统当前网络链接状态，而grep ESTABLISHED 提取出已建立连接的信息。 然后wc -l统计。　　最终返回的数字就是当前所有80端口的已建立连接的总数。　　netstat -natgrep ESTABLISHEDwc - 可查看所有建立连接的详细记录　　查看Apache的并发请求数及其TCP连接状态：　　linux命令：　　netstat -n awk '/^tcp/ {++S[$NF]} END {for（a in S） print a, S[a]}'　　返回结果示例：　　LAST_ACK 5　　SYN_RECV 30　　ESTABLISHED 1597　　FIN_WAIT1 51　　FIN_WAIT2 504　　TIME_WAIT 1057　　其中的　　SYN_RECV表示正在等待处理的请求数；　　ESTABLISHED表示正常数据传输状态；　　TIME_WAIT表示处理完毕，等待超时结束的请求数。（这个参数还不太懂，为啥是等待超时结束，请大神指教）

查看httpd进程数：

Linux命令：

ps

-ef

|

grep

httpd

|

wc

-l

返回结果示例：1388

表示服务器能够处理1388个并发请求，这个值服务器可根据负载情况自动调整。

查看服务器的并发请求数及其TCP连接状态：

Linux命令：

netstat

-n

|

awk

'/^tcp/

{++S[$NF]}

END

{for(a

in

S)

print

a,

S[a]}'

返回结果示例：

LAST_ACK

5

SYN_RECV

30

ESTABLISHED

1597

FIN_WAIT1

51

FIN_WAIT2

504

TIME_WAIT

1057

其中的SYN_RECV表示正在等待处理的请求数；ESTABLISHED表示正常数据传输状态；TIME_WAIT表示处理完毕，等待超时结束的请求数。

你好，Linux下是没有文件直接给你按进程记录流量信息的。你想要编程实现的话，办法是有的，只是比较麻烦。首先，你需要能截取流经网卡的数据包，这个可以通过libpcap来完成，其次你要完成的最重要的一步就是怎么根据端口号找到进程的pid。端口号通过截取的数据包可以获得，这个时候你要按行来解析/proc/net/tcp （如果要支持ipv6的话还要解析/proc/net/tcp6），这个文件记录了当前活跃的TCP连接情况，每一行代表一条连接，我们感兴趣的是其中的inode这一项，你得把inode的值解析出来保存。然后蛋疼的时候来了，接下来你得遍历所有的/proc/pid/fd文件，察看其中每一个文件描述符，如果发现内容为socket[xxxx]的，把xxxx截取出来，这个xxxx也是inode号，如果和你之前解析/proc/net/tcp的inode号吻合，恭喜你，这说明这个pid和那个tcp连接有关系，进而也就确定了端口号和pid的对应关系，也就知道了数据包和进程之间的对应关系了。

作为高性能WEB服务器，只调整Nginx本身的参数是不行的，因为Nginx服务依赖于高性能的操作系统。

以下为常见的几个Linux内核参数优化方法。

netipv4tcp_max_tw_buckets

对于tcp连接，服务端和客户端通信完后状态变为timewait，假如某台服务器非常忙，连接数特别多的话，那么这个timewait数量就会越来越大。

毕竟它也是会占用一定的资源，所以应该有一个最大值，当超过这个值，系统就会删除最早的连接，这样始终保持在一个数量级。

这个数值就是由netipv4tcp_max_tw_buckets这个参数来决定的。

CentOS7系统，你可以使用sysctl -a |grep tw_buckets来查看它的值，默认为32768，

你可以适当把它调低，比如调整到8000，毕竟这个状态的连接太多也是会消耗资源的。

但你不要把它调到几十、几百这样，因为这种状态的tcp连接也是有用的，

如果同样的客户端再次和服务端通信，就不用再次建立新的连接了，用这个旧的通道，省时省力。

netipv4tcp_tw_recycle = 1

该参数的作用是快速回收timewait状态的连接。上面虽然提到系统会自动删除掉timewait状态的连接，但如果把这样的连接重新利用起来岂不是更好。

所以该参数设置为1就可以让timewait状态的连接快速回收，它需要和下面的参数配合一起使用。

netipv4tcp_tw_reuse = 1

该参数设置为1，将timewait状态的连接重新用于新的TCP连接，要结合上面的参数一起使用。

netipv4tcp_syncookies = 1

tcp三次握手中，客户端向服务端发起syn请求，服务端收到后，也会向客户端发起syn请求同时连带ack确认，

假如客户端发送请求后直接断开和服务端的连接，不接收服务端发起的这个请求，服务端会重试多次，

这个重试的过程会持续一段时间（通常高于30s），当这种状态的连接数量非常大时，服务器会消耗很大的资源，从而造成瘫痪，

正常的连接进不来，这种恶意的半连接行为其实叫做syn flood攻击。

设置为1，是开启SYN Cookies，开启后可以避免发生上述的syn flood攻击。

开启该参数后，服务端接收客户端的ack后，再向客户端发送ack+syn之前会要求client在短时间内回应一个序号，

如果客户端不能提供序号或者提供的序号不对则认为该客户端不合法，于是不会发ack+syn给客户端，更涉及不到重试。

netipv4tcp_max_syn_backlog

该参数定义系统能接受的最大半连接状态的tcp连接数。客户端向服务端发送了syn包，服务端收到后，会记录一下，

该参数决定最多能记录几个这样的连接。在CentOS7，默认是256，当有syn flood攻击时，这个数值太小则很容易导致服务器瘫痪，

实际上此时服务器并没有消耗太多资源（cpu、内存等），所以可以适当调大它，比如调整到30000。

netipv4tcp_syn_retries

该参数适用于客户端，它定义发起syn的最大重试次数，默认为6，建议改为2。

netipv4tcp_synack_retries

该参数适用于服务端，它定义发起syn+ack的最大重试次数，默认为5，建议改为2，可以适当预防syn flood攻击。

netipv4ip_local_port_range

该参数定义端口范围，系统默认保留端口为1024及以下，以上部分为自定义端口。这个参数适用于客户端，

当客户端和服务端建立连接时，比如说访问服务端的80端口，客户端随机开启了一个端口和服务端发起连接，

这个参数定义随机端口的范围。默认为32768 61000，建议调整为1025 61000。

netipv4tcp_fin_timeout

tcp连接的状态中，客户端上有一个是FIN-WAIT-2状态，它是状态变迁为timewait前一个状态。

该参数定义不属于任何进程的该连接状态的超时时间，默认值为60，建议调整为6。

netipv4tcp_keepalive_time

tcp连接状态里，有一个是established状态，只有在这个状态下，客户端和服务端才能通信。正常情况下，当通信完毕，

客户端或服务端会告诉对方要关闭连接，此时状态就会变为timewait，如果客户端没有告诉服务端，

并且服务端也没有告诉客户端关闭的话（例如，客户端那边断网了），此时需要该参数来判定。

比如客户端已经断网了，但服务端上本次连接的状态依然是established，服务端为了确认客户端是否断网，

就需要每隔一段时间去发一个探测包去确认一下看看对方是否在线。这个时间就由该参数决定。它的默认值为7200秒，建议设置为30秒。

netipv4tcp_keepalive_intvl

该参数和上面的参数是一起的，服务端在规定时间内发起了探测，查看客户端是否在线，如果客户端并没有确认，

此时服务端还不能认定为对方不在线，而是要尝试多次。该参数定义重新发送探测的时间，即第一次发现对方有问题后，过多久再次发起探测。

默认值为75秒，可以改为3秒。

netipv4tcp_keepalive_probes

第10和第11个参数规定了何时发起探测和探测失败后再过多久再发起探测，但并没有定义一共探测几次才算结束。

该参数定义发起探测的包的数量。默认为9，建议设置2。

设置和范例

在Linux下调整内核参数，可以直接编辑配置文件/etc/sysctlconf，然后执行sysctl -p命令生效。

listen的backlog参数指定的是已经三次握手完成，达到了established状态但是等待accept的队列的容量。当这个容量超过上限的时候服务器端便不处理客户端的三次握手了。这个队列的容量当然不是楼主所说的并发连接数。

但是lisen的再后一道程序便是accept了。如果你想要的是在tcp并发连接数量超过上限的时候服务器不再处理了三次握手那么只有两种办法：

1关闭listen的socket

2自己修改tcp协议栈的实现，当然这个就比较麻烦了。

用iptables防火墙来限制tcp连接，

如下，限制用户的tcp连接数为50

iptables -I INPUT-p tcp -m connlimit --connlimit-above 50 -j REJECT