Linuxカーネルパラメータチューニングガイド：sysctl + Boot Params、安全な変更とロールバック

#!/usr/bin/env bash
# pre-tuning-check.sh - チューニング前の状態バックアップ

BACKUP_DIR="/root/kernel-tuning-backup/$(date +%Y%m%d-%H%M%S)"
mkdir -p "$BACKUP_DIR"

# 1. 現在のsysctl全体ダンプ
sysctl -a > "$BACKUP_DIR/sysctl-before.txt" 2>/dev/null

# 2. 現在のブートパラメータ
cat /proc/cmdline > "$BACKUP_DIR/cmdline-before.txt"

# 3. GRUB設定バックアップ
cp /etc/default/grub "$BACKUP_DIR/grub-before"
[[ -d /etc/sysctl.d ]] && cp -r /etc/sysctl.d "$BACKUP_DIR/sysctl.d-before"

# 4. システム状態スナップショット
free -h > "$BACKUP_DIR/memory-before.txt"
ss -s > "$BACKUP_DIR/socket-stats-before.txt"
vmstat 1 5 > "$BACKUP_DIR/vmstat-before.txt"
cat /proc/net/sockstat > "$BACKUP_DIR/sockstat-before.txt"

echo "バックアップ完了: $BACKUP_DIR"

1. ステージング環境でテスト
2. カナリアサーバー1台に適用 → モニタリング（最低24時間）
3. 問題なければグループ単位でローリング適用
4. 適用後にメトリクスを比較（before vs after）

# sysctlロールバック - バックアップから特定パラメータを復元
PARAM="net.core.somaxconn"
OLD_VALUE=$(grep "^${PARAM}" /root/kernel-tuning-backup/latest/sysctl-before.txt | awk '{print $3}')
sysctl -w "${PARAM}=${OLD_VALUE}"

# 全sysctlロールバック
while IFS='= ' read -r key value; do
  sysctl -w "${key}=${value}" 2>/dev/null
done < /root/kernel-tuning-backup/latest/sysctl-before.txt

# ブートパラメータのロールバック - GRUB以前の設定を復元
cp /root/kernel-tuning-backup/latest/grub-before /etc/default/grub
grub2-mkconfig -o /boot/grub2/grub.cfg  # RHEL
# update-grub                            # Ubuntu

# /etc/sysctl.d/10-network.conf

# TCPバックログ - 高トラフィックサーバーでは必須
net.core.somaxconn = 65535
net.ipv4.tcp_max_syn_backlog = 65535

# TCPソケットバッファ（バイト）
# min / default / max
net.core.rmem_default = 262144
net.core.rmem_max = 16777216
net.core.wmem_default = 262144
net.core.wmem_max = 16777216
net.ipv4.tcp_rmem = 4096 262144 16777216
net.ipv4.tcp_wmem = 4096 262144 16777216

# TCP輻輳制御
net.ipv4.tcp_congestion_control = bbr
net.core.default_qdisc = fq

# TIME_WAIT管理
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_fin_timeout = 15
net.ipv4.tcp_max_tw_buckets = 2000000

# Keepalive（ロードバランサー配下のサーバー）
net.ipv4.tcp_keepalive_time = 60
net.ipv4.tcp_keepalive_intvl = 10
net.ipv4.tcp_keepalive_probes = 6

# BBRカーネルモジュールのロード
modprobe tcp_bbr
echo "tcp_bbr" >> /etc/modules-load.d/bbr.conf

# sysctl適用
sysctl -w net.core.default_qdisc=fq
sysctl -w net.ipv4.tcp_congestion_control=bbr

# 確認
sysctl net.ipv4.tcp_congestion_control
# net.ipv4.tcp_congestion_control = bbr

# /etc/sysctl.d/20-memory.conf

# Swap使用傾向（0=最小、100=積極的）
# DBサーバー: 1-10、Webサーバー: 10-30
vm.swappiness = 10

# Dirtyページ比率 - ディスク書き込み遅延
vm.dirty_ratio = 40              # 全メモリに対するdirtyページの最大比率
vm.dirty_background_ratio = 10   # バックグラウンドflush開始比率

# OOM関連
vm.overcommit_memory = 0         # 0=デフォルト(ヒューリスティック)、1=常に許可、2=制限
vm.panic_on_oom = 0              # OOM時にパニックするか（0=OOM Killer実行）

# 最大メモリマップ領域（Elasticsearch、MongoDBなど）
vm.max_map_count = 262144

# ファイルシステムキャッシュ解放（緊急時のみ）
# echo 3 > /proc/sys/vm/drop_caches  # 1=pagecache, 2=dentries+inodes, 3=all

# Transparent Huge Pages（THP）- DBでは無効化を推奨
# ブートパラメータで設定
# GRUB_CMDLINE_LINUXに追加:
# transparent_hugepage=never

# ランタイムでの確認・変更
cat /sys/kernel/mm/transparent_hugepage/enabled
echo never > /sys/kernel/mm/transparent_hugepage/enabled

# Static Huge Pages（Oracle DB、DPDKなど）
# /etc/sysctl.d/20-memory.conf
vm.nr_hugepages = 1024  # 2MB * 1024 = 2GB

# 確認
grep -i huge /proc/meminfo

# /etc/sysctl.d/30-fs.conf

# 最大オープンファイル数（システム全体）
fs.file-max = 2097152

# inotify監視制限（IDE、ファイル監視サービス）
fs.inotify.max_user_watches = 524288
fs.inotify.max_user_instances = 8192

# AIO（非同期I/O）最大リクエスト数
fs.aio-max-nr = 1048576

# /etc/security/limits.d/99-app.conf
# sysctlのfs.file-maxと合わせて設定する必要がある

*    soft    nofile    1048576
*    hard    nofile    1048576
*    soft    nproc     65535
*    hard    nproc     65535
*    soft    memlock   unlimited
*    hard    memlock   unlimited

# 現在のスケジューラを確認
cat /sys/block/sda/queue/scheduler

# SSD: noneまたはmq-deadline推奨
echo mq-deadline > /sys/block/sda/queue/scheduler

# 永続設定（udevルール）
# /etc/udev/rules.d/60-scheduler.rules
# ACTION=="add|change", KERNEL=="sd*", ATTR{queue/rotational}=="0", ATTR{queue/scheduler}="mq-deadline"
# ACTION=="add|change", KERNEL=="sd*", ATTR{queue/rotational}=="1", ATTR{queue/scheduler}="bfq"

# /etc/sysctl.d/40-security.conf

# ASLR（Address Space Layout Randomization）
kernel.randomize_va_space = 2  # 0=オフ、1=部分的、2=完全

# SysRq制限（緊急復旧用のみ許可）
kernel.sysrq = 176  # ビットマスク: sync + remount-ro + reboot

# コアダンプ制限
kernel.core_pattern = |/bin/false
fs.suid_dumpable = 0

# dmesgアクセス制限
kernel.dmesg_restrict = 1

# カーネルポインタの非表示
kernel.kptr_restrict = 2

# BPF制限（非特権ユーザー）
kernel.unprivileged_bpf_disabled = 1

# ネットワークセキュリティ
net.ipv4.conf.all.rp_filter = 1           # Reverse Path Filtering
net.ipv4.conf.all.accept_redirects = 0     # ICMPリダイレクト拒否
net.ipv4.conf.all.send_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv4.conf.all.accept_source_route = 0  # ソースルーティング拒否
net.ipv4.conf.all.log_martians = 1         # 不審パケットのログ記録
net.ipv4.icmp_echo_ignore_broadcasts = 1   # Smurf攻撃防御

# IPフォワーディング（ルーター/コンテナホストでなければ無効化）
net.ipv4.ip_forward = 0
# コンテナホストの場合:
# net.ipv4.ip_forward = 1

# 現在のブートパラメータを確認
cat /proc/cmdline

# RHEL / Rocky
vi /etc/default/grub
# GRUB_CMDLINE_LINUX="... 追加するパラメータ"
grub2-mkconfig -o /boot/grub2/grub.cfg

# Ubuntu
vi /etc/default/grub
# GRUB_CMDLINE_LINUX_DEFAULT="... 追加するパラメータ"
update-grub

# 現在適用されている緩和策の一覧を確認
grep -r . /sys/devices/system/cpu/vulnerabilities/ 2>/dev/null

# 緩和策の無効化（ベンチマーク・隔離環境でのみ！）
# GRUB_CMDLINE_LINUXに追加:
# mitigations=off

# パフォーマンスへの影響（ワークロードにより異なる）
# mitigations=auto: システムコール集約ワークロードで5~30%のオーバーヘッド
# mitigations=off: セキュリティリスク - プロダクション非推奨

# /etc/sysctl.d/99-web-server.conf

# ネットワーク
net.core.somaxconn = 65535
net.ipv4.tcp_max_syn_backlog = 65535
net.ipv4.ip_local_port_range = 1024 65535
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_fin_timeout = 15
net.ipv4.tcp_keepalive_time = 60
net.ipv4.tcp_keepalive_intvl = 10
net.ipv4.tcp_keepalive_probes = 6
net.ipv4.tcp_congestion_control = bbr
net.core.default_qdisc = fq
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216

# ファイル
fs.file-max = 2097152

# メモリ
vm.swappiness = 10

# /etc/sysctl.d/99-database.conf

# メモリ
vm.swappiness = 1
vm.dirty_ratio = 40
vm.dirty_background_ratio = 10
vm.overcommit_memory = 0
vm.max_map_count = 262144

# ファイル
fs.file-max = 2097152
fs.aio-max-nr = 1048576

# ネットワーク（内部通信中心）
net.core.somaxconn = 65535
net.ipv4.tcp_keepalive_time = 60

# Huge Pages（PostgreSQL、Oracleなど）
# vm.nr_hugepagesの計算: shared_buffers / 2MB + 若干の余裕
# 例: shared_buffers=8GB → vm.nr_hugepages = 4200
vm.nr_hugepages = 4200

transparent_hugepage=never

# /etc/sysctl.d/99-container-host.conf

# IPフォワーディング必須
net.ipv4.ip_forward = 1
net.bridge.bridge-nf-call-iptables = 1
net.bridge.bridge-nf-call-ip6tables = 1

# ネットワーク
net.core.somaxconn = 65535
net.ipv4.ip_local_port_range = 1024 65535
net.netfilter.nf_conntrack_max = 1048576

# inotify（多数のPod実行時）
fs.inotify.max_user_watches = 524288
fs.inotify.max_user_instances = 8192

# PID制限
kernel.pid_max = 4194304

# ファイル
fs.file-max = 2097152

# roles/sysctl/tasks/main.yml
- name: Apply sysctl parameters
  ansible.posix.sysctl:
    name: "{{ item.key }}"
    value: "{{ item.value }}"
    sysctl_file: /etc/sysctl.d/99-tuning.conf
    reload: true
    state: present
  loop: "{{ sysctl_params | dict2items }}"

# roles/sysctl/defaults/main.yml
sysctl_params:
  net.core.somaxconn: 65535
  net.ipv4.tcp_max_syn_backlog: 65535
  vm.swappiness: 10
  fs.file-max: 2097152

#!/usr/bin/env bash
# verify-tuning.sh - チューニング値の検証

declare -A EXPECTED=(
  ["net.core.somaxconn"]="65535"
  ["net.ipv4.tcp_congestion_control"]="bbr"
  ["vm.swappiness"]="10"
  ["fs.file-max"]="2097152"
)

FAILED=0
for param in "${!EXPECTED[@]}"; do
  actual=$(sysctl -n "$param" 2>/dev/null)
  expected="${EXPECTED[$param]}"
  if [[ "$actual" != "$expected" ]]; then
    echo "FAIL: $param = $actual (expected: $expected)"
    (( FAILED++ ))
  else
    echo "OK:   $param = $actual"
  fi
done

echo "---"
if (( FAILED > 0 )); then
  echo "検証失敗: ${FAILED}件"
  exit 1
else
  echo "すべてのパラメータ検証に合格"
fi