ZeroTermux 内置手册：sysctl 命令详解与 Linux 内核运行参数动态调优实战-平芜编程栈

移动开发
开发工具

【免费下载链接】ZeroTermux

项目地址：https://gitcode.com/GitHub_Trending/ze/ZeroTermux

sysctl 是 Linux 管理员在系统运行期间动态读取、修改内核参数的核心工具，其可调参数覆盖 TCP/IP 协议栈、虚拟内存、文件系统与内核调试等多个子系统。本文以 ZeroTermux 内置的命令手册 sysctl.md 为骨架，结合仓库内命令检索源码与实际脚本用法，完整讲解 sysctl 的语法、选项、变量读写方式，以及/etc/sysctl.conf持久化配置的实战写法，帮助读者在 Termux/Android 与常规 Linux 环境中安全、准确地完成内核参数调优。

sysctl 是什么：运行时修改内核运行参数

sysctl命令被用于在内核运行时动态地修改内核的运行参数，可用的内核参数全部位于/proc/sys目录下。它包含一些 TCP/IP 堆栈和虚拟内存系统的高级选项，可以让有经验的管理员提高引人注目的系统性能；使用 sysctl 可以读取、设置超过五百个系统变量。

从实现机理上看，/proc/sys是内核通过 proc 文件系统导出的"运行时配置接口"：每个可调参数对应一个虚拟文件，读取文件内容即可获取当前值，写入新值即可在不停机、不重新编译内核的情况下立即改变内核行为。sysctl 命令正是对这个接口的封装，因此理解 sysctl 的关键在于理解变量名与/proc/sys路径的映射关系——例如变量net.ipv4.tcp_syncookies对应文件/proc/sys/net/ipv4/tcp_syncookies，中间的.分隔符即对应目录层级。

在 ZeroTermux 中，这篇 sysctl 手册与仓库内其他数百个命令手册（如 inotifywait.md、df.md）一同打包在assets/cmd目录下，随应用安装，可离线查阅。

在 ZeroTermux 中查阅 sysctl 手册

ZeroTermux 把assets/cmd下的命令手册做成了可检索的内置速查工具。从源码看，其工作流程为：

在弹出窗口 BoomWindow 中点击"命令"入口，创建并弹出CommandDialog（见 BoomWindow.java）；
CommandDialog通过assetManager.list("cmd")枚举全部手册文件名，支持按关键字过滤、按字母排序，见 CommandDialog.java；
点击某条命令后，showCmdDetail打开cmd/%s对应的 Markdown 文件，用 flexmark 解析器解析为 HTML 后加载进 WebView 展示，见 CommandDialog.java。

也就是说，本文以下内容即为该手册的完整展开：在 ZeroTermux 终端输入sysctl之前，可先在命令速查弹窗中离线查阅语法、选项与配置示例。

语法与选项

sysctl(选项)(参数)

选项	作用
`-n`	打印值时不打印关键字
`-e`	忽略未知关键字错误
`-N`	仅打印名称
`-w`	当改变 sysctl 设置时使用此项
`-p`	从配置文件`/etc/sysctl.conf`加载内核参数设置
`-a`	打印当前所有可用的内核参数变量和值
`-A`	以表格方式打印当前所有可用的内核参数变量和值

参数说明：变量=值，用于设置内核参数对应的变量值。

几点实用说明：

-a/-A适合快速导出全部参数做基线对比，输出行数可达数百行，建议配合sysctl -a | grep <关键词>定向检索；
-n常用于脚本中取纯数值，例如sysctl -n net.ipv4.tcp_syncookies只输出1，便于直接参与运算或比较；
-p不加文件路径时默认读取/etc/sysctl.conf，加路径则读取指定文件；
无-w直接写sysctl 变量=值在多数发行版上同样有效，但显式使用-w语义更清晰，可避免在只读挂载等场景下的歧义。

实操实例

查看所有可读变量

sysctl -a

该命令会列出当前内核全部可读参数变量及其值，是了解当前系统配置基线最快的方式。

读取一个指定的变量

例如读取kern.maxproc：

sysctl kern.maxproc kern.maxproc: 1044

输出格式为关键字: 当前值。读取任意参数可套用sysctl <变量名>的形式，也可配合-n只取数值部分。

设置一个指定的变量

直接用variable=value语法：

sysctl kern.maxfiles=5000 kern.maxfiles: 2088 -> 5000

输出中的2088 -> 5000表示该变量从原值 2088 被修改为 5000，修改即时生效。

变量值类型与批量设置

sysctl 变量的设置通常是字符串、数字或者布尔型（布尔型用1表示yes，用0表示no）。一个典型的网络安全加固命令序列如下：

sysctl -w kernel.sysrq=0 sysctl -w kernel.core_uses_pid=1 sysctl -w net.ipv4.conf.default.accept_redirects=0 sysctl -w net.ipv4.conf.default.accept_source_route=0 sysctl -w net.ipv4.conf.default.rp_filter=1 sysctl -w net.ipv4.tcp_syncookies=1 sysctl -w net.ipv4.tcp_max_syn_backlog=2048 sysctl -w net.ipv4.tcp_fin_timeout=30 sysctl -w net.ipv4.tcp_synack_retries=2 sysctl -w net.ipv4.tcp_keepalive_time=3600 sysctl -w net.ipv4.tcp_window_scaling=1 sysctl -w net.ipv4.tcp_sack=1

这些参数各自的作用分别是：kernel.sysrq=0关闭 SysRq 调试组合键；kernel.core_uses_pid=1让 core dump 文件名附带 PID 便于多线程程序调试；accept_redirects=0与accept_source_route=0关闭 ICMP 重定向与源路由，属于经典的反欺骗加固；rp_filter=1开启反向路径过滤；tcp_syncookies=1开启 SYN Cookie 防 SYN Flood；其余tcp_max_syn_backlog、tcp_fin_timeout、tcp_synack_retries、tcp_keepalive_time、tcp_window_scaling、tcp_sack则是对 TCP 连接队列、超时与吞吐特性的高频调优项。

需要注意的是，以上-w方式设置的参数在重启后会丢失，如需持久化应写入/etc/sysctl.conf（见下一节）。

配置 sysctl：编辑 /etc/sysctl.conf

通过命令行-w修改的参数只在本次运行期有效，重启即失效；持久化配置应写入配置文件/etc/sysctl.conf。该文件用variable=value的形式设定值，指定的值在系统进入多用户模式之后被设定；但并不是所有的变量都可以在这个模式下设定。

如果该文件为空，可输入以下内容作为一套经过整理的通用调优模板，否则请根据实际情况自行调整：

# Controls source route verification # Default should work for all interfaces net.ipv4.conf.default.rp_filter = 1 # net.ipv4.conf.all.rp_filter = 1 # net.ipv4.conf.lo.rp_filter = 1 # net.ipv4.conf.eth0.rp_filter = 1 # Disables IP source routing # Default should work for all interfaces net.ipv4.conf.default.accept_source_route = 0 # net.ipv4.conf.all.accept_source_route = 0 # net.ipv4.conf.lo.accept_source_route = 0 # net.ipv4.conf.eth0.accept_source_route = 0 # Controls the System Request debugging functionality of the kernel kernel.sysrq = 0 # Controls whether core dumps will append the PID to the core filename. # Useful for debugging multi-threaded applications. kernel.core_uses_pid = 1 # Increase maximum amount of memory allocated to shm # Only uncomment if needed! # kernel.shmmax = 67108864 # Disable ICMP Redirect Acceptance # Default should work for all interfaces net.ipv4.conf.default.accept_redirects = 0 # net.ipv4.conf.all.accept_redirects = 0 # net.ipv4.conf.lo.accept_redirects = 0 # net.ipv4.conf.eth0.accept_redirects = 0 # enable Log Spoofed Packets, Source Routed Packets, Redirect Packets # Default should work for all interfaces net.ipv4.conf.default.log_martians = 1 # net.ipv4.conf.all.log_martians = 1 # net.ipv4.conf.lo.log_martians = 1 # net.ipv4.conf.eth0.log_martians = 1 # Decrease the time default value for tcp_fin_timeout connection net.ipv4.tcp_fin_timeout = 25 # Decrease the time default value for tcp_keepalive_time connection net.ipv4.tcp_keepalive_time = 1200 # Turn on the tcp_window_scaling net.ipv4.tcp_window_scaling = 1 # Turn on the tcp_sack net.ipv4.tcp_sack = 1 # tcp_fack should be on because of sack net.ipv4.tcp_fack = 1 # Turn on the tcp_timestamps net.ipv4.tcp_timestamps = 1 # Enable TCP SYN Cookie Protection net.ipv4.tcp_syncookies = 1 # Enable ignoring broadcasts request net.ipv4.icmp_echo_ignore_broadcasts = 1 # Enable bad error message Protection net.ipv4.icmp_ignore_bogus_error_responses = 1 # make more local ports available # net.ipv4.ip_local_port_range = 1024 65000 # set TCP Re-Ordering value in kernel to '5' net.ipv4.tcp_reordering = 5 # Lower syn retry rates net.ipv4.tcp_synack_retries = 2 net.ipv4.tcp_syn_retries = 3 # Set Max SYN Backlog to '2048' net.ipv4.tcp_max_syn_backlog = 2048 # Various Settings net.core.netdev_max_backlog = 1024 # Increase the maximum number of skb-heads to be cached net.core.hot_list_length = 256 # Increase the tcp-time-wait buckets pool size net.ipv4.tcp_max_tw_buckets = 360000 # This will increase the amount of memory available for socket input/output queues net.core.rmem_default = 65535 net.core.rmem_max = 8388608 net.ipv4.tcp_rmem = 4096 87380 8388608 net.core.wmem_default = 65535 net.core.wmem_max = 8388608 net.ipv4.tcp_wmem = 4096 65535 8388608 net.ipv4.tcp_mem = 8388608 8388608 8388608 net.core.optmem_max = 40960

对这套模板做几点解读，便于按需裁剪：

接口粒度：net.ipv4.conf.default.*是作用于"默认"配置的模板值，新增接口会继承；被#注释的all.*、lo.*、eth0.*用于按全部接口、回环接口或指定网卡覆盖，读者应根据机器实际网卡名（如eth0、wlan0、enp3s0）决定是否启用；
反欺骗三件套：rp_filter、accept_source_route、accept_redirects共同构成源路由与 ICMP 重定向防护，服务器场景建议保持关闭；
TCP 吞吐与资源：tcp_window_scaling、tcp_sack、tcp_fack、tcp_timestamps提升大带宽长肥管道（Long Fat Network）下的传输效率；tcp_rmem/tcp_wmem给出min default max三档值，tcp_mem给出内核在低、中、高内存压力下的水位；tcp_max_tw_buckets调大 TIME_WAIT 桶容量，可缓解高并发短连接场景下的连接堆积；
缓冲区与队列：net.core.rmem_max/wmem_max、netdev_max_backlog、optmem_max、hot_list_length属于套接字与网卡收发的通用内核缓冲，需结合物理内存量谨慎调大，内存较小的设备不宜照搬大值；
sysrq 与 core dump：kernel.sysrq=0与kernel.core_uses_pid=1在多数发行版中已是默认值，保留它们可以防止模板覆盖发行版既有安全策略。

屏蔽 ping 请求

如果希望屏蔽别人 ping 你的主机，则在该文件中加入以下代码：

# Disable ping requests net.ipv4.icmp_echo_ignore_all = 1

设置后本机将不再响应任何 ICMP Echo 请求。注意它同时也会屏蔽自己向本机发起的 ping，排查网络连通性时应先临时恢复为0。若只想忽略广播方向的 ping（不影响单播），可改用模板中已出现的net.ipv4.icmp_echo_ignore_broadcasts = 1。

使配置立即生效

编辑完成后，请执行以下命令使变动立即生效：

/sbin/sysctl -p /sbin/sysctl -w net.ipv4.route.flush=1

-p负责将/etc/sysctl.conf中的全部设置一次性加载；第二条命令清空并重建路由缓存，确保与重定向、源路由相关的改动在已建立连接上同样生效。

从源码看 sysctl 在项目中的真实用法

ZeroTermux 仓库内对 sysctl 的引用展示了这类"运行时参数"在真实环境中的两种典型角色。

其一，环境自检脚本 check-config.sh 定义了check_limit_over函数：它读取/proc/sys/kernel/keys/root_maxkeys的当前值，若小于阈值（10000）则给出警示，并直接输出建议命令sysctl -w kernel/keys/root_maxkeys=1000000。这印证了两点：一是/proc/sys下变量可直接cat读取，与 sysctl 读取的是同一数据源；二是当内核密钥管理（如容器、文件系统加密场景）触发key_alloc失败时，管理员可以像模板中那样通过-w临时调高上限。注意该脚本此处使用的是kernel/keys/...的路径写法，与kernel.keys.xxx的点分写法指向同一个变量，两种形式在 sysctl 中均可识别。

其二，在 QEMU 虚拟化启动脚本 utqemu.sh 中可以看到被注释的echo 3 >/proc/sys/vm/drop_caches，即以直接写入 proc 文件的方式触发内核丢弃页缓存——这正是 sysctl 的底层操作形态。而df、inotifywait等命令手册同样涉及/proc/sys下的节点（如 inotifywait.md 中通过ll /proc/sys/fs/inotify检查 inotify 事件队列与实例上限），说明/proc/sys是贯穿系统观测、文件监控与内核调优的统一接口。

注意事项与限制

权限要求：读取参数普通用户即可；写入参数（-w、-p）通常需要 root 权限，在 ZeroTermux/Android 环境中请使用已授权的 root 终端，普通 Termux 会话内写入会返回Permission denied；
Android 内核差异：Android 手机内核一般会裁剪掉部分/proc/sys节点，sysctl -a列出的变量数量可能远少于桌面发行版；写入被裁剪或不存在的节点会报未知关键字错误，可用-e忽略此类错误继续执行其余设置；
实时性：-w修改即时生效但重启丢失；/etc/sysctl.conf在 Android 上未必是系统默认加载路径，若需开机自启，可结合 Termux:Boot 等机制在启动脚本中执行/sbin/sysctl -p（如需了解 Termux:Boot 的用法，可参阅仓库内置手册 termux_boot.ip）；
风险控制：涉及内存水位（tcp_mem、rmem_max）、路由（route.flush）与安全策略（rp_filter、accept_redirects）的参数应先在低负载环境验证，逐项修改、逐项观察，避免一次写入过多导致网络中断或 OOM；
持久化与恢复：修改前建议先sysctl -a > sysctl_backup.txt保存基线，出现异常时可用sysctl -p从备份对照恢复。

综上，sysctl 的价值在于让内核在运行期"可观测、可干预、可持久化"：用-a摸清基线，用变量=值完成热调整，用/etc/sysctl.conf固化策略。配合 ZeroTermux 内置命令手册的离线检索能力，无论是排查网络问题、加固主机安全，还是优化吞吐与连接队列，都能在 Android/Linux 环境中快速定位并落地正确的内核参数。