高併發短連接場景（HTTP API、微服務 RPC、負載測試）下，Linux 伺服器常因海量 TIME_WAIT 狀態 Socket 耗盡連接追蹤表、端口資源或記憶體，導致新連接建立失敗、延遲飆升。本文深入內核原理，提供從參數調優到架構優化的完整方案。

TIME_WAIT 產生機制與危害

TCP 四次揮手結束連接時，主動關閉端 進入 TIME_WAIT，持續 2 MSL（Maximum Segment Lifetime），Linux 定為 60 秒（TCP_TIMEWAIT_LEN = 60*HZ）。

• 目的：確保最後 ACK 送達、讓殘留封包在網路中消失。
• 危害：短連接大量產生 → 佔用 struct inet_timewait_sock（約 168 bytes）、佔用客戶端暫時端口（預設 32768-60999）、增加查找開銷。

觀測現狀

# 統計 TIME_WAIT 數量
ss -tan state time-wait | wc -l
# 或
netstat -ant | grep -c TIME_WAIT

# 查看端口範圍
cat /proc/sys/net/ipv4/ip_local_port_range
# 32768 60999  (約 28k 可用端口)

常見誤區：tcp_fin_timeout 無效

網路上流傳調整 /proc/sys/net/ipv4/tcp_fin_timeout（預設 60）可縮短 TIME_WAIT，**這是錯誤的**。該參數僅影響 FIN_WAIT_2 狀態超時，不控制 TIME_WAIT。內核中 TIME_WAIT 由硬編碼宏定義：

// include/net/tcp.h
#define TCP_TIMEWAIT_LEN (60 * HZ)  // 60 秒，編譯期固定

修改需重編內核，生產環境極不推薦。

方案一：內核參數調優（免重編，首選）

1. net.ipv4.tcp_tw_reuse = 1（重用 TIME_WAIT Socket 發起新連出連接）

• 允許將處於 TIME_WAIT 的 Socket 重新用於新的外出連接（Client 端）。
• 前提：時間戳選項（tcp_timestamps=1，預設開啟）啟用，且經過 1 秒（RTO）後才重用。
• 安全：RFC 1323 保證不會與舊連接混淆。

2. net.ipv4.tcp_tw_recycle = 0（必須關閉）

• 舊內核選項，已在 Linux 4.12+ 移除。
• 機制：依時間戳快速回收 NAT 後多客戶端的 TIME_WAIT，但會導致NAT 環境下連接隨機失敗（時間戳單調遞增假設失效）。

3. 擴大端口範圍

sysctl -w net.ipv4.ip_local_port_range="1024 65535"
# 持久化：/etc/sysctl.d/99-tcp-tuning.conf
net.ipv4.ip_local_port_range = 1024 65535

4. 增加連接追蹤表大小（若啟用 conntrack）

net.netfilter.nf_conntrack_max = 1000000
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 30

5. 啟用 SYN Cookies 防洪水

net.ipv4.tcp_syncookies = 1

方案二：應用層架構優化（治本）

方案三：內核編譯調整（最後手段）

若極端場景（如壓測工具、特殊協議）必須縮短 TIME_WAIT：

1. 修改 include/net/tcp.h：#define TCP_TIMEWAIT_LEN (10*HZ)（10 秒）。
2. 重編內核、安裝、重啟。
3. 風險：可能導致舊封包干擾新連接、NAT 穿透失敗、違反 RFC 793。

綜合建議配置（/etc/sysctl.d/99-tcp-short-conn.conf）

# TIME_WAIT 重用（Client 端有效）
net.ipv4.tcp_tw_reuse = 1
# 禁用危險的 recycle
net.ipv4.tcp_tw_recycle = 0
# 擴大端口池
net.ipv4.ip_local_port_range = 1024 65535
# 連接追蹤優化
net.netfilter.nf_conntrack_max = 1000000
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 30
# 緩衝區優化
net.core.somaxconn = 65535
net.ipv4.tcp_max_syn_backlog = 65535
# 保活偵測死連
net.ipv4.tcp_keepalive_time = 300
net.ipv4.tcp_keepalive_intvl = 30
net.ipv4.tcp_keepalive_probes = 3

套用：sysctl --system。結合應用層長連接策略，即可從容應對百萬級短連接衝擊。

策略	原理	適用場景
連接池/長連接	復用 TCP 連接，減少建立/關閉頻率	資料庫、Redis、HTTP Keep-Alive、gRPC
SO_REUSEPORT	多執行緒/進程監聽同一埠，核心分發	高併發 Server（Nginx、Go、Java Netty）
Client 端綁定固定源端口	配合 tcp_tw_reuse 精確控制	特殊協議、測試環境
負載均衡器終結連接	L4/L7 LB 吸收短連接，後端走長連接	微服務架構、K8s Ingress