TCP连接数过高需关注连接释放、TIME_WAIT堆积、端口耗尽等问题，优化重点在于健康生命周期、高效复用与及时回收；应通过ss命令诊断瓶颈，合理启用tcp_tw_reuse等参数减少TIME_WAIT，应用层启用Keep-Alive和连接池，并用iptables或cgroup限制单点连接数。
Linux系统中TCP连接数过高，通常不是单纯“数量多”就出问题，而是连接未及时释放、TIME_WAIT堆积、端口耗尽或资源被无效占用导致性能下降。优化重点不在限制连接数，而在让连接生命周期更健康、复用更高效、回收更及时。
检查真实瓶颈：别只看连接总数
运行 ss -s 查看全局连接统计，重点关注：
- established 数量是否持续远超业务峰值预期（如Web服务通常几百~几千，非高并发场景上万需警惕）
- time-wait 是否长期超过60000（Linux默认net.ipv4.ip_local_port_range上限为65535，大量TIME_WAIT可能挤占可用端口）
- orphans 或 mem 字段异常升高，说明内核内存压力或连接未被应用正确关闭
再用 ss -tn state time-wait | head -20 看TIME_WAIT连接的源IP和端口分布，判断是客户端短连频繁（如HTTP未复用），还是服务端主动断连策略不合理。
减少TIME_WAIT堆积：合理启用端口复用
对服务器角色明确的服务（如Nginx、API网关），可安全开启以下内核参数：
- net.ipv4.tcp_tw_reuse = 1：允许将TIME_WAIT套接字重新用于新连接（仅当时间戳启用且新SYN时间戳更新时生效）
- net.ipv4.tcp_timestamps = 1（默认开启，tw_reuse依赖它）
- net.ipv4.tcp_fin_timeout = 30：缩短FIN_WAIT_2超时（不建议低于30秒，避免丢包重传失败）
注意：tcp_tw_recycle 已在Linux 4.12+移除，切勿配置；它曾引发NAT环境下连接失败问题，属已淘汰参数。
提升连接复用能力：从应用层入手
多数高连接数源于短连接滥用。优化方向包括：
- 后端服务（如Python/Java应用）启用HTTP Keep-Alive，并设置合理的
keep_alive_timeout（如Nginx默认75秒，可调至30–60秒） - 客户端（如curl、浏览器、SDK）复用连接池，禁用
Connection: close头 - 数据库连接走连接池（如HikariCP、SQLAlchemy pool），避免每次请求新建TCP连接
- 微服务间调用优先使用gRPC（基于HTTP/2长连接）或带连接管理的SDK
限制与隔离：防止单点打爆系统
对不可控的接入层（如公网API入口），用cgroup或iptables做兜底防护：
- 用 iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 200 -j REJECT 限制单IP并发连接数
- 通过 cgroup v2 + net_cls 对特定进程组限速限连接，避免某个服务吃光全机socket资源
- 调整 net.core.somaxconn（默认128）和 net.core.netdev_max_backlog 匹配实际并发，防止SYN队列溢出丢包
不复杂但容易忽略
