为什么Linux backlog满

在 Linux 中，backlog 满通常指的是 TCP 监听队列（listen backlog）已满，导致新的连接无法立即被内核接受。下面从原理、常见原因和排查方法三个层面说明。

一、什么是 backlog

在 TCP 服务器中，一般流程是：

socket()
bind()
listen(fd, backlog)
accept()

listen(fd, backlog) 中的 backlog 表示：

已完成三次握手、但尚未被应用层 accept() 取走的连接队列长度上限

在 Linux 中，这个队列实际上由两个队列组成：

1. 半连接队列（SYN queue）
   • 收到 SYN，尚未完成三次握手
2. 全连接队列（Accept queue）
   • 三次握手完成，等待 accept()

backlog 主要影响的是全连接队列大小（受内核参数限制）。

二、为什么会出现 backlog 满

1️⃣ 应用层 accept() 处理太慢（最常见）

如果服务器：

• 单线程处理连接
• accept() 不及时
• 处理连接时阻塞（如数据库、IO）

那么：

客户端完成三次握手
→ 连接进入 accept queue
→ 应用没 accept()
→ queue 满了
→ 新连接被丢弃或重传

✅ 表现：

• 客户端连接超时
• accept() 调用不及时

2️⃣ backlog 设置太小

代码里写死了很小的 backlog：

listen(fd, 5);

即使系统能支持更大，也会被限制。

3️⃣ 系统内核参数限制（somaxconn）

Linux 实际 backlog 是：

min(backlog, net.core.somaxconn)

如果：

net.core.somaxconn = 128

而应用设置 1024，实际仍只有 128。

✅ 查看：

sysctl net.core.somaxconn

4️⃣ SYN 攻击（SYN Flood）

大量伪造 SYN 请求：

• 半连接队列满
• 系统丢弃或回 SYN+ACK
• 正常连接无法进入

✅ 特点：

• 突然大量连接
• 半连接队列异常

5️⃣ 瞬时连接暴增

例如：

• 服务刚重启
• 负载均衡探测
• 秒杀、活动流量

即使处理正常，也可能短时间 backlog 满。

三、如何确认 backlog 是否真的满了

1️⃣ 查看全连接队列溢出

netstat -s | grep -i "listen queue"

常见输出：

XX times the listen queue of a socket overflowed

✅ 说明 backlog 满了。

2️⃣ 查看具体端口队列情况

ss -lnt

示例：

Recv-Q Send-Q Local Address:Port
128    128    0.0.0.0:8080

• Recv-Q ≈ Send-Q → 队列满
• Recv-Q 持续增长 → accept 不及时

3️⃣ 查看半连接队列（SYN 队列）

cat /proc/net/sockstat

或：

netstat -s | grep "SYNs"

四、如何解决 backlog 满的问题

✅ 1. 调大应用 backlog

listen(fd, 1024);

✅ 2. 调大内核参数

sysctl -w net.core.somaxconn=4096
sysctl -w net.ipv4.tcp_max_syn_backlog=8192

永久生效：

/etc/sysctl.conf

✅ 3. 提高 accept 处理能力

• 多线程 / 多进程 accept
• 使用 epoll
• 非阻塞 IO
• 避免 accept 后做重活

✅ 4. 启用 SYN Cookie（防 SYN Flood）

sysctl -w net.ipv4.tcp_syncookies=1

✅ 5. 负载均衡 / 限流

• 前端加 LB
• 限制新建连接速率
• 使用连接池

五、一句话总结

Linux backlog 满，本质是：内核已完成握手的连接，等不到应用 accept() 来取。

如果你愿意，可以告诉我：

• 是 哪个端口 / 服务
• 是否有 高并发或攻击
• ss -lnt 或 netstat -s 的输出

我可以帮你更精确定位原因。