文件 /etc/security/limits.conf
* soft nofile 1024000
* hard nofile 1024000
* soft nproc 1024000
* hard nproc 1024000
root soft nofile 1024000
root hard nofile 1024000
root soft nproc 1024000
root hard nproc 1024000
文件 /etc/systemd/user.conf
DefaultLimitNOFILE=1024000
文件 /etc/systemd/system.conf
DefaultLimitNOFILE=1024000相关文章
内存优化总结:ptmalloc、tcmalloc和jemalloc
支持的软件
Redis,默认使用jemalloc
Mysql
LD_PRELOAD=/usr/local/lib/libjemalloc.so@MariaDB
LD_PRELOAD=/usr/local/lib/libjemalloc.so@Jemalloc
LD_PRELOAD=/usr/local/lib/libjemalloc.so@Nginx
--with-ld-opt='-ljemalloc'Openrestry
--with-ld-opt='-ljemalloc -Wl,-u,pcre_version'Tengine
--with-jemalloc运行在用户空间的应用软件，通过控制Linux内核netfilter模块，来管理网络数据包的处理和转发。iptables 支持内核2.4以上版本，旧版内核环境下则使用ipchains（于2.2版内核）或 ipwadm（于2.0版内核）完成类似的功能。2014年1月19日起发行的Linux内核3.13版则使用nftables取而代之，但仍然提供 iptables 命令做为兼容接口
CentOS 7.0默认使用的是firewall作为防火墙,启用iptable，
iptable需要先关闭firewall并禁止开启自启
service firewalld stop
systemctl disable firewalld.service #禁止firewall开机启动
#安装iptable
yum install iptables-services
service iptables start #开启
systemctl enable iptables.service #设置防火墙开机启动应用场景
指令选项
iptables -L -F -A -D # list flush append delete
场景一
开放 tcp 10-22/80 端口 开放 icmp 其他未被允许的端口禁止访问
iptables -I INPUT -p tcp --dport 80 -j ACCEPT # 允许 tcp 80 端口
iptables -I INPUT -p tcp --dport 10:22 -j ACCEPT # 允许 tcp 10-22 端口
iptables -I INPUT -p icmp -j ACCEPT # 允许 icmp
iptables -A INPUT -j REJECT # 添加一条规则, 不允许所有
场景二
ftp: 默认被动模式(服务器产生随机端口告诉客户端, 客户端主动连接这个端口拉取数据) vsftpd: 使 ftp 支持主动模式(客户端产生随机端口通知服务器, 服务器主动连接这个端口发送数据)
iptables -I INPUT -i lo -j ACCEPT # 允许本机访问
iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 允许访问外网
iptables -I INPUT -p tcp --dport 80 -s 10.10.188.233 -j ACCEPT # 只允许固定ip访问80
场景三
允许外网访问: web http -> 80/tcp; https -> 443/tcp mail smtp -> 25/tcp; smtps -> 465/tcp pop3 -> 110/tcp; pop3s -> 995/tcp imap -> 143/tcp
iptables -I INPUT -i lo -j ACCEPT # 允许本机访问
iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 允许访问外网
iptables -I INPUT -s 10.10.155.0/24 -j ACCEPT # 允许内网访问
iptables -I INPUT -p tcp -m multiport --dports 80,1723 -j ACCEPT # 允许端口, 80 -> http, 1723 -> vpn
iptables -A INPUT -j REJECT # 添加一条规则, 不允许所有
iptables-save # 保存设置到配置文件
场景四
nat 转发
iptables -t nat -L # 查看 nat 配置
iptables -t nat -A POST_ROUTING -s 10.10.177.0/24 -j SNAT --to 10.10.188.232 # SNAT
vi /etc/sysconfig/network # 配置网关
iptables -t nat -A POST_ROUTING -d 10.10.188.232 -p tcp --dport 80 -j DNAT --to 10.10.177.232:80 # DNAT
场景五
防CC攻击
iptables -I INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 100 -j REJECT # 限制并发连接访问数
iptables -I INPUT -m limit --limit 3/hour --limit-burst 10 -j ACCEPT # limit模块; --limit-burst 默认为5相关文章
众所周知，在RHEL7系统中，firewalld防火墙取代了iptables防火墙。我们都知道iptables的防火墙策略是交由内核层面的netfilter网络过滤器来处理的，而firewalld则是交由内核层面的nftables包过滤框架来处理。
下面一张图，让大家明确的了解防火墙 Firewall 与 iptables 之间的关系与区别。
相较于iptables防火墙而言，firewalld支持动态更新技术并加入了区域（zone）的概念。简单来说，区域就是firewalld预先准备了几套防火墙策略集合（策略模板），用户可以根据生产场景的不同而选择合适的策略集合，从而实现防火墙策略之间的快速切换。
firewalld跟iptables比起来至少有两大好处：
相关文章
相关文章
我们平常写的高级语言和汇编语言是个人看的CPU无法直接运行，需要编译成机器码给CPU执行。
从软件工程师的角度来讲，CPU 就是一个执行各种计算机指令（Instruction Code）的逻辑机器。这里的计算机指令，就好比一门 CPU 能够听得懂的语言，我们也可以把它叫作机器语言（Machine Language）。
不同的 CPU 能够听懂的语言不太一样。比如，我们的个人电脑用的是 Intel 的 CPU，苹果手机用的是 ARM 的 CPU。这两者能听懂的语言就不太一样。类似这样两种 CPU 各自支持的语言，就是两组不同的计算机指令集，英文叫 Instruction Set。这里面的“Set”，其实就是数学上的集合，代表不同的单词、语法。
复杂指令集计算机包含许多应用程序中很少使用的特定指令，由此产生的缺陷是指令长度不固定。
目前x86架构微处理器如Intel的Pentium/Celeron/Xeon与AMD的Athlon/Duron/Sempron；以及其64位扩展系统的x86-64架构的Intel 64的Intel Core/Core 2/Celeron/Pentium/Xeon与AMD64的Phenom II/Phenom/Athlon 64/Athlon II/Opteron/AMD APU/Ryzen/EPYC都属于复杂指令集。主要针对的操作系统是微软的Windows和苹果公司的macOS。另外Linux，一些UNIX等，都可以运行在x86（复杂指令集）架构的微处理器。
精简指令集计算机通过只执行在程序中经常使用的指令来简化处理器的结构，而特殊操作则以子程序的方式实现，它们的特殊使用通过处理器额外的执行时间来弥补。
这种指令集运算包括惠普的PA-RISC，国际商业机器的PowerPC，康柏（后被惠普收购）的Alpha，美普思科技公司的MIPS，SUN公司的SPARC，ARM公司的ARM架构等。目前有UNIX、Linux以及包括iOS、Android、Windows Phone等在内的大多数移动操作系统运行在精简指令集的处理器上。
除了 C 这样的编译型的语言之外，不管是 Python 这样的解释型语言，还是 Java 这样使用虚拟机的语言，其实最终都是由不同形式的程序，把我们写好的代码，转换成 CPU 能够理解的机器码来执行的。只是解释型语言，是通过解释器在程序运行的时候逐句翻译，而 Java 这样使用虚拟机的语言，则是由虚拟机对编译出来的中间代码进行解释，或者即时编译成为机器码来最终执行。
为什么同一个程序，在同一台计算机上（可是我们的 CPU 并没有换掉，指令集是同一个），在 Linux 下可以运行，而在 Windows 下却不行呢？反过来，Windows 上的程序在 Linux 上也是一样不能执行的？
C 语言代码 – 汇编代码 – 机器码” 这个过程，在我们的计算机上进行的时候是由两部分组成的。
第一个部分由编译（Compile）、汇编（Assemble）以及链接（Link）三个阶段组成。在这三个阶段完成之后，我们就生成了一个可执行文件。
第二部分，我们通过装载器（Loader）把可执行文件装载（Load）到内存中。CPU 从内存中读取指令和数据，来开始真正执行程序。
在 Linux 下，可执行文件和目标文件所使用的都是一种叫 ELF（Execuatable and Linkable File Format）的文件格式，中文名字叫可执行与可链接文件格式，这里面不仅存放了编译成的汇编指令，还保留了很多别的数据，包含所有的代码，都存放在这个 ELF 格式文件里。这些名字和它们对应的地址，在 ELF 文件里面，存储在一个叫作符号表（Symbols Table）的位置里。符号表相当于一个地址簿，把名字和地址关联了起来
链接器会扫描所有输入的目标文件，然后把所有符号表里的信息收集起来，构成一个全局的符号表。然后再根据重定位表，把所有不确定要跳转地址的代码，根据符号表里面存储的地址，进行一次修正。最后，把所有的目标文件的对应段进行一次合并，变成了最终的可执行代码。这也是为什么，可执行文件里面的函数调用的地址都是正确的。
在链接器把程序变成可执行文件之后，要装载器去执行程序就容易多了。装载器不再需要考虑地址跳转的问题，只需要解析 ELF 文件，把对应的指令和数据，加载到内存里面供 CPU 执行就可以了。
Linux 下的 ELF 文件格式，而 Windows 的可执行文件格式是一种叫作 PE（Portable Executable Format）的文件格式。Linux 下的装载器只能解析 ELF 格式而不能解析 PE 格式。
Linux 下著名的开源项目 Wine，就是通过兼容 PE 格式的装载器，使得我们能直接在 Linux 下运行 Windows 程序的。而现在微软的 Windows 里面也提供了 WSL，也就是 Windows Subsystem for Linux，可以解析和加载 ELF 格式的文件。
推荐阅读想要更深入了解程序的链接过程和 ELF 格式，我推荐你阅读《程序员的自我修养——链接、装载和库》的 1～4 章。这是一本难得的讲解程序的链接、装载和运行的好书。
本地编译可以理解为，在当前编译平台下，编译出来的程序只能放到当前平台下运行。平时我们常见的软件开发，都是属于本地编译：
比如，我们在 x86 平台上，编写程序并编译成可执行程序。这种方式下，我们使用 x86 平台上的工具，开发针对 x86 平台本身的可执行程序，这个编译过程称为本地编译。
交叉编译可以理解为，在当前编译平台下，编译出来的程序能运行在体系结构不同的另一种目标平台上，但是编译平台本身却不能运行该程序：
比如，我们在 x86 平台上，编写程序并编译成能运行在 ARM 平台的程序，编译得到的程序在 x86 平台上是不能运行的，必须放到 ARM 平台上才能运行。
二级制安装包，是厂商预先在对应的cpu架构的电脑上编译好的二进制安装包，然后通过包管理工具分发，yum,rpm,apt,dpkg.优点是安装快。缺点是一些特殊的软件无法进行定制安装，目录和相关配置无法指定都是预先编译好的。
编译安装比较耗费时间，可以对模块进行定制，安装到指定目录。升级时需要重新编译
举例说明，比如php语言这种模块形式的服务软件，有很多扩展用不到，用软件包完全安装之后占用更多的系统资源，而有的第三方的模块，系统分发的软件包里没有，需要自己重新编译
从操作系统的角度来说，它仅仅提供最原始的系统调用是不够的，有很多业务逻辑的封装，在用户态来做更合适。但是，它也无法去穷举所有的编程语言，然后一一为它们开发各种语言的基础库。那怎么办？
聪明的操作系统设计者们想了一个好办法：动态库。几乎所有主流操作系统都有自己的动态库设计，包括：
动态库本质上是实现了一个语言无关的代码复用机制。它是二进制级别的复用，而不是代码级别的。这很有用，大大降低了编程语言标准库的工作量。
动态库的原理其实很简单，核心考虑两个东西。
有了动态库，编程语言的设计者实现其标准库来说就多了一个选择：直接调用动态库的函数并进行适度的语义包装。大部分语言会选择这条路，而不是直接用系统调用。
例如php的各种扩展，调用系统的动态库
可以通过在.bashrc或者.cshrc中配置该环境变量，LD_LIBRARY_PATH的意思是告诉loader在哪些目录中可以找到共享库. 可以设置多个搜索目录, 这些目录之间用冒号分隔开.
同样是上面的例子，可以通过以上的方法来实现
在.bashrc或.cshrc中增加一行，export LD_LIBRARY_PATH = ～/exe：$LD_LIBRARY_PATH即可。
通过编译选项-Wl， -rpath指定动态搜索的路径
-Wl选项告诉编译器将后面的参数传递给链接器
相关文章
线程基础知识
协程基础知识
Socket
unix socket tcp socket
五种 I/O 模型
阻塞 I/O
非阻塞 I/O
I/O 的多路复用（select 和 poll）
信号驱动的 I/O（SIGIO）
异步 I/O（POSIX 的 aio_functions）
Reactor模型
TCP粘包
[网络坦白局] TCP粘包 数据包：我只是犯了每个数据包都会犯的错 |硬核图解
惊群效应
网络通讯协议
Linux inotify
event loop 事件循环
C/S 客户端->服务端 编程模型
日志目录
/var/log/message 系统启动后的信息和错误日志，是Red Hat Linux中最常用的日志之一
/var/log/secure 与安全相关的日志信息
/var/log/maillog 与邮件相关的日志信息
/var/log/cron 与定时任务相关的日志信息
/var/log/spooler 与UUCP和news设备相关的日志信息
/var/log/boot.log 守护进程启动和停止相关的日志消息
/var/log/wtmp 该日志文件永久记录每个用户登录、注销及系统的启动、停机的事件
/var/log/yum.log
/var/log/syslog
/var/log/dmesg
/var/log/journalhistory 显示或操作历史列表 文档
more 显示文件内容，每次显示一屏 文档
Space 键：显示文本的下一屏内容。Enter 键：只显示文本的下一行内容。|：接着输入一个模式，可以在文本中寻找下一个相匹配的模式。less 分屏上下翻页浏览文件内容 文档
tail 在屏幕上显示指定文件的末尾若干行 文档
#查看指定ip的nginx日志
tail -f /dir_name/access.log | grep xxx.xxx.xxx.xxxsudo journalctl -xe 查看systemd 错误日志 journalctl
参考
rm cannot remove xxx Read-only file system 无法删除文件
df dir 查看无法删除的目录所在的文件系统
df /snap/remmina/
Filesystem 1K-blocks Used Available Use% Mounted on
/dev/nvme0n1p2 479152840 195515620 259227828 43% /fsck -y / #执行修复文件系统 的挂载根目录 或者 有问题的文件所在的挂载目录；
shutdown -r now
再删除ubuntu系统中的snap应用文件时上述方法没有解决
使用df -h 查看 发现remmina中的 /snap/remmina/4978 的挂载点是/dev/loop12
sudo umount /dev/loop12 去掉挂载后，再删除就可以了 ，原因是磁盘的挂载目录无法直接被删除
按照官方文档扩容
输入growpart 命令时 没有查找一下该命令的参数和含义，照着文档以为是截图中的序号，结果报如下错误
NOCHANGE: partition 2 is size 0. it cannot be grown
growpart <DeviceName> <PartionNumber> 应该输入分区好，即截图中1，/dev/vdb 是设备名称 ，/dev/vdb1是设备名称+分区号，即设备分区 总结: 服务器运行不了解的命令一定要先查一下文档手册，看个大概，梳理一下操作的大概意思，然后在操作 完善一下文件系统的文档，复习一下文件系统的知识 参考
打开文件 /etc/sysctl.conf，增加以下设置
#该参数设置系统的TIME_WAIT的数量，如果超过默认值则会被立即清除
net.ipv4.tcp_max_tw_buckets = 20000
#定义了系统中每一个端口最大的监听队列的长度，这是个全局的参数
net.core.somaxconn = 65535
#对于还未获得对方确认的连接请求，可保存在队列中的最大数目
net.ipv4.tcp_max_syn_backlog = 262144
#在每个网络接口接收数据包的速率比内核处理这些包的速率快时，允许送到队列的数据包的最大数目
net.core.netdev_max_backlog = 30000
#能够更快地回收TIME-WAIT套接字。此选项会导致处于NAT网络的客户端超时，建议为0
net.ipv4.tcp_tw_recycle = 0
#系统所有进程一共可以打开的文件数量
fs.file-max = 6815744
#防火墙跟踪表的大小。注意：如果防火墙没开则会提示error: "net.netfilter.nf_conntrack_max" is an unknown key，忽略即可
net.netfilter.nf_conntrack_max = 2621440运行 sysctl -p即可生效。
设置系统打开文件数设置，解决高并发下 too many open files 问题。此选项直接影响单个进程容纳的客户端连接数。
Soft open files 是Linux系统参数，影响系统单个进程能够打开最大的文件句柄数量，这个值会影响到长连接应用如聊天中单个进程能够维持的用户连接数， 运行ulimit -n能看到这个参数值，如果是1024，就是代表单个进程只能同时最多只能维持1024甚至更少（因为有其它文件的句柄被打开）。如果开启4个进程维持用户连接，那么整个应用能够同时维持的连接数不会超过4*1024个，也就是说最多只能支持4×1024个用户在线可以增大这个设置以便服务能够维持更多的TCP连接。
Soft open files 修改三种方法：
第一种：在终端直接运行 ulimit -HSn 102400，然后重启workerman。
这只是在当前终端有效，退出之后，open files 又变为默认值。
第二种：在/etc/profile文件末尾添加一行 ulimit -HSn 102400，这样每次登录终端时，都会自动执行。更改后需要重启workerman。
第三种：令修改open files的数值永久生效，则必须修改配置文件：/etc/security/limits.conf. 在这个文件后加上：
* soft nofile 1024000
* hard nofile 1024000
root soft nofile 1024000
root hard nofile 1024000
这种方法需要重启机器才能生效。
开启BBR算法
参考
GOOGLE 2016年出的TCP拥塞控制算法,解决问题提高网络吞吐量，案例Google在YouTube上应用该算法，将全球平均的YouTube网络吞吐量提高了4%，在一些国家超过了14%
BBR不会将丢包视为拥塞信号，这会导致高重传率的保持,如果传递的内容对丢包敏感，那么BBR可能不是一个好选择,这种情况下，内容提供商需要仔细检查吞吐量和体验质量之间的权衡
BBR的公平性存在问题，它会抢占Cubic算法的带宽（取决于瓶颈缓冲区的大小）
如何开启BBR