/ip/settings
settings
此菜单允许您配置各种与 IPv4 和 IPv6 相关的内核及系统范围网络参数。这些设置控制操作系统如何处理 IP 流量和网络通信。
ip/settings
Type: Settings Directory
此菜单允许您配置各种与 IPv4 和 IPv6 相关的内核及系统范围网络参数。这些设置控制操作系统如何处理 IP 流量和网络通信。
| 参数 | 类型 | 描述 |
|---|---|---|
ip-forward | bool | 启用或禁用接口之间的数据包转发。根据RFC 1812 将路由器的所有配置参数重置为默认值。 |
send-redirects | bool | 发送 ICMP 重定向。在路由器上启用此项。 |
accept-source-route | bool | 接受带 SRR 选项的数据包。接受源路由（SSRR/LSRR）数据包是众所周知的欺骗/安全风险，除非设置要求，否则应保持禁用。 |
accept-redirects | bool | 接受 ICMP 重定向消息。在主机上启用，在路由器上禁用。 |
secure-redirects | bool | 仅接受默认网关列表中列出的网关的 ICMP 重定向消息。 |
rp-filter | enum (no | strict | loose) { no:0, strict:1, loose:2 } | 启用或禁用源验证。 - no - 不验证源地址。 - strict - 严格模式，如 RFC 3704 严格反向路径所定义。每个传入数据包都会对照 FIB 进行测试；如果接口不是最佳反向路径，则数据包检查将失败。默认情况下，失败的数据包会被丢弃。 - loose - 宽松模式，如 RFC 3704 宽松反向路径所定义。每个传入数据包的源地址都会对照 FIB 进行测试；如果无法通过任何接口到达该源地址，则数据包检查将失败。 RFC 3704 建议启用 strict 模式以防止 DDoS 攻击中的 IP 欺骗。 如果使用非对称路由、复杂路由或 VRRP，则 strict 模式会导致问题，请改为启用 loose 模式。 |
ipv4-multipath-hash-policy | enum (l3 | l4 | l3-inner) { l3:0, l4:1, l3-inner:2 } | 用于 ECMP 路由的 IPv4 哈希策略。 - l3 - 对源和目标 IP 地址进行三层哈希。 - l3-inner - 三层哈希，或在可用时进行内层三层哈希。 - l4 - 对源和目标 IP 地址、IP 协议、源端口和目标端口进行四层哈希。 |
tcp-syncookies | bool | 当套接字的 SYN 积压队列溢出时发送 syncookies。这有助于防止 SYN 泛洪攻击。然而，syncookies 违反 TCP 协议并阻止使用 TCP 扩展，这可能降低某些服务的性能（例如 SMTP 中继）。这种性能下降可能会对联系您的客户端和中继可见。 |
tcp-timestamps | enum (disabled | random-offset | enabled) { disabled:0, random-offset:1, enabled:2 } | 启用或禁用 TCP 时间戳，或为 TCP 时间戳添加随机偏移（默认行为）。禁用时间戳有助于减少性能下降峰值。 |
max-neighbor-entries | num | 设置 Linux gc_thresh3。ARP 表中允许的邻居最大数量。默认值取决于已安装的 RAM 量。可以设置高于默认值的值，但会增加内存耗尽的风险。 某些 RAM 大小的默认值： - 64 MiB 为 2048， - 128 MiB 为 4096， - 256 MiB 为 8192， - 512 MiB 或更高为 16384。 ARP 缓存存储 ARP 条目，如果其中一些条目不完整，它们可能会无限期地留在缓存中。仅当缓存中的条目数少于允许最大值的四分之一时才会发生这种情况。原因是防止在 ARP 表未接近满时不必要的垃圾回收器运行。 |
arp-timeout | time | 在所有使用 ARP 的接口上设置 Linux base_reachable_time（base_reachable_time_ms）。ARP 条目的初始有效期从发现邻居后的区间 [timeout/2 - 3*timeout/2] 中选择（默认 15s 到 45s）。可使用后缀 ms、s、m、h、d 表示毫秒、秒、分钟、小时或天。如果未设置后缀，则使用秒（s）。该参数表示在此期间如果无人与特定 MAC/IP 通信，有效 ARP 记录将被视为完整的时间。该参数并不表示 ARP 条目从 ARP 缓存中移除的时间（参见 max-neighbor-entries 设置）。 |
icmp-rate-limit | num | 限制发送类型与 icmp-rate-mask 匹配的 ICMP 数据包到特定目标的最大速率。值 0 禁用任何限制，其他值表示响应之间的最小间隔（毫秒）。 |
icmp-rate-mask | num | 限制速率的 ICMP 类型掩码。更多信息参见 Linux 手册页。 |
icmp-errors-use-inbound-interface-address | bool | 启用后，发送 ICMP 错误消息回复时，源地址等于导致错误的接收接口的主地址。用于复杂网络调试。 |
ipv4-high-fragment-thresh | num | 设置内核可用于所有分片重组队列（每个接口和每个流）的总内存上限（字节）。当缓存使用的总内存达到此限制时，内核开始丢弃新到达的分片，导致数据包被丢弃。提高限制可降低重度分片（例如带 VPN 的高吞吐链路或受 MTU 限制的路径）下丢弃的概率，但也会提高可使用的最大 RAM 量。 默认值取决于已安装的 RAM 量： - 64 MiB RAM 为 512 KiB， - 128 MiB RAM 为 1024 KiB， - 256 MiB RAM 为 2048 KiB， - 512 MiB RAM 为 4096 KiB， - 1 GiB RAM 为 16 MiB， - 2 GiB 或更高 RAM 为 32 MiB。 |
ipv4-fragment-time | num | 将 IPv4 分片保留在内存中的时间（秒）。 |
allow-fast-path | bool | 允许 Fast Path |
| 只读参数 | 类型 | 描述 |
|---|---|---|
ipv4-fast-path-active | bool | 指示 fast-path 是否活动。 |
ipv4-fast-path-packets | num | 经过 fast-path 的数据包数量。 |
ipv4-fast-path-bytes | num | 经过 fast-path 的字节数。 |
ipv4-fasttrack-active | bool | 指示 fasttrack 是否活动。 |
ipv4-fasttrack-packets | num | 经过 fasttrack 的数据包数量。 |
ipv4-fasttrack-bytes | num | 经过 fasttrack 的字节数。 |