Linux 内核的 TCP 协议栈是整个网络子系统的核心组件。它并非简单照搬教科书上的状态机，而是在几十年的工程实践中加入了大量性能优化、安全加固和可调参数。下面从连接管理、拥塞控制、滑动窗口三个方面切入，介绍内核是如何将这些理论真正落到实处的。
一、连接管理：从三次握手到 TIME_WAIT
1. 连接建立（三次握手）在内核中的体现
当一个服务器进程调用 listen() 后，内核会为该监听套接字创建两个队列：
- SYN 队列（半连接队列）：存放收到 SYN 但尚未完成三次握手的连接请求。
- ACCEPT 队列（全连接队列）：存放已经完成三次握手、等待应用调用
accept()的连接。
这两个队列的大小分别由内核参数 net.ipv4.tcp_max_syn_backlog 和 net.core.somaxconn（以及 listen() 的 backlog 参数）控制。当 SYN 队列满时，新的 SYN 会被丢弃或由 tcp_syncookies 机制保护（见下文）。
三次握手过程中，内核为每个新建连接分配一个 tcp_sock 结构体，它记录了该连接的所有状态：序列号、窗口大小、拥塞控制信息、定时器等。握手的关键路径在源码文件 net/ipv4/tcp_input.c 中的 tcp_rcv_state_process() 函数处理，根据不同状态调用相应回调。
2. SYN Cookie 防护
为了防止 SYN 洪水攻击耗尽半连接队列，内核引入了 SYN Cookie 机制。当启用 net.ipv4.tcp_syncookies = 1 时，如果 SYN 队列满或内核检测到异常，便不会在服务端存储状态，而是将连接信息（如双方 IP/端口、MSS、时间戳等）编码到一个特殊的初始序列号（SYN Cookie）中，放进 SYN/ACK 报文回复客户端。当客户端返回 ACK 时，内核从 ACK 的确认号中解码还原出连接信息，直接进入 ESTABLISHED 状态。这种无状态的方式极大提升了抵御攻击的能力，且对正常连接几乎无影响。
3. 连接断开与 TIME_WAIT
四次挥手结束后，主动关闭连接的一方会进入 TIME_WAIT 状态，持续 2MSL（Maximum Segment Lifetime，默认 60 秒）。内核通过 timewait 哈希表管理这些 socket。TIME_WAIT 有两个作用：确保最后的 ACK 能被对端收到；让旧连接上的延迟报文在网络中自然消失，避免干扰新连接。
在高并发的服务器场景中，大量 TIME_WAIT 会占用端口号，可能耗尽本地端口资源。可以通过以下参数缓解：
net.ipv4.tcp_tw_reuse = 1：允许将 TIME_WAIT 的端口用于新连接（仅适用于客户端，且需开启时间戳）。- 调整
net.ipv4.ip_local_port_range扩大可用端口范围。 - 在应用层设置
SO_LINGER选项或直接发送 RST 关闭连接。
4. 状态追踪与调试工具
使用 ss -tanp 可以查看当前所有 TCP 连接的状态分布。netstat -s | grep -i "listen\|syncookies\|timewait" 可查看相关统计信息。这些数字直接反映内核连接管理的健康状况，是排查应用层连接超时、拒绝服务等问题的第一手数据。
二、拥塞控制：内核可插拔的算法引擎
1. 为什么拥塞控制是内核实现的核心
TCP 发送数据并非“有窗口就发”，而是必须遵循拥塞窗口（cwnd）的限制，以避免网络中间设备被压垮。Linux 内核将拥塞控制设计成一套可插拔的模块接口，定义在 struct tcp_congestion_ops 中。每个算法需要实现 ssthresh、cong_avoid 等回调，它们会直接影响 tcp_sock->snd_cwnd 的大小。
2. 主流算法与适用场景
- CUBIC：当前 Linux 默认算法，针对高带宽长延迟网络优化，利用三次函数探测带宽，比传统的 BIC 更平滑可控。
- Reno / New Reno：经典快速重传和快速恢复，属于基于丢包的算法，适合低延迟、低丢包场景。
- BBR (Bottleneck Bandwidth and Round-trip propagation time)：Google 开发，基于瓶颈带宽和往返时延测量的模型，在有一定丢包率的网络（如无线、跨海链路）下性能远超 CUBIC。内核需 >= 4.9 版本并手动加载。
- 其他：如 Vegas、Westwood、Veno 等，各有特点。
查看当前可用算法：sysctl net.ipv4.tcp_available_congestion_control
设置当前系统默认算法：sysctl -w net.ipv4.tcp_congestion_control=bbr
应用可通过 setsockopt() 为单个连接指定算法。
3. 关键算法参数的可调性
内核暴露了一系列 sysctl 参数来微调拥塞行为，例如：
tcp_slow_start_after_idle：空闲后是否重置 cwnd，建议关闭以提高长连接效率。tcp_frto、tcp_fastopen等影响快速重传和 TFO 行为。- TCP 内存限制：
tcp_mem,tcp_rmem,tcp_wmem实际上是限制发送/接收缓冲区自动调整的范围，间接影响窗口和拥塞动态。
4. 实时观察与排查
ss -i 可以查看每个连接的详细 TCP 信息，包括 cwnd、ssthresh、rtt、rto 等。结合 tcpretrans 工具或 nstat 命令可以统计重传统计，从而判断网络是链路丢包还是拥塞导致。
三、滑动窗口：流控与性能的关键机制
1. 接收窗口 (rwnd) 与窗口缩放
TCP 报头中的窗口字段只有 16 位，最大 65535 字节。现代网络必须使用窗口缩放选项（Window Scale），在三次握手中协商缩放因子，将窗口扩大至最高 1GB。内核参数 net.ipv4.tcp_window_scaling 默认启用，强烈不建议关闭。
内核通过 tcp_rmem 数组控制接收缓冲区的自动调整范围（最小值、默认值、最大值），这直接决定接收窗口的上限。系统会根据内存压力动态调整每个 socket 的实际缓冲区大小，但不会超过该上限。
2. 发送窗口与拥塞窗口共同决定发送量
发送方允许发出的未确认数据量是 min(rwnd, cwnd)。rwnd 来自对方通报告，cwnd 由本地拥塞控制算法决定。内核在 tcp_sendmsg() 路径会根据这两个窗口计算当前可发送的报文段数，如果窗口不足，则进程可能阻塞或返回 EAGAIN。
3. 零窗口探测与持续定时器
当接收方窗口降为 0 时，发送方停止发送数据，并启动“持续定时器”定期发送零窗口探测报文，询问对方窗口是否已打开。这一行为保证即使窗口更新报文丢失，连接也不会死锁。相关逻辑在 tcp_timer.c 中实现。
4. 内核中的自动缓冲调优
Linux 提供 tcp_moderate_rcvbuf（默认开启），允许内核根据流量动态增大接收缓冲区，使窗口自适应当前 BDP（带宽延迟积）。同时，发送缓冲区也可自调，但受 tcp_wmem 限制。这种自动调整让大多数场景无需手动设置 socket 缓冲区大小，即可获得较好的吞吐性能。
一句话总结：Linux 内核的 TCP 实现将理论上的三次握手、拥塞控制、滑动窗口工程化为健壮的可配置、可观测子系统，理解这些内核行为是利用好网络性能、快速诊断传输问题的必备基础。