• 1235阅读
  • 1回复

TIME_WAIT过多造成的问题及解决方案

楼层直达
0L7^Vr)  
_Q\u-VN*hv  
FCYZ9L5uF  
今天发现网站特别卡!! j7Lw( AJ  
@/?$ZX/e[  
ds QGj&  
查看网络连接数: s0'Xihsw6  
Dr"F5Wbg  
9DmQ  
netstat -an |wc -l *W<g%j-a  
8c'E  
D&&11Iz&  
netstat -an |grep xx |wc -l        查看某个/特定ip的连接数 B bx.RL.V  
[kq+a] q  
y3C$%yv0  
netstat -an |grep TIME_WAIT|wc -l    查看连接数等待time_wait状态连接数 xo_Es?  
I"+;L4o`  
yq>3IS4O  
netstat -an |grep ESTABLISHED |wc -l    查看建立稳定连接数量 pfvNVu  
wXsA-H/`  
#fYz367>  
n ZM|8  
sL tsvH#  
"I]% aK0  
查看不同状态的连接数数量 X"{s"Mc0G  
scUWI"  
Y&5h_3K;<  
[root@cp-nginx ~]# netstat -an | awk '/^tcp/ {++y[$NF]} END {for(w in y) print w, y[w]}' 5X-cDY*|  
CtA0W\9w5a  
=GjxqIv  
LISTEN 8 p]#%e0  
B;':Eaa@  
Ydu=J g5u7  
ESTABLISHED 2400 ]#[ R^t  
j4Cad  
l23#"gGb  
FIN_WAIT1 2 O- &>Dc  
dd>stp   
jO$3>q  
TIME_WAIT 6000 F\&R nDJ  
z}N=Oe  
-2mm 5E~N  
!["WnF{5eC  
TgVvp0F;  
QVI4<Rxg  
查看每个ip跟服务器建立的连接数 ~(%nnG6x  
+PY LKyS>  
-D0kp~AO4N  
[root@cp-nginx ~]# netstat -nat|awk '{print$5}'|awk -F : '{print$1}'|sort|uniq -c|sort -rn ZPY#<^WOzr  
Edc<  8-  
diGPTV-?$  
     31 45.116.147.178 &hEtVkK  
B{lBUv(B  
`[w:l[i  
     20 45.116.147.186 &%}6&PW i  
*f=H#  
OW\r }  
     12 23.234.45.34 WrQe'ny  
x-,+skZs  
N2vSJ\u  
     11 103.56.195.17 h.E8G^}@  
|T atRB3>  
7,ysixY  
(PS:正则解析:显示第5列,-F : 以:分割,显示列,sort 排序,uniq -c统计排序过程中的重复行,sort -rn 按纯数字进行逆序排序) 'z8?_{$   
qR/~a  
-/Pg[Lx7Pb  
OOn{Wp  
tAO,s ZW  
+Kw:z?  
查看每个ip建立的ESTABLISHED/TIME_OUT状态的连接数 N"1o> !  
Jw3VWc ]]  
hkB/ OJ  
[root@cp-nginx ~]# netstat -nat|grep ESTABLISHED|awk '{print$5}'|awk -F : '{print$1}'|sort|uniq -c|sort -rn #d2XVpO[0  
viB'ul7o  
:}'5'oVG  
     24 103.56.195.17 /9T.]H ~  
Z OJ<^t}  
.aS`l~6  
     19 45.116.147.186 Rp.42v#ck  
IAyyRl\  
FM$$0}X  
     18 103.56.195.18 )Y4;@pEU  
e}lF#$  
eX)'C>4W  
     17 45.116.147.178 `/ <y0H  
qzon);#7w  
xB5qX7*.  
5&)T[Q X`  
L%S(z)xX3  
2i9FzpC3  
} H#C<:A  
r+=%Ag  
edai2O  
解决time_wait连接数大量问题 +{~ cX] |  
ZR]p7{8B  
gQQve{'  
查询到time_wait连接数过多情况下,调整内核参数:/etc/sysctl.conf N)X 3pWC8  
g3|k-  
mX2X.ww(4  
vim /etc/sysctl.conf -6W$@,K  
r\A|fiL  
8q]_> X  
]FNe&o1zX  
t/lQSUip  
G#L6;  
添加以下配置文件: qWU59:d^{  
QVF561Yz  
/&H l62Ak  
net.ipv4.tcp_syncookies = 1 ux8K$$$  
net.ipv4.tcp_tw_reuse = 1 6W< Ig;  
net.ipv4.tcp_tw_recycle = 1 naiQ$uq0  
net.ipv4.tcp_fin_timeout = 300 ~OMo$qt`lP  
},=ORIB B:  
= Rn  
$azK M,<q  
'=H3Y_{oO  
 Spw^h=o  
/sbin/sysctl -p 让参数生效,调优完成 D;hJK-Y  
eNK6=D|  
)8taMC:H^  
pxI[/vS N  
RWB]uHzE  
/!_FE+  
参数详解: T-\q3X|y/  
? <w[ZWytm  
y#P _ }Kfo  
1.net.ipv4.tcp_syncookies = 1 表示开启 syn cookies 。当出现 syn 等待队列溢出时,启用 cookies 来处理,可防范少量 syn ***,默认为 0 ,表示关闭; #^_7i)=~  
&?I3xzvK  
ZftucD|ZY/  
2.net.ipv4.tcp_tw_reuse = 1 表示开启重用。允许将 time-wait sockets 重新用于新的 tcp 连接,默认为 0 ,表示关闭; P  V9q=  
3.net.ipv4.tcp_tw_recycle = 1 表示开启 tcp 连接中 time-wait sockets 的快速回收,默认为 0 ,表示关闭。 <J]N E|:  
4.net.ipv4.tcp_fin_timeout 修改系靳默认的 timeout 时间 R0yp9icS  
uZP( -}  
5r0Sl89J  
)LL.fPic  
C@MJn)$4  
OYOczb]  
经过上面的设置后,发现网站time_wait连接数慢慢减少,网站速度也快多了! TrVQ]9;jWk  
b:&= W>r  
c;'7o=rr  
如果以上配置调优后性能还不理想,可继续修改一下配置: g:>dF#  
5?TjuGc  
UmCIjwk  
vi /etc/sysctl.conf {z# W-  
H"rIOoxf  
(!<G` ;}u  
net.ipv4.tcp_keepalive_time = 1200 #表示当keepalive起用的时候,TCP发送keepalive消息的频度。缺省是2小时,改为20分钟。 )<L?3Jjt5  
+B OuU#  
&&n-$WEl  
net.ipv4.ip_local_port_range = 1024 65000 #表示用于向外连接的端口范围。缺省情况下很小:32768到61000,改为1024到65000。 zQx7qx  
!7uFH PK-  
V[">SiOg  
net.ipv4.tcp_max_syn_backlog = 8192 #表示SYN队列的长度,默认为1024,加大队列长度为8192,可以容纳更多等待连接的网络连接数。 f>+:UGmP  
K/LoHWy+n*  
:sek MNM  
net.ipv4.tcp_max_tw_buckets = 5000 #表示系统同时保持TIME_WAIT套接字的最大数量,如果超过这个数字,TIME_WAIT套接字将立刻被清除并打印警告信息。 mr`EcO0  
默认为180000,改为5000。 iLkP@OYgQ  
对于Apache、Nginx等服务器,上几行的参数可以很好地减少TIME_WAIT套接字数量,但是对于 Squid,效果却不大。此项参数可以控制TIME_WAIT套接字的最大数量,避免Squid服务器被大量的TIME_WAIT套接字拖死。
只看该作者 安逸沙发  发表于: 2019-09-29
1、 time_wait的作用: T5I#7LN#  
Zw'050~-  
复制代码 3-1a+7fD  
TIME_WAIT状态存在的理由: 8Z "f"  
1)可靠地实现TCP全双工连接的终止 8K8jz9.s  
   在进行关闭连接四次挥手协议时,最后的ACK是由主动关闭端发出的,如果这个最终的ACK丢失,服务器将重发最终的FIN, .=d40m  
因此客户端必须维护状态信息允许它重发最终的ACK。如果不维持这个状态信息,那么客户端将响应RST分节,服务器将此分节解释成一个错误(在java中会抛出connection reset的SocketException)。 0_Elxc  
因而,要实现TCP全双工连接的正常终止,必须处理终止序列四个分节中任何一个分节的丢失情况,主动关闭的客户端必须维持状态信息进入TIME_WAIT状态。 gSj0+|  
l%?4L/J)#  
2)允许老的重复分节在网络中消逝 BSJS4+,E  
TCP分节可能由于路由器异常而“迷途”,在迷途期间,TCP发送端可能因确认超时而重发这个分节,迷途的分节在路由器修复后也会被送到最终目的地,这个原来的迷途分节就称为lost duplicate。 ]%FP*YU4O  
在关闭一个TCP连接后,马上又重新建立起一个相同的IP地址和端口之间的TCP连接,后一个连接被称为前一个连接的化身(incarnation),那么有可能出现这种情况,前一个连接的迷途重复分组在前一个连接终止后出现,从而被误解成从属于新的化身。 #T{)y  
为了避免这个情况,TCP不允许处于TIME_WAIT状态的连接启动一个新的化身,因为TIME_WAIT状态持续2MSL,就可以保证当成功建立一个TCP连接的时候,来自连接先前化身的重复分组已经在网络中消逝。 '=\>n(%Q  
复制代码 +uTl Lu;MT  
2、大量TIME_WAIT造成的影响: #Ak|p#7 ^  
@3=q9ftm  
      在高并发短连接的TCP服务器上,当服务器处理完请求后立刻主动正常关闭连接。这个场景下会出现大量socket处于TIME_WAIT状态。如果客户端的并发量持续很高,此时部分客户端就会显示连接不上。 8t) g fSG  
我来解释下这个场景。主动正常关闭TCP连接,都会出现TIMEWAIT。 jENC1T(  
iVf7;M8O  
为什么我们要关注这个高并发短连接呢?有两个方面需要注意: h|`R[  
1. 高并发可以让服务器在短时间范围内同时占用大量端口,而端口有个0~65535的范围,并不是很多,刨除系统和其他服务要用的,剩下的就更少了。 l?V#;  
2. 在这个场景中,短连接表示“业务处理+传输数据的时间 远远小于 TIMEWAIT超时的时间”的连接。 u2`j\ Vu  
"USzk7=&.  
      这里有个相对长短的概念,比如取一个web页面,1秒钟的http短连接处理完业务,在关闭连接之后,这个业务用过的端口会停留在TIMEWAIT状态几分钟,而这几分钟,其他HTTP请求来临的时候是无法占用此端口的(占着茅坑不拉翔)。单用这个业务计算服务器的利用率会发现,服务器干正经事的时间和端口(资源)被挂着无法被使用的时间的比例是 1:几百,服务器资源严重浪费。(说个题外话,从这个意义出发来考虑服务器性能调优的话,长连接业务的服务就不需要考虑TIMEWAIT状态。同时,假如你对服务器业务场景非常熟悉,你会发现,在实际业务场景中,一般长连接对应的业务的并发量并不会很高。 ^6F, lS_t  
     综合这两个方面,持续的到达一定量的高并发短连接,会使服务器因端口资源不足而拒绝为一部分客户服务。同时,这些端口都是服务器临时分配,无法用SO_REUSEADDR选项解决这个问题。 F?6Q(mRl  
I|>.&nb  
关于time_wait的反思: C&%NO;Ole  
9V&+xbR&  
复制代码 J7%rPJ  
存在即是合理的,既然TCP协议能盛行四十多年,就证明他的设计合理性。所以我们尽可能的使用其原本功能。 05\0g9  
依靠TIME_WAIT状态来保证我的服务器程序健壮,服务功能正常。 .3XiL=^~Qp  
那是不是就不要性能了呢?并不是。如果服务器上跑的短连接业务量到了我真的必须处理这个TIMEWAIT状态过多的问题的时候,我的原则是尽量处理,而不是跟TIMEWAIT干上,非先除之而后快。 4K dYiuz0`  
如果尽量处理了,还是解决不了问题,仍然拒绝服务部分请求,那我会采取负载均衡来抗这些高并发的短请求。持续十万并发的短连接请求,两台机器,每台5万个,应该够用了吧。一般的业务量以及国内大部分网站其实并不需要关注这个问题,一句话,达不到时才需要关注这个问题的访问量。 }Qe(6'l_  
复制代码 ^,vFxN--q  
小知识点: xfC$u`e=  
3O1Lv2)_  
TCP协议发表:1974年12月,卡恩、瑟夫的第一份TCP协议详细说明正式发表。当时美国国防部与三个科学家小组签定了完成TCP/IP的协议,结果由瑟夫领衔的小组捷足先登,首先制定出了通过详细定义的TCP/IP协议标准。当时作了一个试验,将信息包通过点对点的卫星网络,再通过陆地电缆 <SOG?Lh~  
,再通过卫星网络,再由地面传输,贯串欧洲和美国,经过各种电脑系统,全程9.4万公里竟然没有丢失一个数据位,远距离的可靠数据传输证明了TCP/IP协议的成功。 ,`!lZ| U  
c;-N RvVb  
Tz.okCo]z  
3、案列分析: 9^N(s7s  
<RbfW'<G  
    首先,根据一个查询TCP连接数,来说明这个问题。 kTT%< e  
HkhZB^_V  
复制代码 !O}e)t  
netstat -ant|awk '/^tcp/ {++S[$NF]} END {for(a in S) print (a,S[a])}' 3fXrwmBT8  
LAST_ACK 14 0kls/^0,  
SYN_RECV 348 ,O-_Pv  
ESTABLISHED 70 m^m=/'<+  
FIN_WAIT1 229 B"#pvJN  
FIN_WAIT2 30 S%Ky+0  
CLOSING 33 1|ddG010  
TIME_WAIT 18122 G?\eO&QG{"  
复制代码 y:$qX*+9e  
状态描述: 5`U zxu  
upZc~k!1\  
View Code )1@%!fr  
命令解释: 9kqR-T|Q  
#r?[@aJ  
View Code |*h{GX.(  
-wl&~}%M  
T;{:a-8  
如何尽量处理TIMEWAIT过多? h <$%y(lP  
QLHEzEvf{/  
编辑内核文件/etc/sysctl.conf,加入以下内容: =-GxJ PL  
o]qwN:8^  
net.ipv4.tcp_syncookies = 1 表示开启SYN Cookies。当出现SYN等待队列溢出时,启用cookies来处理,可防范少量SYN攻击,默认为0,表示关闭; @.}Y'`9L  
net.ipv4.tcp_tw_reuse = 1 表示开启重用。允许将TIME-WAIT sockets重新用于新的TCP连接,默认为0,表示关闭; $""k Z  
net.ipv4.tcp_tw_recycle = 1 表示开启TCP连接中TIME-WAIT sockets的快速回收,默认为0,表示关闭。 `r3 klL,W'  
net.ipv4.tcp_fin_timeout 修改系默认的 TIMEOUT 时间 6o9&FU  
然后执行 /sbin/sysctl -p 让参数生效. k&f/f  
Y= =5\;-  
/etc/sysctl.conf是一个允许改变正在运行中的Linux系统的接口,它包含一些TCP/IP堆栈和虚拟内存系统的高级选项,修改内核参数永久生效。 VQG$$McJ  
简单来说,就是打开系统的TIMEWAIT重用和快速回收。 7j&EQm5\9  
-J#RGB{7  
如果以上配置调优后性能还不理想,可继续修改一下配置: jA^Dk$  
a'Zw^g  
复制代码 _j0xL{&&  
vi /etc/sysctl.conf @)[8m8paV  
net.ipv4.tcp_keepalive_time = 1200 _JTK$ \  
#表示当keepalive起用的时候,TCP发送keepalive消息的频度。缺省是2小时,改为20分钟。 Pi9?l>  
net.ipv4.ip_local_port_range = 1024 65000 +Ig%h[1a  
#表示用于向外连接的端口范围。缺省情况下很小:32768到61000,改为1024到65000。 ,RY;dX-#  
net.ipv4.tcp_max_syn_backlog = 8192 EEK!'[<,sE  
#表示SYN队列的长度,默认为1024,加大队列长度为8192,可以容纳更多等待连接的网络连接数。 t)?K@{ 9  
net.ipv4.tcp_max_tw_buckets = 5000 J-uQF|   
#表示系统同时保持TIME_WAIT套接字的最大数量,如果超过这个数字,TIME_WAIT套接字将立刻被清除并打印警告信息。 0rI/$  
默认为180000,改为5000。对于Apache、Nginx等服务器,上几行的参数可以很好地减少TIME_WAIT套接字数量,但是对于 Squid,效果却不大。此项参数可以控制TIME_WAIT套接字的最大数量,避免Squid服务器被大量的TIME_WAIT套接字拖死。
快速回复

限100 字节
安逸网提示:批量上传需要先选择文件,再选择上传
 
认证码:
上一个 下一个