Параметры ядра через sysctl

Дерево /proc/sys: как ядро открывает параметры. Каждый параметр, видимый через sysctl, существует в виде файла в /proc/sys. Иерархия директорий напрямую соответствует имени с точками: net.ipv4.ip_forward — это /proc/sys/net/ipv4/ip_forward. Файлы можно читать и записывать напрямую через cat и echo, но sysctl — правильный инструмент: он проверяет значения и форматирует ошибки.

# Список всех параметров с текущими значениями (несколько тысяч строк):
sysctl -a

# Фильтрация по подсистеме:
sysctl -a | grep vm.

# Чтение одного параметра:
sysctl vm.swappiness
# vm.swappiness = 60

# Чтение напрямую из /proc/sys (то же значение, менее удобно):
cat /proc/sys/vm/swappiness
# 60

# Чтение сетевого параметра:
cat /proc/sys/net/ipv4/ip_forward
# 0

Большинство параметров — целые числа. Некоторые принимают разделённые запятыми списки. Значение 0 обычно означает «выключено», 1 — «включено», но перед изменением чего-либо в продакшне всегда читай man-страницу.

Изменения в рантайме через sysctl -w. Изменение в рантайме вступает в силу немедленно и действует до следующей перезагрузки. Именно это нужно при разборе инцидентов — можно настраивать, наблюдать, и если настройка ухудшила ситуацию, перезагрузить хост для возврата к прежнему состоянию.

# Включить IP-форвардинг (нужен для маршрутизации и контейнеров):
sudo sysctl -w net.ipv4.ip_forward=1
# net.ipv4.ip_forward = 1

# Проверить:
sysctl net.ipv4.ip_forward
# net.ipv4.ip_forward = 1

# Снизить swappiness (ядро будет хранить больше данных в RAM):
sudo sysctl -w vm.swappiness=10
# vm.swappiness = 10

# Поднять системный лимит на открытые файлы:
sudo sysctl -w fs.file-max=2097152
# fs.file-max = 2097152

# ЛОВУШКА: при перезагрузке это значение теряется
# После следующей перезагрузки:
sysctl vm.swappiness
# vm.swappiness = 60   ← вернулось к умолчанию

Ловушка — самая частая операционная ошибка. Инженер применяет sysctl -w во время инцидента, фиксирует в тикете — и изменение исчезает при следующей плановой перезагрузке. Для постоянства нужен отдельный шаг.

Постоянные настройки через /etc/sysctl.d. Директории конфигурации sysctl читаются ядром при загрузке, а командой sysctl --system — в любое время. Создавай .conf-файл в /etc/sysctl.d/ — не редактируй /etc/sysctl.conf напрямую (обновления пакетов могут его сбросить).

# Создать файл настроек для конкретного проекта:
sudo tee /etc/sysctl.d/99-myapp.conf << 'EOF'
# Разрешить хосту пересылать пакеты (нужно для Docker, WireGuard и т.д.)
net.ipv4.ip_forward = 1

# Низкий swappiness для сервиса, критичного к задержке
vm.swappiness = 10

# Системный лимит на открытые файлы для сервиса с большим числом соединений
fs.file-max = 2097152
EOF

# Применить ВСЕ файлы /etc/sysctl.d/*.conf без перезагрузки:
sudo sysctl --system
# Applying /etc/sysctl.d/10-console-messages.conf ...
# Applying /etc/sysctl.d/99-myapp.conf ...
# net.ipv4.ip_forward = 1
# vm.swappiness = 10
# fs.file-max = 2097152

# Убедиться, что конкретный параметр теперь постоянный:
cat /etc/sysctl.d/99-myapp.conf | grep ip_forward
# net.ipv4.ip_forward = 1

Файлы обрабатываются в лексикографическом порядке. Префикс 99- гарантирует, что твой файл применяется последним и перекрывает умолчания дистрибутива (которые используют префиксы 10- или 60-). Параметр из более позднего файла всегда перекрывает параметр из более раннего.

Три параметра, которые должен знать каждый fullstack-инженер.

# 1. vm.swappiness (по умолчанию: 60)
# Управляет агрессивностью выгрузки страниц на диск.
# 0 = своп только при полном исчерпании RAM
# 60 = умолчание, подходит для десктопов
# 10 = серверы, критичные к задержке (базы данных, app-серверы)
# 100 = максимальная агрессивность свопа (редко нужно)
sysctl vm.swappiness

# 2. net.ipv4.ip_forward (по умолчанию: 0)
# При значении 0 ядро СБРАСЫВАЕТ пакеты, адресованные другому хосту.
# Это ломает: Docker bridge networking, WireGuard VPN, любой NAT.
# Без ip_forward=1 контейнер в другой подсети не может выйти в интернет.
# Docker устанавливает это при старте, но без sysctl.d значение сбрасывается.
sysctl net.ipv4.ip_forward

# 3. fs.file-max (по умолчанию: varies, often ~100000)
# Системный лимит на открытые файловые дескрипторы (для всех процессов суммарно).
# Каждый сетевой сокет, открытый файл и пайп стоит один дескриптор.
# Нагруженный веб-сервер или база данных легко упирается в этот лимит.
# Примечание: на уровне процесса лимит управляется через ulimit / /etc/security/limits.conf
sysctl fs.file-max

Параметр ip_forward чаще всего создаёт проблемы в контейнерном или VPN-контексте: контейнеры стартуют, но не имеют интернет-доступа, потому что хост был перезагружен без постоянного sysctl. Всегда делай ip_forward постоянным через sysctl.d.

Загрузка и проверка полной конфигурации. После любого изменения в /etc/sysctl.d/ используй sysctl --system для применения без перезагрузки. После перезагрузки те же файлы применяются автоматически через systemd-sysctl.service.

# Посмотреть, какие файлы будет обрабатывать sysctl --system и в каком порядке:
ls -la /etc/sysctl.d/ /usr/lib/sysctl.d/ /run/sysctl.d/ 2>/dev/null

# Применить все файлы и увидеть, что изменилось:
sudo sysctl --system

# Подтвердить, что конкретное значение применено из твоего файла:
sysctl net.ipv4.ip_forward
# net.ipv4.ip_forward = 1

# Проверить юнит systemd, применяющий sysctl при загрузке:
systemctl status systemd-sysctl.service
# Loaded: loaded (/lib/systemd/system/systemd-sysctl.service; static)
# Active: inactive (dead)
# (inactive — норма: запускается один раз при загрузке и завершается)

# Если нужно применить только один новый файл (не все):
sudo sysctl -p /etc/sysctl.d/99-myapp.conf
# net.ipv4.ip_forward = 1
# vm.swappiness = 10
# fs.file-max = 2097152