| kernel.dmesg_restrict | 0 普通用户可读 / 1 仅特权用户（发行版常为 1） |
|---|---|
| kernel.kptr_restrict | 0 打印指针 / 1 部分限制 / 2 完全替换为占位符 |
查看
查看
sysctl kernel.dmesg_restrict kernel.kptr_restrict
dmesg | tail -3排障需要普通用户读取内核日志时评估该开关；受限环境下可走 journal 或提权查看。
本包目录（357 条）
sysctl 内核参数72 条
- net.ipv4.tcp_congestion_control 拥塞控制
- net.core.somaxconn 全连接队列上限
- sysctl 查看与修改内核参数
- vm.swappiness 换页倾向
- net.ipv4.tcp_tw_reuse TIME_WAIT 复用
- TCP Keepalive 三参数速查
- net.ipv4.ip_local_port_range 本地端口范围
- sysctl.d 配置持久化
- net.ipv4.tcp_rmem 接收缓冲自动调优
- net.ipv4.tcp_max_syn_backlog 半连接队列
- vm.overcommit_memory 内存超售策略
- net.netfilter.nf_conntrack_max 连接跟踪表上限
- vm.max_map_count 内存映射数量上限
- net.ipv4.tcp_syncookies SYN Cookie 防护
- vm.dirty_ratio 脏页回写硬阈值
- /proc/sys 参数文件树
- net.ipv4.tcp_syn_retries 主动建连接重试
- net.core.netdev_max_backlog 收包积压队列
- net.ipv4.ip_forward IPv4 转发开关
- net.core.rmem_max / wmem_max 套接字缓冲上限
- net.ipv4.tcp_wmem 发送缓冲自动调优
- net.ipv4.conf.all.rp_filter 反向路径过滤
- fs.file-max 系统文件句柄上限
- net.ipv4.tcp_fin_timeout FIN_WAIT2 超时
- net.core.default_qdisc 默认队列规则
- fs.inotify.max_user_watches 监听配额
- net.ipv4.tcp_synack_retries 服务端握手重试
- net.ipv4.tcp_fastopen TCP Fast Open
- vm.dirty_background_ratio 后台回写阈值
- net.ipv4.tcp_mtu_probing PMTU 黑洞探测
- vm.panic_on_oom OOM 时是否崩溃
- net.ipv4.tcp_max_tw_buckets TIME_WAIT 总量
- net.ipv4.tcp_slow_start_after_idle 空闲后慢启动
- nf_conntrack_tcp_timeout_established 跟踪超时
- fs.nr_open 单进程句柄硬上限
- net.ipv4.tcp_window_scaling 窗口缩放
- fs.aio-max-nr 异步 IO 事件上限
- net.ipv4.tcp_mem 全局 TCP 内存水位
- net.ipv4.tcp_timestamps 时间戳选项
- net.ipv4.icmp_echo_ignore_all 禁 Ping
- kernel.pid_max PID 编号空间
- net.ipv4.tcp_abort_on_overflow 队列溢出行为
- vm.overcommit_ratio 超售比例
- kernel.core_pattern 核心转储路径
- vm.vfs_cache_pressure 目录缓存回收倾向
- kernel.sysrq 系统请求键掩码
- vm.min_free_kbytes 保留空闲内存
- vm.dirty_expire_centisecs 脏页老化时间
- kernel.panic 崩溃自动重启
- net.ipv4.neigh.default.gc_thresh ARP 表阈值
- vm.dirty_writeback_centisecs 回写周期
- kernel.threads-max 系统任务数上限
- vm.zone_reclaim_mode NUMA 本地回收
- kernel.sem SysV 信号量四元组
- kernel.printk 控制台日志级别
- tcp_available_congestion_control 算法清单
- fs.inotify.max_user_instances 实例配额
- kernel.hung_task_timeout_secs 任务挂起告警
- kernel.dmesg_restrict 与 kptr_restrict 信息暴露控制
- net.ipv4.tcp_ecn 显式拥塞通知
- vm.page-cluster swap 预读页数
- kernel.shmmax SysV 共享内存上限
- net.ipv4.udp_mem 等 UDP 缓冲参数
- kernel.msgmax 消息队列单条上限
- net.core.rmem_default / wmem_default 默认缓冲
- kernel.randomize_va_space 地址随机化
- net.ipv4.tcp_autocorking 小包合并
- kernel.nmi_watchdog NMI 看门狗
- kernel.unprivileged_bpf_disabled 非特权 BPF
- net.core.busy_read / busy_poll 低延迟轮询
- net.core.optmem_max 辅助缓冲区上限
- vm.stat_interval 统计刷新间隔
kernel.dmesg_restrict 与 kptr_restrict 信息暴露控制
限制非特权用户读取内核日志（dmesg_restrict）与打印内核指针（kptr_restrict）；安全加固常用组合。
易错点
- dmesg 无输出先查这两个开关，不要误判为内核异常
- kptr_restrict 会让日志中的地址变成占位符，分析崩溃栈时需要临时放开（评估安全影响）
数据来源与参考
- Linux 内核 Documentation/admin-guide/sysctl/kernel.rst
- Linux 内核 Documentation/admin-guide/perf-security.rst