Linux下TCP keepalive实际探针数低于TCP_KEEPCNT配置值的问题求助

问题背景 #

在Ubuntu 5.15.0、Debian Buster及Yocto Kirkstone环境中验证发现：TCP客户端与服务器建立连接后，keepalive机制工作正常，但连接断开后，系统发送的存活探针数始终少于配置的TCP_KEEPCNT值；若在超时前重新连接，通信可恢复，keepalive探针也会重新发送。

通过socket选项SO_KEEPALIVE开启keepalive，并用TCP_KEEPIDLE、TCP_KEEPINTVL、TCP_KEEPCNT设置参数，代码如下：

void set_keep_alive(int socketfd, int idle, int intvl, int cnt)
{
    int userTimeOut = 1000*(idle + intvl * (cnt - 0.5));// Timeout in ms

    struct sockopt
    {
        int level;
        int name;
        int val;
    };

    const std::list<sockopt> sockOpts = 
    {
        {SOL_SOCKET, SO_KEEPALIVE,      1},
        // {SOL_TCP,    TCP_USER_TIMEOUT,  userTimeOut},
        {SOL_TCP,    TCP_KEEPIDLE,      idle},
        {SOL_TCP,    TCP_KEEPINTVL,     intvl},
        {SOL_TCP,    TCP_KEEPCNT,       cnt}
    };

    for(const auto& opt : sockOpts)
    {
        if(setsockopt(socketfd, opt.level, opt.name, &opt.val, sizeof(opt.val)) < 0) 
        {
            close(socketfd);
            exit(EXIT_FAILURE);
        }
    }
}

Wireshark监测显示TCP_KEEPIDLE和TCP_KEEPINTVL配置均生效，但TCP_KEEPCNT未被严格执行：

• 配置TCP_KEEPIDLE=5, TCP_KEEPINTVL=3, TCP_KEEPCNT=10 → 仅发送7次探针
• 配置TCP_KEEPIDLE=5, TCP_KEEPINTVL=2, TCP_KEEPCNT=10 → 仅发送5次探针

即使启用TCP_USER_TIMEOUT，也会出现探针提前停止发送，但连接会保持到超时的情况。

核心原因分析 #

Linux文档中提到TCP_KEEPCNT是TCP断开连接前发送的最大存活探针数，这里的“最大”是关键——内核不会严格强制执行配置的次数，而是会结合以下因素动态调整：

1. ICMP错误报文触发提前终止
   当链路断开后，如果内核收到目标不可达的ICMP报文（如ICMP_HOST_UNREACHABLE或ICMP_PORT_UNREACHABLE），会直接终止keepalive探针发送流程，提前进入连接断开阶段，此时实际发送的探针数会远小于TCP_KEEPCNT配置值。

2. 系统全局tcp_retries2参数限制
   系统默认的net.ipv4.tcp_retries2参数（默认值15）控制TCP重传的总次数，内核会计算keepalive的总超时时间（TCP_KEEPIDLE + TCP_KEEPINTVL*(TCP_KEEPCNT-1)），如果该时间超过tcp_retries2对应的最大超时窗口，内核会自动减少探针发送次数，避免超时时间超出系统限制。

3. TCP_USER_TIMEOUT的约束
   TCP_USER_TIMEOUT定义了连接的总超时时间（毫秒级），如果配置的TCP_KEEPIDLE + TCP_KEEPINTVL*(TCP_KEEPCNT-1)转换为毫秒后超过TCP_USER_TIMEOUT的值，内核会截断探针发送次数，确保总时间不超过用户设置的超时阈值，这也会导致实际探针数少于配置值。

验证与解决思路 #

1. 排查ICMP报文
   用tcpdump或Wireshark抓取链路数据包，检查是否存在ICMP不可达报文，这是导致探针提前终止的最常见原因。

2. 调整系统全局参数
   查看当前tcp_retries2值：

sysctl net.ipv4.tcp_retries2

如果需要更长的超时窗口，可以临时调整：

sysctl -w net.ipv4.tcp_retries2=20

（如需永久生效，写入/etc/sysctl.conf文件）

3. 精确匹配TCP_USER_TIMEOUT配置
   确保TCP_USER_TIMEOUT的计算值覆盖TCP_KEEPIDLE + TCP_KEEPINTVL*(TCP_KEEPCNT-1)的总时间，避免内核自动截断探针数，例如：

int userTimeOut = 1000*(idle + intvl * (cnt - 1));

4. 放弃对精确探针数的依赖
   由于内核会根据网络状况动态调整，不要将TCP_KEEPCNT作为精确的探针次数指标，而是结合总超时时间来配置keepalive参数，确保业务层面的超时需求得到满足。

内容的提问来源于stack exchange，提问作者Roman Katzer