Linux性能调优

Linux发行版和Linux内核提供了各种参数和设置，以让Linux管理员调整系统从而得到最大限度的性能。正如本书之前所描述的，没有神奇的调整旋钮可以任意调整应用程序的性能。下面章节中讨论的设置将改善某些硬件配置和应用程序的性能。它们有可能对于提高Web服务器性能，对于数据库服务器的性能会产生不利影响。

本章介绍了调整Linux发行版2.6内核的步骤。目前2.6发行版内核，从2.6.9到2.6.19有所不同，一些调整选项可能只适用于一个特定的内核版本。描述这些参数的目的是可以让你在大多数情况下改善性能，并使你对Linux中的技术有基本的了解，包括：

□　Linux内存管理

□　系统清理

□　磁盘子系统调优

□　使用sysctl对内核调优

□　网络优化

本章包括以下几个部分：

□　调整原则

□　安装注意事项

□　更改内核参数

□　调整处理器子系统

□　调整内存子系统

□　调整磁盘子系统

□　调整网络子系统

□　限制资源使用

5.1　调整原则 调整任何系统应该遵循一些简单的原则，其中最重要的是变更管理。通常系统调优的第一步应该是分析和评估当前系统配置。确保系统按照硬件制造商所述运行，所有设备在最佳的模式下运行，这将为以后的任何调整创建一个坚实的基础。另外在执行任何特定调整任务之前，系统被设计为最佳性能，最小化运行不必要的任务和子系统。最后，当对特定系统进行调整的时候，应该注意的是，调整通常是让系统适应一个特定的工作负载。因此，系统在预期的负载特征下会有更好的表现，但是在不同的工作模式下它可能表现得更糟。举个例子来说，调整系统具有低延迟，但大多数的时候不良影响在磁盘上。

5.1.1　变更管理 虽然不是与性能调优严格相关，但是变更管理可能是成功进行性能调优的一个重要手段。以下因素可能是你的第二天性，但是作为一个提醒，我们要强调几点：

□　在调整任何Linux系统之前，实施适当的变更管理过程。

□　绝不在生产服务器上开始调整设置。

□　绝不在调整过程期间改变一个以上的变量。

□　重新启动可能提高性能的参数；有时统计会发挥作用。

□　记录成功的参数并分析它们，无论你认为它们是多么微不足道。Linux性能可以大大受益于在生产环境中获得的任何结果。

5.2　安装注意事项 理想情况下，在服务器系统上对一个特定性能目标的调优，应该从设计和安装阶段开始。适当的安装就是调整系统适应工作量模式，这能为之后的调优节省大量的时间。

5.2.1　安装 在一个完美的世界中，任何指定系统的调优都是在一个非常早期的阶段就开始了。理想情况下，一个系统是专门针对应用程序的需要和预期工作量所定制的。我们知道，一般一个管理员由于一个瓶颈需要调整一个已经安装好的系统，但是我们要强调的是，调优可能在操作系统的初始化安装期间也是有用的。

在开始Linux安装之前，有几个问题需要解决，包括：

□　处理器技术的选择

□　磁盘技术的选择

□　应用程序

然而这些问题超出了本书的范围。

理想情况下，在开始安装之前先回答以下问题：

□　我需要什么特点和版本的Linux？ 在你收集了商业需求和应用程序需求之后，决定使用哪个Linux版本。企业通常有合同协议，可以将一个特定Linux发行版作为普通使用。经济能力和合同利益决定使用的Linux版本。然而，如果你在选择Linux发行版本上有完全的自由，则有以下一些问题需要考虑：

•　支持企业级Linux发行版或是一个定制发行版。在一些科学的环境中可以接受运行一个不受支持的Linux版本，比如Fedora。考虑到企业工作负载，我们强烈建议使用完全支持的发行版，比如Red Hat Enterprise Linux或Novell SUSE Enterprise Linux。

•　什么版本的企业发行版？几乎每个企业Linux发行版都有自己的特点，它们的内核版本、支持的软件包、特征等，最重要的是它们在硬件支持的水平上有所不同。在任何安装之前，仔细查看支持的硬件配置，这样将不会遗漏任何硬件的功能。

□　选择正确的内核。 企业级Linux发行版提供了几种内核软件包。出于性能考虑，一定要为你的系统选择最合适的内核。然而，大多数情况下正确的内核是在安装程序中选择的。记住，准确的内核软件包名称由于发行版不同是有差异的。

注意： 最新的内核具有被称为SMAP切换的能力，它可在启动时优化自己。详情参考发行版说明。

□　选择什么样的分区布局？ 磁盘子系统的分区布局通常是由应用程序的需要、系统管理方面考虑、个人喜好所决定的，而不是由性能所决定的。在大多数情况下已经给出分区布局。我们唯一的建议是，如果可能，应使用一个swap分区。swap分区，而不是swap文件，对性能是有好处的，因为没有文件系统的开销。swap分区很简单，还可以扩展额外的swap分区，或如果需要甚至是扩展swap文件。

□　使用的文件系统是什么？ 不同的文件系统在数据完整性和性能上有不同的特点。一些文件系统可能在有些Linux发行版或应用程序上是被不支持的。对于大多数服务器，安装程序建议的默认文件系统将提供足够的性能。如果你有最小延迟或最大吞吐量的具体需求，则建议你根据这些需求选择各自的文件系统。参考5.6节中详细的选择标准。

□　软件包的选择：“最小化”或是“所有”？ 在Linux的安装期间，管理员面临着要选择“最小化”还是“所有”的安装方法。有些人喜欢所有安装，因为这样很少需要解决安装软件包的依赖性。

考虑以下几点：虽然没有涉及性能，选择“所有”或“几乎所有”的安装方式对于系统安全威胁有很重要的影响。在生产系统上开发工具的可用性可能导致明显的安全威胁。安装较少的数据包，浪费更少的磁盘空间，一个具有较多空闲空间的磁盘要比一个具有很小空闲空间的磁盘性能更好。如果需要，智能化软件安装程序，比如Red Hat Packet Manager或rpm或yum将自动解决依赖性。因此，建议你考虑最小化软件包选择，只安装那些可以使应用程序成功实现的必需软件包。

□　Netfilter配置。 你需要决定Netfilter防火墙配置是否需要。Netfilter防火墙通常被用来保护系统免受恶意攻击。然而，太过复杂的防火墙规则在高数据流量环境中会降低性能。参考5.7.8节中的内容。

□　SELinux。 在某些Linux发行版中，比如Red Hat Enterprise Linux 5.x，安装程序让你选择是否开启SELinux。SELinux会带来明显的性能损失，并且应仔细地评估是否真的需要为一个特定的系统通过SELinux提供额外的安全。更多信息参考5.2.4节的介绍。

□　运行级别的选择。 在安装过程最后给出的选择是：系统默认运行级别的选择。除非你有特殊的需要，在运行级别5（图形用户模式）运行你的系统，否则强烈建议你在所有服务器系统上使用运行级别3。正常情况下在一个数据中心中驻留的系统是不应该需要图形界面的，运行级别5的开销是相当大的。如果安装程序不提供运行级别的选择，建议你在初始化系统配置之后手动选择运行级别3。

5.2.2　检查当前的配置 如前所述，尝试为任何系统建立一个坚实的基础是很重要的。坚实的基础可确保所有子系统按照设计的方式工作，没有异常。一个异常的例子是一个千兆网络接口卡和一个有网络性能瓶颈的服务器。如果网卡自动协商为100MBit半双工，则调整Linux内核的TCP/IP实现可能没有多大用处。了解系统理论能力是非常重要的。

□　CPU

•　CPU（S）模式是什么？处理器的架构是哪一个？使用什么主板芯片？

•　多少个socket？每个CPU有多少个核心？如果核心支持超线程，那么每个核心上有多少个线程？每个socket是如何连接的，数据速率是多少（QPI, HyperTransport, FSB）？

•　CPU每个层级的cache有多大？cache是核心私有的还是与socket上的其他核心共享的，还是与一个系统中的其他socket共享的？cache是如何被组织和访问的？

•　处理器支持哪些特征？处理器支持硬件虚拟化吗？处理器的架构是32bit还是64bit？有其他特殊功能或指令吗？

□　内存

•　系统有多少内存？硬件允许的最大数量的内存是多少？

•　系统使用的内存技术是什么？它具有什么带宽和延迟？

•　系统的内存是如何被连接的，通过一个Northbridge和前端总线，或者直接到CPU；是SMP或NUMA吗？如果是NUMA，NUMA节点使用什么技术，当访问不同区域的内存时会有什么影响？

□　存储

•　附加在系统上的存储设备是什么类型的？实际设备是什么模型？它们是基于旋转磁盘片的传统硬盘，还是固态硬盘（solid-state disk–SSD）驱动器？

•　传统的硬盘，它们有没有寻址时间和旋转延迟？你期待的最大化带宽和延迟是多少？访问驱动器不同分区的速度变化是多少？

•　SSD驱动器，它们使用的闪存是MLC还是SLC？它们支持TRIM吗？如何有效地对它们的耐久性和垃圾收集系统进行测量？

•　磁盘阵列，已使用的硬件RAID级别是什么？在一个阵列里有多少个存储设备？RAID级别是条带，在阵列中每个条带的大小是多少？

•　直连式存储使用什么进行互连（SATA、SAS或其他）？它是怎么连接主板到系统的其他部分呢？是否有充足的带宽让所有的设备支持通信的连接？

•　SAN设备，使用Fibre Channel或iSCSI越过以太网？SAN设备的带宽和延迟是多少？多路经SAN设备，基于可用路径的性能变化几何？

□　网络

•　系统上可用的网络接口卡是什么？使用的网络技术是什么（以太网，无限带宽技术等）？

•　对机器来说什么网络是可用的或需要的？什么是VLAN？如何大量利用这些网络？它们有特殊用途吗（存储网络、带外管理等）？它们运转的速度是多少？

•　我们需要特别的能力吗（例如，I/O虚拟化可以将一个网卡划分成多种vNIC作为系统上的guest虚拟机）？

物理访问一台机器可以容易地回答这些问题，通常管理员在一个远程数据中心管理主机。下面我们将寻找能够用来帮助系统管理员远程收集系统上使用的硬件的信息的方法和工具。

1．查看内核消息 一个系统上有关硬件最简单、最详细、最直接的信息源常常是Linux内核。因为内核是访问所有硬件的主要介质。内核通过/proc文件系统、/sys文件系统和内核消息来公开此信息。

我们可以从内核消息中找到可用的信息。为了能在几乎任何环境中生成消息，设计机制为：将内核消息写入到一个预分配的环形缓冲区，像是已知的dmesg缓冲区。想要读取消息，必须以某种方式将它们放入用户空间。

在RHEL中，这些消息被klogd进程监听，并将消息转发到syslog（或rsyslog）日志库，记录的内核消息默认放在/var/log/messages下。另一种方法是使用dmesg命令导出当前dmesg缓冲区中的内容。

通常审查dmesg缓冲区有3个动机：

□　回顾一下启动时的硬件检测。

□　观察显示出的硬件连接或检测的信息。

□　观察显示出的警告或错误情况发生的信息。

在启动之后，dmesg缓冲区将包含大量信息，下面是dmesg的部分输出：

Initializing cgroup subsys cpuset Initializing cgroup subsys cpu Linux version 2.6.32-431.el6.x86_64 (mockbuild@x86-023.build.eng.bos.redhat.com) (gcc version 4.4.7 20120313 (Red Hat 4.4.7-4) (GCC)) #1 SMP Sun Nov 10 22:19:54 EST 2013 Command line: ro root=/dev/mapper/VolGroup-lv_root rd_NO_LUKS LANG=en_US.UTF-8 rd_NO_MD rd_LVM_LV=VolGroup/lv_swap SYSFONT=latarcyrheb-sun16 rd_LVM_LV=VolGroup/lv_root KEYBOARDTYPE=pc KEYTABLE=us rd_NO_DM rhgb quiet KERNEL supported cpus: Intel GenuineIntel AMD AuthenticAMD Centaur CentaurHauls Disabled fast string operations BIOS-provided physical RAM map: BIOS-e820: 0000000000000000 - 000000000009ec00 (usable) BIOS-e820: 000000000009ec00 - 00000000000a0000 (reserved) BIOS-e820: 00000000000dc000 - 0000000000100000 (reserved) BIOS-e820: 0000000000100000 - 000000007fee0000 (usable) BIOS-e820: 000000007fee0000 - 000000007feff000 (ACPI data) BIOS-e820: 000000007feff000 - 000000007ff00000 (ACPI NVS) BIOS-e820: 000000007ff00000 - 0000000080000000 (usable) BIOS-e820: 00000000f0000000 - 00000000f8000000 (reserved) BIOS-e820: 00000000fec00000 - 00000000fec10000 (reserved) BIOS-e820: 00000000fee00000 - 00000000fee01000 (reserved) BIOS-e820: 00000000fffe0000 - 0000000100000000 (reserved) DMI present. SMBIOS version 2.4 @ 0xF6B30 DMI: VMware, Inc. VMware Virtual Platform/440BX Desktop Reference Platform, BIOS 6.00 07/31/2013 Phoenix BIOS detected: BIOS may corrupt low RAM, working around it. e820 update range: 0000000000000000 - 0000000000010000 (usable) ==> (reserved) Hypervisor detected: VMware e820 update range: 0000000000000000 - 0000000000001000 (usable) ==> (reserved) e820 remove range: 00000000000a0000 - 0000000000100000 (usable) last_pfn = 0x80000 max_arch_pfn = 0x400000000 … 然而当前的消息将填充缓冲区，并随着时间的推移最终循环并覆盖原来的信息。因此，在每次启动，Red Hat Enterprise Linux存储当前dmesg缓冲区的内容到/var/log/dmesg。花费一些时间查阅内核启动信息能够得到关于一个平台的硬件的综合情况。

2．查看CPU信息 现代系统中通常有多个CPU，每个socket会有多个核心，可能每个核心有多个超线程，有不同级别的本地和共享cache。lscpu命令可以提供一个本地配置的快速概要。

下面是lscpu的输出和相关信息的说明：

[root@zyg ～]# lscpu Architecture: x86_64 #cpu架构 CPU op-mode(s): 32-bit, 64-bit CPU(s): 16 #内核在调度任务时可用的逻辑CPU数量 Thread(s) per core: 2 #每个核心上超线程的数量 Core(s) per socket: 4 #每个socket上核心的数量 CPU socket(s): 2 #物理socket的数量 NUMA node(s): 2 #NUMA系统上内存总线的数量 Vendor ID: GenuineIntel CPU family: 6 Model: 44 Stepping: 2 CPU MHz: 2393.967 Virtualization: VT-x #CPU硬件虚拟化支持 L1d cache: 32K #CPU相关的cache大小 L1i cache: 32K L2 cache: 256K L3 cache: 12288K NUMA node0 CPU(s): 0,2,4,6,8,10,12,14 #映射逻辑CPU到NUMA地址总线 NUMA node1 CPU(s): 1,3,5,7,9,11,13,15 lscpu列出多个CPU cache的大小，它不会告诉我们逻辑CPU是如何共享cache的。使用lscpu–p，可输出cache共享信息：

[root@zyg ～]# lscpu -p

The following is the parsable format, which can be fed to other

programs. Each different item in every column has an unique ID

starting from zero.

CPU,Core,Socket,Node,,L1d,L1i,L2,L3

0,0,0,0,,0,0,0,0 1,1,1,1,,1,1,1,1 2,2,0,0,,2,2,2,0 3,3,1,1,,3,3,3,1 4,4,0,0,,4,4,4,0 5,5,1,1,,5,5,5,1 6,6,0,0,,6,6,6,0 7,7,1,1,,7,7,7,1 8,0,0,0,,0,0,0,0 9,1,1,1,,1,1,1,1 10,2,0,0,,2,2,2,0 11,3,1,1,,3,3,3,1 12,4,0,0,,4,4,4,0 13,5,1,1,,5,5,5,1 14,6,0,0,,6,6,6,0 15,7,1,1,,7,7,7,1 注意最后4个字段，L1和L2 cache每对超线程是不同的，L3 cache是被各自socket上的所有核心共享的，附加一个单独的内存地址总线。

lscpu命令是在Red Hat Enterprise Linux 6中引入的。在之前的Red Hat Enterprise Linux版本中，使用x86info命令提供类似的信息，其可在x86info软件包中找到。下面显示的是x86info输出的部分信息：

[root@zyg ～]# x86info x86info v1.25. Dave Jones 2001-2009 Feedback to davej@redhat.com.

Found 16 CPUs

CPU #1 EFamily: 0 EModel: 2 Family: 6 Model: 44 Stepping: 2 CPU Model: Unknown model. Processor name string: Intel(R) Xeon(R) CPU E5620 @ 2.40GHz Type: 0 (Original OEM) Brand: 0 (Unsupported) Number of cores per physical package=16 Number of logical processors per socket=32 Number of logical processors per core=2 APIC ID: 0x20 Package: 0 Core: 1 SMT ID 0 ————————————————————————– CPU #2 EFamily: 0 EModel: 2 Family: 6 Model: 44 Stepping: 2 CPU Model: Unknown model. Processor name string: Intel(R) Xeon(R) CPU E5620 @ 2.40GHz Type: 0 (Original OEM) Brand: 0 (Unsupported) Number of cores per physical package=16 Number of logical processors per socket=32 Number of logical processors per core=2 APIC ID: 0x0 Package: 0 Core: 0 SMT ID 0 ————————————————————————– …… 3．确定SMBIOS/DMI信息 Dmidecode工具（由dmidecode软件包提供）可以探测本地System Management BIOS（SMBIOS）和Desktop Management Interface（DMI）并提供大量有关本地硬件的信息。

首先看到BIOS的信息：

[root@zyg ～]# dmidecode

dmidecode 2.10

SMBIOS 2.6 present. 84 structures occupying 5097 bytes. Table at 0xCF49C000.

Handle 0xDA00, DMI type 218, 11 bytes OEM-specific Type Header and Data: DA 0B 00 DA B2 00 17 00 0E 20 00

Handle 0x0000, DMI type 0, 24 bytes BIOS Information Vendor: Dell Inc. Version: 6.1.0 Release Date: 10/18/2011 Address: 0xF0000 Runtime Size: 64 kB ROM Size: 4096 kB Characteristics: ISA is supported PCI is supported PNP is supported BIOS is upgradeable BIOS shadowing is allowed Boot from CD is supported Selectable boot is supported EDD is supported Japanese floppy for Toshiba 1.2 MB is supported (int 13h) 5.25”/360 kB floppy services are supported (int 13h) 5.25”/1.2 MB floppy services are supported (int 13h) 3.5”/720 kB floppy services are supported (int 13h) 8042 keyboard services are supported (int 9h) Serial services are supported (int 14h) CGA/mono video services are supported (int 10h) ACPI is supported USB legacy is supported BIOS boot specification is supported Function key-initiated network boot is supported Targeted content distribution is supported BIOS Revision: 6.1 相关服务器的系统信息：

Handle 0x0100, DMI type 1, 27 bytes System Information Manufacturer: Dell Inc. Product Name: PowerEdge R710 Version: Not Specified Serial Number: C5V8D3X UUID: 6C6C6566-0035-5610-8038-C3C06F663358 Wake-up Type: Power Switch SKU Number: Not Specified Family: Not Specified 相关服务器上（部分）CPU的信息：

Handle 0x0400, DMI type 4, 40 bytes Processor Information Socket Designation: CPU1 Type: Central Processor Family: Xeon Manufacturer: Intel ID: C2 06 02 00 FF FB EB BF Signature: Type 0, Family 6, Model 44, Stepping 2 Flags: FPU (Floating-point unit on-chip) VME (Virtual mode extension) DE (Debugging extension) PSE (Page size extension) TSC (Time stamp counter) MSR (Model specific registers) PAE (Physical address extension) MCE (Machine check exception) CX8 (CMPXCHG8 instruction supported) APIC (On-chip APIC hardware supported) SEP (Fast system call) MTRR (Memory type range registers) PGE (Page global enable) MCA (Machine check architecture) CMOV (Conditional move instruction supported) PAT (Page attribute table) PSE-36 (36-bit page size extension) CLFSH (CLFLUSH instruction supported) DS (Debug store) ACPI (ACPI supported) MMX (MMX technology supported) FXSR (Fast floating-point save and restore) SSE (Streaming SIMD extensions) SSE2 (Streaming SIMD extensions 2) SS (Self-snoop) HTT (Hyper-threading technology) TM (Thermal monitor supported) PBE (Pending break enabled) Version: Intel(R) Xeon(R) CPU E5620 @ 2.40GHz Voltage: 1.2 V External Clock: 5860 MHz Max Speed: 3600 MHz Current Speed: 2400 MHz Status: Populated, Enabled Upgrade: Socket LGA1366 L1 Cache Handle: 0x0700 L2 Cache Handle: 0x0701 L3 Cache Handle: 0x0702 Serial Number: Not Specified Asset Tag: Not Specified Part Number: Not Specified Core Count: 4 Core Enabled: 4 Thread Count: 8 Characteristics: 64-bit capable 列出主板上多种设备，比如网络接口卡、显卡、RAID控制器：

Handle 0x0A00, DMI type 10, 16 bytes On Board Device 1 Information Type: Video Status: Enabled Description: Embedded Matrox G200 Video On Board Device 2 Information Type: Ethernet Status: Enabled Description: Embedded Broadcom 5709C NIC 1 On Board Device 3 Information Type: Ethernet Status: Enabled Description: Embedded Broadcom 5709C NIC 2 On Board Device 4 Information Type: Ethernet Status: Enabled Description: Embedded Broadcom 5709C NIC 3 On Board Device 5 Information Type: Ethernet Status: Enabled Description: Embedded Broadcom 5709C NIC 4 On Board Device 6 Information Type: SAS Controller Status: Enabled Description: Integrated RAID Controller 还有已安装的（部分）RAM信息：

Handle 0x1000, DMI type 16, 15 bytes Physical Memory Array Location: System Board Or Motherboard Use: System Memory Error Correction Type: Multi-bit ECC Maximum Capacity: 288 GB Error Information Handle: Not Provided Number Of Devices: 18

Handle 0x1101, DMI type 17, 28 bytes Memory Device Array Handle: 0x1000 Error Information Handle: Not Provided Total Width: 72 bits Data Width: 64 bits Size: 4096 MB Form Factor: DIMM Set: 1 Locator: DIMM_A2 Bank Locator: Not Specified Type: DDR3 Type Detail: Synchronous Speed: 1333 MHz Manufacturer: 00CE04B380CE Serial Number: 86B07DE9 Asset Tag: 02120621 Part Number: M393B5273DH0-YH9 Rank: 2 注意这些信息是由内核中sysfs文件系统提供的，在/sys/class/dmi目录下：

[root@zyg ～]# ls /sys/class/dmi/id/ bios_date board_serial chassis_type product_name sys_vendor bios_vendor board_vendor chassis_vendor product_serial uevent bios_version board_version chassis_version product_uuid board_asset_tag chassis_asset_tag modalias product_version board_name chassis_serial power subsystem [root@zyg ～]# cat /sys/class/dmi/id/product_name PowerEdge R710 [root@zyg ～]# cat /sys/class/dmi/id/product_uuid 66656C6C-3500-1056-8038-C3C06F663358 [root@zyg ～]# cat /sys/class/dmi/id/product_serial C5V8D6X 5.2.3　最小化资源使用 以最高性能水平设计的系统必须最小化任何资源的浪费。赛车不能够提供如同普通客车的舒适，但是驾驶的目的是尽可能地比奖杯持有者快，并且舒适的座椅是资源的浪费。同样的道理也适用于服务器系统。运行消耗内存的GUI和大量不必要的守护进程将会降低整体性能。本节介绍系统资源消耗的优化。

1．守护进程 在Linux发行版默认安装之后，有些不必要的服务和守护进程可能会被启用。要禁用不需要的守护进程减少整个系统的内存占用量，减少运行进程的数量和上下文切换，更重要的是，减少暴露的各种安全威胁。禁用不需要的守护进程也可以降低服务器的启动时间。

默认情况下，在大多数系统上，有些已经启动的守护进程可以被安全地停止和禁用。表5-1列出了在各种Linux发行版中已经启动的守护进程。如果适用，应考虑在你的环境中禁用它们。注意，表中列出了一些商用Linux发行版各自的守护进程。特定的Linux安装在运行守护进程的确切数量上可能有所不同。这些守护进程更详细的说明，参考下面的system-config-services的显示。

表5-1　默认安装的可调整启动的守护进程

NetworkManager 这是一个简单管理网络连接的工具，如果你希望手工管理网络可以禁用 abrt-ccpp abrt-oops abrtd abrt（automatic bug report tool）服务监控应用程序崩溃并收集崩溃时数据，稍后汇报给Bugzilla以方便开发者修复。可以禁用 acpid Advanced Configuration and PowerInterface，为替代传统的APM电源管理标准而推出的新型电源管理标准。建议笔记本用户开启它。服务器一般不需要acpi atd 在特定的时间运行at命令来调度要运行的命令。如果不使用可以禁用 autofs 自动挂载需求的文件系统（例如，自动挂载CD-ROM）。在服务器系统上，文件系统很少有自动挂载 bluetooth 当发现蓝牙设备时，触发bluetoothd启动。如果不连接蓝牙设备可以禁用 cgconfig 创建和设置control group文件系统。如果不使用cgroup可以禁用 cgred cgroup规则引擎用来自动对进程进行分类。如果不使用可以禁用 cpuspeed 守护进程将自动调整CPU的频率，在服务器环境中，建议关闭这个守护进程 cpus 通用UNIX打印系统，如果不打算在服务器上使用打印服务可以禁用 dnsmasq 如果你的服务器不是用作DNS缓存服务器可以禁用 ebtables 与iptables类似，只不过是对数据链路层的MAC做过滤，可以禁用 firstboot 在第一次安装后引导你对系统进行配置，可以禁用 hacacheclean 将mod_disk_cache的存储缓冲区所占用的空间限定在一个合理的水平。可以禁用 ip6tables ipv6防火墙，服务器一般不启用，可以禁用 iptables ipv4防火墙，服务器一般不启用，可以禁用 kdump 在系统崩溃、死锁或者死机的时候用来收集内存运行的状态和数据信息，可以禁用 mdmonitor 检查系统上的所有软件RAID阵列的状态，可以禁用 netcf-transaction 保存当前网络配置的状态，并在稍后恢复配置或提交新的配置。可以禁用 netconsole 用于将本地主机的日志信息打印到远程主机上，如果不使用远程日志，可以禁用 nfs 如果不是使用NFS服务，可以禁用 ntpd NTP（网络时间协议）用来与时间服务器进行时间同步。如果不需要进行时间同步，可以禁用 ntpdate 用通过轮询NTP服务器得到的时间来设置本地日期和时间。如果不需要进行时间同步，可以禁用 numad 动态监视系统的运行和内存的使用，并动态平衡CPU和内存的负载。如果不使用NUMA架构的服务器，可以禁用 oddjobd oddjobd服务提供支持，当无特权的应用程序需要执行一组特权操作时，代表它们执行。可以禁用 postfix 系统中的MTA，如果服务器不需要邮件服务，可以禁用 psacct 审计系统账号连接时间，用户操作。可以禁用 quota_nld 监听netlink socket并通过内核产生磁盘配额记录警告，并将其传递给系统D-Bus或终端用户。可以禁用 radvd 定期发送IPv6路由通告消息和回应路由请求消息。可以禁用 rdisc 用来在本地子网中发现路由器。可以禁用 restorecond 使用inotify寻找在/etc/selinux/restorecond.conf文件中指定的新文件，并恢复正确的安全上下文。如果不使用SELinux，可以禁用 rhnsd 负责定期连接到红帽网络服务器来检查更新、通知。如果没有购买红帽的服务，可以禁用 rngd 收集来自硬件源的熵值并写入到/dev/random/。可以禁用 rpcidmapd 在NFSv4挂载时，用来映射用户名和组到UID和GID。如果服务器不使用NFS服务，可以禁用 rpcsvcgssd 管理服务器上的RPCSEC GSS，用于安全NFS挂载。如果服务器不使用NFS服务，可以禁用 rsync 如果服务器不使用xinetd的rsync服务，可以禁用 sandbox 当使用sandbox、xguest、pam_namespace的时候，该服务将不实际运行任何服务，而是在/var/tmp、/tmp/、家目录中使用这些工具。如果不使用sandbox、xguest、pam_namespace，可以禁用 saslauthd 使用cyrus-sasl库处理明文验证请求。如果不使用cyrus-sasl库，可以禁用 smartd 监控本地硬盘的SMART（Self-Monitoring, Analysis, Reporting Technology）状态，并提供先进的磁盘退化和故障的报警。可以禁用 sssd 提供了一组守护进程来管理访问远程目录和身份验证机制。如果不使用用户帐号的远程验证可以禁用 wdaemon 帮助X.org支持Wacom手写板。可以禁用 winbind 允许UNIX系统利用Windows NT的用户账号信息。如果服务器不提供samba服务或samba服务器不是通过Windows域验证。可以禁用 wpa_supplicant 这是一个用来连接无线网络的工具。在不使用无线网络的系统上可以禁用 ypbind 这个守护进程是在NIS/YP客户端上运行的，并将它绑定到一个NIS域。作为NIS客户端它的运行必须基于glibc，但是在使用NIS的系统上不应该启用它 在Red Hat Enterprise Linux和Novell SUSE上，chkconfig命令为管理员提供了易于使用的界面用来更改各种守护进程的启动选项。使用chkconfig运行的第一个命令是检查所有运行的守护进程：

[root@zyg ～]# chkconfig –list | grep on 如果你不希望守护进程在下次机器启动时启动，可以root身份运行下列命令之一。它们可实现相同的效果，不同之处在于第二个命令在所有运行级别禁用守护进程，而–level标志可以用来说明确切的运行级别：

[root@zyg ～]# chkconfig –level 2345 postfix off [root@zyg ～]# chkconfig postfix off 提示： 如果不想浪费时间等待重新启动的完成，只需要分别改变运行级别为1，并返回3或5。

还有另外一个有用的系统命令，/sbin/service，它可以让管理员立刻改变任何已注册服务的状态。在第一个实例中，通过运行这个命令，管理员可以始终选择检查一个服务（例如，sendmail）的当前状态：

[root@zyg ～]# service postfix status 在下面的例子中，使用这个命令立刻停止sendmail守护进程：

[root@zyg ～]# service postfix stop service命令特别有用，因为它可以让你立刻核实是否需要一个守护进程。通过chkconfig执行的更改不会立刻激活，除非改变系统的运行级别或执行重新启动。然而，通过service命令禁用的守护进程，在重新启动之后将重新启用。对于不可使用service命令的Linux发行版，可以通过init.d目录启动或停止守护进程。检查CUPS守护进程的状态，例如，可以像这样执行：

[root@zyg ～]# /etc/init.d/cups status 同样，可以通过基于图形界面的程序修改已启动的守护进程，如图5-1所示。在Red Hat Enterprise Linux中运行服务配置图形界面，单击System→Administration→Services命令，或运行system-config-services这个命令。

图5-1　Red Hat服务配置接口

2．更改运行级别 只要有可能，不要在Linux服务器上运行图形用户界面。通常情况下，大多数Linux管理员都认为，在Linux服务器上是不需要图形界面的。通过命令行，可以重定向X显示，通过Web浏览器界面，所有管理的任务可以有效地被实现。如果你更喜欢图形界面，有几个有用的基于Web的工具，比如webmin、Linuxconf、SWAT。

提示： 即使在本地服务器上禁用GUI，你仍可以远程连接并使用图形界面。要做到这一点，使用带有-X参数的ssh命令。

如果必须使用图形界面，要根据需要启动和停止而不是一直运行。大多数情况下，当机器启动起来的时候，不要启动X Server，服务器应该运行在运行级别3。如果想重新启动X Server，则可以在命令提示符下使用startx。

□　通过使用runlevel命令确定机器运行在哪个运行级别。这将打印出之前的（当前运行级别的上一次运行级别）运行级别和当前的运行级别。例如，N 5表示，没有之前的运行级别（N），当前运行级别是5。

□　使用init命令可以在运行级别之间切换。例如，切换到运行级别3，输入命令init 3。

在Linux中使用的运行级别：

0 Halt（停止。不要设置为初始默认运行级别，否则在启动引导过程结束之后，服务器将立即关闭。） 1 Single user mode（单用户模式） 2 Multiuser，without NFS（同运行级别3一样，但是没有联网） 3 Full multiuser mode（多用户字符界面） 4 Unused（未使用） 5 X11（多用户图形界面） 6 Reboot（不要设置为初始默认运行级别，否则在启动时，服务器将连续重新启动。） 设置一台机器在开机时的初始运行级别，如下面所示，修改/etc/inittab文件：

id:3:initdefault: 修改/etc/inittab [root@zyg ～]# vim /etc/inittab

inittab is only used by upstart for the default runlevel.

#

ADDING OTHER CONFIGURATION HERE WILL HAVE NO EFFECT ON YOUR SYSTEM.

#

System initialization is started by /etc/init/rcS.conf

#

Individual runlevels are started by /etc/init/rc.conf

#

Ctrl-Alt-Delete is handled by /etc/init/control-alt-delete.conf

#

Terminal gettys are handled by /etc/init/tty.conf and /etc/init/serial.conf,

with configuration in /etc/sysconfig/init.

#

For information on how to write upstart event handlers, or how

upstart works, see init(5), init(8), and initctl(8).

#

Default runlevel. The runlevels used are:

#　0 - halt (Do NOT set initdefault to this) #　1 - Single user mode #　2 - Multiuser, without NFS (The same as 3, if you do not have networking) #　3 - Full multiuser mode #　4 - unused #　5 - X11 #　6 - reboot (Do NOT set initdefault to this) # id:3:initdefault:

5.2.4　SELinux Red Hat Enterprise Linux 4引入了一个新的安全模型，SELinux（Security Enhanced Linux），很明显使用它可以拥有更高的安全性。SELinux引入的强制访问策略模式克服了Linux使用的标准自主访问模型的局限性。如图5-2所示SELinux在用户和进程级别上强制安全性，所以任何特定进程的安全漏洞，只影响分配给这个进程的资源，而不是整个系统。SElinux的工作就像是一个虚拟机器。例如，如果一个恶意攻击者利用Apache使用根目录，那么只有分配给Apache守护进程的资源会被破坏。

图5-2　SELinux的原理概述

然而，强制使用这样一个基于安全模型的策略是要付出代价的。用户或进程每次访问系统资源时，SELinux必须控制I/O设备。检查权限的过程中可以导致高达10%的开销。SELinux对于任何边缘服务器是很有价值的，比如防火墙，或是Web服务器，但是添加到后台数据库服务器的安全级别可以在性能上带来无法证实的损失。

通常情况下，禁用SELinux最简单的方法是起初就不要安装它。但是通常使用默认参数的系统就已经安装了，也没有注意到SELinux会影响性能。在安装之后也可以禁用SELinux，在GRUB引导加载程序中，在正在运行的内核所在行中附加条目selinux=0即可。

编辑grub.conf文件禁用SELinux：

[root@zyg ～]# vim /boot/grub/grub.conf

grub.conf generated by anaconda

#

Note that you do not have to rerun grub after making changes to this file

NOTICE: You have a /boot partition. This means that

#　　　　all kernel and initrd paths are relative to /boot/, eg. #　　　　root (hd0,0) #　　　　kernel /vmlinuz-version ro root=/dev/mapper/VolGroup-lv_root #　　　　initrd /initrd-[generic-]version.img #boot=/dev/sda default=0 timeout=5 splashimage=(hd0,0)/grub/splash.xpm.gz hiddenmenu title Red Hat Enterprise Linux (2.6.32-431.el6.x86_64) root (hd0,0) kernel　/vmlinuz-2.6.32-431.el6.x86_64　ro　root=/dev/mapper/VolGroup-lv_root rd_NO_LUKS　　LANG=en_US.UTF-8　　rd_NO_MD　　rd_LVM_LV=VolGroup/lv_swap　　SYSFONT= latarcyrheb-sun16 rd_LVM_LV=VolGroup/lv_root KEYBOARDTYPE=pc KEYTABLE=us rd_NO_DM rhgb quiet selinux=0

initrd /initramfs-2.6.32-431.el6.x86_64.img 另一个禁用SELinux的方法是通过存储在/etc/selinux/config下的SELinux配置文件。如下所示可通过配置文件禁用SELinux：

[root@zyg ～]# vim /etc/sysconfig/selinux

This file controls the state of SELinux on the system.

SELINUX= can take one of these three values:

#　　enforcing - SELinux security policy is enforced. #　　permissive - SELinux prints warnings instead of enforcing. #　　disabled - No SELinux policy is loaded. SELINUX=disabled

SELINUXTYPE= can take one of these two values:

#　　targeted - Targeted processes are protected, #　　mls - Multi Level Security protection. SELINUXTYPE=targeted 如果你决定在基于Linux的服务器上使用SELinux，则它的设置可以调整，以更好地适应你的环境。在一个运行的系统上，检查缓存的Linux Security Modules（LSM）的工作设置，权限是否超过默认的Access Vector Cache (AVC)512条目的大小。

最长链的长度检查/selinux/avc/hash_stats。超过10表示可能存在瓶颈。

提示： 检查访问向量缓存（access vector cache）的使用统计，可以另外使用avcstat工具。

如果系统在Access Vector Cache中出现瓶颈（例如，沉重负载的防火墙），尝试调整/selinux/avc/cache_threshold为一个稍高的值，并重新检测hash统计。

5.2.5　编译内核 创建和编译你自己的内核所提高的系统性能，远比通常认为的影响要小。随着大多数Linux版本的发行，现代的内核是模块化的，它们只加载所使用的部件。重新编译内核可以减小内核大小和整体行为（例如，实时行为）。改变源代码中的某些参数也可能产生一些系统性能。

前面已经说过，定制内核可以获得性能提升，但是很难证明，在企业环境中运行一个不被支持的内核所要面临的挑战。

当重新编译内核时，不要试图使用特殊的编译器标志，比如-C09。已经手工调整过源代码的Linux内核与GNU C编译器匹配。使用特殊的编译器标志，最好的可能是带来较低内核性能，最坏是破坏代码。

记住，除非你真的知道你在做什么，否则，由于设置错误的内核参数，你实际上可能会降低系统性能。

5.3　更改内核参数 虽然多数情况下不建议修改和重新编译内核源代码，但还是有另一种手段，通过更改内核参数来调整Linux内核功能。proc文件系统提供了一个用于访问正在运行的内核的接口，可以用它来进行监控和在联机状态下更改内核设置。

要查看当前内核配置，可以在/proc/sys目录中选择一个内核参数，并对相应的文件使用cat命令。下面我们来剖析系统当前内存过量使用策略。输出0告诉我们，在授权为应用程序请求进行内存分配之前，系统将一直检测可用内存。要更改此默认行为，可以使用echo命令，并给它提供一个新的值，在例子中我们使用1（1意味着内核在每次授权内存分配时，不检测分配是否能满足）。

用proc文件系统改变内核参数：

[root@zyg ～]# cat /proc/sys/vm/overcommit_memory 0 [root@zyg ～]# echo 1 > /proc/sys/vm/overcommit_memory 上面所展示的使用cat和echo快速改变内核参数的方法，适用于任何系统的proc文件系统。它也有两个明显的缺点：

□　echo命令对参数不执行任何一致性检查。

□　所有对内核的更改在系统重新启动之后会丢失。

为了克服这一点，一个被称为sysctl的工具可以帮助管理员更改内核参数。

提示： 默认情况下，内核只包含必要的模块，可以让你在无需重新启动的情况下使用sysctl更改。但是，如果选择移除此支持（在操作系统安装时），那么只有在重新启动Linux之后更改才会生效。

5.3.1　proc文件系统 proc文件系统不是一个真正的文件系统，但尽管如此，它是非常有用的。它不存储数据，而它提供了一个访问正在运行的内核的接口。proc文件系统使管理员在联机状态下可以监控和更改内核。下面描述了一个proc文件系统的样本。大多数Linux工具依靠/porc提供的信息进行性能测量。

下面是/proc文件系统示例：

[root@zyg ～]# ls /proc/ 1 1501 1802 270 290 41 46463 59 9 irq schedstat 10 1502 1804 271 291 411 47 6 963 kallsyms scsi 11 1544 1806 272 292 42 47630 60 acpi kcore self 1111 1549 1821 273 293 428 48 61 asound keys slabinfo 1112 1569 1888 274 294 429 48214 62 buddyinfo key-users softirqs 112 1589 19 275 295 43 48897 63 bus kmsg stat 1120 1596 197 276 296 44 48948 64 cgroups kpagecount swaps 1162 16 198 277 297 44003 48952 65 cmdline kpageflags sys 12 1635 199 278 3 45 49 66 cpuinfo loadavg sysrq-trigger 13 1645 2 279 30 45208 49069 67 crypto locks sysvipc 1322 17 20 28 31 45301 49079 68 devices mdstat timer_list 1376 1714 209 280 32 45305 5 69 diskstats meminfo timer_stats 1390 1723 21 281 33 45312 50 7 dma misc tty 14 1738 210 282 34 45317 51 74 driver modules uptime 1405 1746 22 283 35 45493 52 75 execdomains mounts version 1416 1757 23 284 36 45901 523 757 fb mpt vmallocinfo 1419 1770 24 285 37 46 53 76 filesystems mtd vmstat 1435 1783 25 286 38 46075 54 77 fs mtrr zoneinfo 1466 1796 26 287 39 46243 55 78 interrupts net 1467 1798 268 288 4 46453 56 8 iomem pagetypeinfo 1492 18 269 289 40 46456 57 80 ioports partitions 15 1800 27 29 409 46460 58 81 ipmi sched_debug 查看proc文件系统，我们可以区分服务不同用户的几个子目录，但因为proc目录中的大部分信息是不易于人阅读的，建议你使用工具，比如vmstat以更可读的方式显示各种统计信息。记住，proc文件系统中包含的布局和信息，因不同的文件系统架构而不同。

□　/proc目录中的文件。 proc根目录中的各种文件涉及一些相关的系统统计。在这里可以找到通过Linux工具比如vmstat和cpuinfo作为输出源的信息。

□　数字1到X。 通过数字表示的不同子目录指的是运行的进程或它们各自的进程ID（PID）。目录结构总是从PID1开始指向init进程，并上升到各自的系统运行的PID的数量。每个数字的子目录存储进程相关的统计信息。这种数据示例是进程的虚拟内存映射。

□　Acpi。 ACPI指的是大多数现代桌面和笔记本系统支持的高级配置和电源接口。因为ACPI是主要的PC技术，它常常在服务器系统上是被禁用的。关于ACPI的更多信息参考http://www.apci.info。

□　bus。 这个子目录包含关于总线子系统的信息，比如，PCI总线或各自系统的USB接口。

□　irq。 这个子目录包含关于系统中中断信息。这个目录中的每个子目录指的是一个中断，并可能是一个连接的设备，比如一个网络接口卡。在irq子目录中，可以改变一个特定中断的CPU亲和力。

□　net。 这个子目录包含关于网络接口的大量原始统计，比如接收的组播数据包或每个接口的路由。

□　scsi。 这个子目录包含关于各自的系统的SCSI子系统信息，比如连接的设备或驱动程序版本。子目录ips指的是在大多数IBM System x服务器上发现的IBM ServeRAID控制器。

□　sys。 在sys子目录中可以找到可调整的内核参数，比如虚拟内存管理器或网络协议栈的行为。在/proc/sys中涵盖了各种选项和可调整的值。

□　ttytty。 该子目录包含了关于系统的各个虚拟终端和它连接的物理设备的信息。

5.3.2　存储参数的位置 控制内核行为的内核参数存储在/proc中（特别是/proc/sys中）。

读取/proc目录树中的文件，一个简单地查看配置参数（相关内核、进程、内存、网络、其他组件）的方法。系统中运行的每个进程在/proc中都有一个以进程ID（PID）命名的目录。表5-2中列出了一些包含内核信息的文件。

表5-2　/proc中的参数文件

参数 说明 /proc/sys/abi 这个目录可能包含文件与应用程序二进制信息。参阅Documentation/sysctl/abi.txt获取更多信息 /proc/sys/debug 此目录可能为空 /proc/sys/dev 这个目录包含特定设备的信息（例如，dev/cdrom/info）。在某些系统上，可能为空 /proc/sys/fs 特定的文件系统。文件句柄、inode、dentry和配额调优 /proc/sys/kernel 这个目录包含的文件用来控制一系列的内核参数 /proc/sys/net 内核网络部分的调整，参阅Documentation/networking/ /proc/sys/vm 这个目录包含的文件涉及内存管理调优，buffer和cache管理 5.3.3　使用sysctl命令 sysctl命令使用/proc/sys目录树中文件的名字作为参数。例如，修改shmmax内核参数，可以显示（使用cat命令）和更改（使用echo命令）/proc/sys/kernel/shmmax文件：

[root@zyg ～]# cat /proc/sys/kernel/shmmax 68719476736 [root@zyg ～]# echo 68719476740 > /proc/sys/kernel/shmmax [root@zyg ～]# cat /proc/sys/kernel/shmmax 68719476740 但是，使用这些命令很容易引入错误，因此建议你使用sysctl命令，因为它在做任何更改之前检查数据的一致性。例如：

[root@zyg ～]# sysctl kernel.shmmax kernel.shmmax = 68719476740 [root@zyg ～]# sysctl -w kernel.shmmax=68719476736 kernel.shmmax = 68719476736 [root@zyg ～]# sysctl kernel.shmmax kernel.shmmax = 68719476736 保持内核的更改直至下一次重新启动仍有效。如果你希望永久改变，可以编辑/etc/sysctl. conf文件并添加相应的命令，例如：

kernel.shmmax = 68719476736 在下次重新启动时，参数文件将被读取。使用下面的命令，不重启也可以做同样的事情：

[root@zyg ～]# sysctl–p 5.4　调整处理器子系统 在任何一台计算机中，无论是一个手持式设备还是一个科学应用的集群，主要的子系统是实际做计算的处理器。在过去的十年间，摩尔定律导致处理器子系统的发展明显要比其他子系统更快。其结果是，瓶颈很少在CPU中发生，除非系统的唯一目的是数字处理。这说明，Intel兼容的服务器系统的平均CPU使用率低于10%。了解发生在处理器层级的瓶颈和为提高CPU性能知道可能的调整参数是很重要的。

5.4.1　调整进程优先级 正如我们在1.1.4节中所述的。进程的优先级可分为静态（实时）优先级和动态（非实时）优先级。首先我们可以使用chrt命令来查看进程的调度策略：

[root@zyg ～]# chrt -m SCHED_OTHER min/max priority : 0/0 SCHED_FIFO min/max priority: 1/99 SCHED_RR min/max priority: 1/99 SCHED_BATCH min/max priority : 0/0 SCHED_IDLE min/max priority: 0/0 这里有2个实时调度策略：SCHED_RR和SCHED_FIFO。SCHED_RR是一个轮询调度策略。相同优先级别进程使用轮询调度策略，只允许在一个最大时间片内运行。SCHED_FIFO使用先进先出调度策略。它一直运行直到I/O阻塞，然后调用sched_yield或是被一个高优先级的进程抢占。

能够使用sched_setscheduler为应用程序设置调度策略。如果应用程序没有被设计为实时的，则可以通过chrt命令来设置实时调度程序。通过策略和优先级参数来运行一个实时优先级应用程序。

[root@zyg ～]# chrt -f 60 zyg 如果程序已经运行，也可以使用chrt命令进行调整：

[root@zyg ～]# chrt -p 46453 pid 46453’s current scheduling policy: SCHED_OTHER pid 46453’s current scheduling priority: 0 [root@zyg ～]# chrt -p -f 50 46453 [root@zyg ～]# chrt -p 46453 pid 46453’s current scheduling policy: SCHED_FIFO pid 46453’s current scheduling priority: 50 还有3个非实时调度策略：SCHED_NORMAL、SCHED_BATCH和SCHED_IDLE。SCHED_NORMAL是一个标准的轮询风格的时间共享策略。SCHED_BATCH是为了执行批处理风格的程序而设计的。每当SCHED_NORMAL工作时，SCHED_BATCH几乎不会抢占，因此任务运行时间更长，并能更好地利用cache。SCHED_IDLE用于运行非常低的优先级应用程序（实际上是一个比nice 19还低的优先级）。

改变SCHED_NORMAL的优先级，使用nice或renice命令。Linux支持的nice等级可从19（最低优先级）到-20（最高优先级），默认值是0。更改一个程序的nice等级到负数（使它有较高的优先级），需要使用root登录或su切换到root。这是动态优先级，意味着内核通过调整+/- 5级可以提高或者降低这些进程的系统优先级。如果进程运行得太慢，可以通过给它一个较低的nice等级从而分配给它更多的CPU。当然，这也意味着其他程序将拥有较少的处理器周期，并且将运行得更慢。

使用-5的nice级别运行程序zyg，运行下面的命令：

[root@zyg ～]# nice -n 5 zyg 更改一个已经运行的程序的nice级别，运行下面的命令：

renice 更该一个PID为2500的程序的nice级别到10，运行下面的命令：

[root@zyg ～]# renice 10 2610 5.4.2　CPU亲和力 简单地说，CPU亲和力（CPU Affinity）是为了把一个或多个进程（线程）绑定到一个或多个CPU核心上。

1．taskset 通过正在运行的进程的PID，taskset可用于设置或检索该进程的CPU亲和力，或者，可以使用CPU亲和力开始一个新的命令。CPU亲和力表示为十六进制的位掩码（bitmask），最低位bit对应第一个逻辑CPU，最高位bit对应最后一个逻辑CPU。

图5-3以逻辑4核CPU为例，显示了它们的掩码。

图5-3　逻辑CPU与位掩码

使用taskset查看正在运行的zyg.sh的CPU亲和力，并将其绑定在CPU1上运行：

[root@zyg ～]# ps -ef | grep zyg.sh root 49177 49157 95 13:54 pts/1 00:00:12 /bin/bash ./zyg.sh root 49179 48952 0 13:54 pts/0 00:00:00 grep zyg.sh [root@zyg ～]# taskset -p 49177 pid 49177’s current affinity mask: f

[root@zyg ～]# taskset -p 2 49177 pid 49177’s current affinity mask: f pid 49177’s new affinity mask: 2 使用taskset在开始运行zyg.sh时就指定绑定在CPU3上运行：

[root@zyg ～]# taskset -c 3 ./zyg/sh 2．cgroup 在一般操作中，内核将确定一个进程将运行在哪一个CPU上。每次调度器可以在任意可用的CPU上重新调度一个进程。对于大多数工作负载这样还好，但有时我们需要对进程进行限制，允许该进程运行在特定CPU上。例如，限制一个内存密集型进程仅用1个或2个CPU，以增加cache命中的机会，从而增加整体性能。

在一个NUMA系统上，这可以有效地限制CPU和内存区域，确保一个进程总是可以尽可能快地访问到内存。

有一种可伸缩的方法可实现上述要求，就是使用cpuset cgroup。在cpuset cgroup中可以找到（其中）下面的可调整参数（具体设置方法参见5.8节）。

□　cpuset.cpus。 在cgroup中可以使用的CPU。可以是一个范围，比如0～3，也可以是逗号分隔的列表，比如0、2、4或是一个组合，比如0、2～4。

□　cpuset.mems。 在这个cgroup中使用哪一个NUMA内存区域。语法和cpuset.cpus相同。

□　cpuset.{cpu,memory}_exclusive。 如果你希望这个cgroup中CPU/内存是独有的，则可以设置为1。例如，父进程和子进程可以使用，但是其他进程不允许触碰这些CPU或内存区域。

注意： 当不使用NUMA时，或者，不是在一个具有NUMA能力的系统上，必须设置cpuset.mems。在这些系统上将只有一个内存范围：0。

3．虚拟机CPU亲和力 就像进程可以绑定在特定的CPU上一样，在虚拟机里的VCPU也可以绑定在hypervisor中的物理CPU上。这可以用来增加cache命中率或是为特定的工作负载手动平衡CPU。CPU绑定可以通过以下2种方法来实现：

□　如图5-4所示在virt-manager中打开虚拟机，在虚拟机的Details对话框中Processor选项卡中设置。

图5-4　虚拟机绑定CPU

□　通过虚拟机的libvirtd xml配置文件，我们有2种选择可以实现：

•　改变所有CPU的CPU亲和力，让hypervisor选择物理CPU进程绑定。要做到这一点需要在xml文件中找到块，并给它添加一个cpuset属性。例如，限制

hypervisor只能从物理CPU 2和3选择VCPU，可以改变块：

[root@zyg ～]# virsh vcpuinfo rhel6u5-1 VCPU: 0 CPU: 1 State: running CPU time: 186.3s CPU Affinity: yyyy

VCPU: 1 CPU: 1 State: running CPU time: 185.1s CPU Affinity: yyyy •　使用virsh edit rhel6u5-1编辑一个虚拟机的xml配置文件：