web服務器下出現大量TIME_WAIT

轉載自：https://blog.csdn.net/langfetters/article/details/49492409

查看系統的網絡連接狀態檢測到服務器有大量的time_wait，決定優化內核參數試驗下：

netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'
TIME_WAIT        836　　　
FIN_WAIT1        2　　　　　　
ESTABLISHED      47　　　　
SYN_RECV         1　　　　　

狀態：描述 
CLOSED：無連接是活動的或正在進行 
LISTEN：服務器在等待進入呼叫 
SYN_RECV：一個連接請求已經到達，等待確認 
SYN_SENT：應用已經開始，打開一個連接 
ESTABLISHED：正常數據傳輸狀態 ，表示正通信
FIN_WAIT1：應用說它已經完成 
FIN_WAIT2：另一邊已同意釋放 
ITMED_WAIT：等待所有分組死掉 
CLOSING：兩邊同時嘗試關閉 
TIME_WAIT：另一邊已初始化一個釋放 ，表示主動關閉　　　　CLOSE_WAIT：被動關閉
LAST_ACK：等待所有分組死掉

在高並發短連接的server端，當處理完client請求后立刻closesocket此時會出現time_wait，client再並發2000個連接，此時部分連接則連接不上了。

time_wait狀態，持續2*MSL(Max Segment Lifetime)兩倍最大段生存期,MSL的值是2分鍾，缺省240s,但是在實際的實現中，常用的值有以下三種：30秒，1分鍾，2分鍾。對於基於TCP的HTTP協議，關閉TCP連接的是Server端，這樣，Server端會進入TIME_WAIT狀態，可想而知，對於訪問量大的Web Server，會存在大量的TIME_WAIT狀態，假如server一秒鍾接收1000個請求，那么就會積壓240*1000=240，000個TIME_WAIT的記錄

服務器保持了大量TIME_WAIT狀態

這種情況比較常見，一些爬蟲服務器或者WEB服務器（如果網管在安裝的時候沒有做內核參數優化的話）上經常會遇到這個問題，TIME_WAIT是主動關閉連接的一方保持的狀態，對於爬蟲服務器來說他本身就是“客戶端”，在完成一個爬取任務之后，他就會發起主動關閉連接，從而進入TIME_WAIT的狀態，然后在保持這個狀態2MSL（max segment lifetime）時間之后，徹底關閉回收資源。為什么要這么做？明明就已經主動關閉連接了為啥還要保持資源一段時間呢？這個是TCP/IP的設計者規定的，主要出於以下兩個方面的考慮：

1.防止上一次連接中的包，迷路后重新出現，影響新連接（經過2MSL，上一次連接中所有的重復包都會消失）
2.可靠的關閉TCP連接。在主動關閉方發送的最后一個 ack(fin) ，有可能丟失，這時被動方會重新發fin, 如果這時主動方處於 CLOSED 狀態 ，就會響應 rst 而不是 ack。所以主動方要處於 TIME_WAIT 狀態，而不能是 CLOSED 。另外這么設計TIME_WAIT 會定時的回收資源，並不會占用很大資源的，除非短時間內接受大量請求或者受到攻擊。

 

 

#以下引用摘自網上的/etc/sysctl.conf文件的修改參考說明：
#對於一個新建連接，內核要發送多少個 SYN 連接請求才決定放棄,不應該大於255，默認值是5，對應於180秒左右時間
net.ipv4.tcp_syn_retries=2
#net.ipv4.tcp_synack_retries=2
#表示當keepalive起用的時候，TCP發送keepalive消息的頻度。缺省是2小時，改為300秒
net.ipv4.tcp_keepalive_time=300
net.ipv4.tcp_orphan_retries=3
#表示如果套接字由本端要求關閉，這個參數決定了它保持在FIN-WAIT-2狀態的時間
net.ipv4.tcp_fin_timeout=30
#表示SYN隊列的長度，默認為1024，加大隊列長度為8192，可以容納更多等待連接的網絡連接數。
net.ipv4.tcp_max_syn_backlog = 4096
#表示開啟SYN Cookies。當出現SYN等待隊列溢出時，啟用cookies來處理，可防范少量SYN攻擊，默認為0，表示關閉
net.ipv4.tcp_syncookies = 1
#表示開啟重用。允許將TIME-WAIT sockets重新用於新的TCP連接，默認為0，表示關閉
net.ipv4.tcp_tw_reuse = 1
#表示開啟TCP連接中TIME-WAIT sockets的快速回收，默認為0，表示關閉
net.ipv4.tcp_tw_recycle = 1
#減少超時前的探測次數
net.ipv4.tcp_keepalive_probes=5
#優化網絡設備接收隊列
net.core.netdev_max_backlog=3000

 

 

目前的解決思路，就是讓服務器能夠快速回收和重用那些TIME_WAIT的資源，讓每個TIME_WAIT早點過期。

#vim /etc/sysctl.conf　追加或修改兩行參數

　　net.ipv4.tcp_tw_reuse = 1　讓TIME_WAIT狀態可以重用，即使time_wait占滿了所有端口，也不會拒絕新請求

　　net.ipv4.tcp_tw_recycle = 1　讓time_wait盡快回收，開啟是為了加速回收處於TIME_WAIT狀態的資源

#sysctl –p　使內核參數生效

注另外參數：

net.ipv4.tcp_tw_reuse和net.ipv4.tcp_tw_recycle的開啟都是為了加速回收處於TIME_WAIT狀態的資源。
net.ipv4.tcp_fin_timeout這個時間可以減少在異常情況下服務器從FIN-WAIT-2轉到TIME_WAIT的時間。
net.ipv4.tcp_keepalive_*一系列參數，是用來設置服務器檢測連接存活的相關配置。
 

再用netstat查了下：

TIME_WAIT 2087  已從13695多降為2087，先試運行一段時間看看有無問題
ESTABLISHED 553
LAST_ACK 1