这是我在香港机房里“熬过一夜”之后写下的实践记录：不是一篇泛泛的入门贴，而是我在真实网络环境里踩坑、验证、回滚、再验证的全过程。你会看到明确的设备参数、可复现的命令、指标表、以及那些只有在机柜前冻手的夜里才会遇到的细节。

现场背景与目标

业务背景

我们的源站放在香港葵涌的机房，主要面向华南、华东用户访问。白天峰值时段，客服不断反馈：页面首包慢、断流重连、TCP 重传高。链路监控显示 RTT 介于 110–180 ms，并伴随 0.2%–2.5% 的间歇性丢包（跨境回程偶发抖动）。典型“高时延+轻微丢包”的长肥管道（High BDP）场景。

目标

• 将 95 分位首字节时间（TTFB）降低 ≥ 30%
• 将TCP 重传率稳定在 < 0.5%
• 峰值时段有效吞吐提升 ≥ 25%

关键约束

• 源站操作系统固定为 Windows Server 2008 R2（x64）
• 机房网络不是我们全控，跨境回程不可强改，只能源站侧“就地优化”
• 变更必须可回滚、可量化验证

1. 现场硬件与网络参数

2. 基线测量：先量化，再动刀

2.1 我关心的指标（源站侧）

• TCPv4\Segments Retransmitted/sec（PerfMon）
• TCPv4\Connections Established（PerfMon）
• Web/应用层的 P95/P99 TTFB（按 URL 分桶）
• netstat -es 中的重传/丢包计数
• pathping 与 Wireshark 的丢包位置与 MSS、SACK、窗口增长轨迹
• 业务层 1MB/10MB/100MB 下载对象的有效吞吐

2.2 基线数据（变更前 30 分钟窗口）

我一边抓包一边看窗口曲线，典型的 BDP 受限：窗口涨得慢，轻微丢包就“打回原形”。

3. 原理抓要点（为什么这些优化有用）

• 带宽-时延积（BDP）：BDP = 带宽 × RTT。以 1 Gbps × 150 ms ≈ 18.75 MB 为例，如果接收窗口（RWIN）或拥塞窗口上不去，就吃不满带宽。
• CTCP（Compound TCP）：Windows 的拥塞控制，可在高 BDP 链路上更积极地增长窗口、在丢包时更聪明地回退，吞吐提升明显。
• ECN：在支持的链路上，拥塞节点可用标记替代丢包；但跨境路径设备复杂，需谨慎 A/B。
• RSS/LSO/Chimney/NetDMA：网卡与内核 offload、队列并行和中断合并，对高并发连接的 CPU 负载影响巨大。部分特性（尤其 Chimney）在旧驱动上容易出坑。
• PMTU 与 ICMP 黑洞：跨境链路上偶有 ICMP 被过滤，PMTU 探测失灵导致分片/重传。必要时手动“保守”MTU/MSS 更稳。

4. 操作步骤（含回滚）

所有命令请在维护窗口执行，并记录现状与保存回滚脚本。下方每步都附“回滚命令”。

4.1 先看当前 TCP 全局

:: 查看当前全局 TCP 配置
netsh interface tcp show global

:: 建议顺带导出一次系统关键网络注册表（回滚用）
reg export "HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" C:\backup\tcpip_params.reg /y

回滚无需操作（只是查看与备份）。

4.2 打开 CTCP、合理的自动调优，关掉 Chimney，打开 RSS/NetDMA

在我的环境里，“CTCP + RSS +（通常）关 Chimney”是最稳妥的组合。

:: 开启 Compound TCP
netsh interface tcp set global congestionprovider=ctcp

:: 自动调优设为 normal（避免过激）
netsh interface tcp set global autotuninglevel=normal

:: 关闭 TCP Chimney Offload（老驱动常出锅）
netsh interface tcp set global chimney=disabled

:: 启用接收端缩放（多队列并行）
netsh interface tcp set global rss=enabled

:: 启用 NetDMA（如果硬件/驱动支持）
netsh interface tcp set global netdma=enabled

:: （可选）尝试开启 ECN，建议先 A/B：
netsh interface tcp set global ecncapability=enabled

:: 验证
netsh interface tcp show global

回滚命令：

netsh interface tcp set global congestionprovider=none
netsh interface tcp set global autotuninglevel=highlyrestricted
netsh interface tcp set global chimney=enabled
netsh interface tcp set global rss=disabled
netsh interface tcp set global netdma=disabled
netsh interface tcp set global ecncapability=disabled

说明：

• CTCP 在 Server 2008 R2 可用，通常对长肥管有立竿见影的吞吐提升。
• Chimney 在部分 Intel/Broadcom 老驱动上会导致**连接“卡死”**或不可预期的重传峰值，我在夜里被它“虐过”，果断关。
• ECN 真的要 A/B：我遇到过个别省网段在回程上将 ECN 标记“玩坏”，导致连接抖动。不开也能达到主要目标。

4.3 NIC“高级”属性：LSO、Interrupt Moderation、队列数

在设备管理器 → 网卡 → 高级里，我做了如下组合（Intel X520 常见项）：

• Receive Side Scaling：Enabled
• Interrupt Moderation：Enabled（中等档；过高会放大延迟，过低会拉高 CPU）
• RSS Queues：与 CPU 物理核匹配（例如 8 队列）
• Large Send Offload (IPv4/IPv6)：Enabled（若抓包发现异常分片或服务端突发延迟，可尝试关 IPv4 的 LSO 做 A/B）
• Jumbo Packet：禁用（跨境互联网链路 1500 MTU 为主，开启反而容易分片/黑洞）
• Speed & Duplex：Auto 或强制 10G/Full（与 ToR 一致）

这一块没有统一答案，我最后落在 “RSS 开 + 适度中断调制 + LSO 开”。若 CPU 抢占剧烈或延迟抖动，先关 LSO 做对照。

回滚：把上述项恢复默认（通常是 RSS=Enabled、LSO=Enabled、Interrupt Moderation=Enabled/Adaptive）。

4.4 MTU/MSS：实测，不猜

先探测 PMTU 黑洞（从香港源站到内地常见省份节点）：

:: 寻找无分片的最大包（以 1500 为目标向下探）
ping 223.5.5.5 -f -l 1472
ping 223.5.5.5 -f -l 1464
ping 223.5.5.5 -f -l 1452

这里 -l 的值 + 28（IPv4 头 20 + ICMP 8）≈ 实际以太网负载。

如果 1472 失败但 1464 成功，说明 1500 走不通，MTU 1492 可能更稳（PPPoE 常见）。若一路酸爽地失败，降到 MTU=1452/1460 再试。

设置 MTU（持久化）：

:: 查询接口名与现 MTU
netsh interface ipv4 show interfaces

:: 假设接口名为 "Local Area Connection"
netsh interface ipv4 set subinterface "Local Area Connection" mtu=1460 store=persistent

服务端同步修 MSS（如前端有 SLB/反代，可在那边调 MSS Clamp；单机可留给 OS 自动）。

我在路由侧没有全控，只在源站把 MTU 固定到 1460，稳定性改善明显。

回滚：

netsh interface ipv4 set subinterface "Local Area Connection" mtu=1500 store=persistent

4.5 连接耗尽与 TIME_WAIT：端口范围与队列

在高并发短连接场景，Windows 默认临时端口范围可能不够宽，TIME_WAIT 堆积也会卡吞吐。按需调整：

:: 增大临时端口范围（默认起点 49152，数量 16384）
netsh int ipv4 set dynamicportrange tcp start=10000 num=55535

:: 减少 TIME_WAIT（谨慎，配合业务确认）
reg add "HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" /v TcpTimedWaitDelay /t REG_DWORD /d 30 /f

:: 提高半连接/监听队列（对自研 TCP 服务）
reg add "HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" /v SynAttackProtect /t REG_DWORD /d 1 /f

注意：TIME_WAIT 不是“洪水猛兽”，过度压缩会带来连接复用风险和 NAT 侧问题。我的经验是先看 perfmon 与 netstat，确认确有端口耗尽或 TIME_WAIT 爆棚，再下手。

回滚：

netsh int ipv4 set dynamicportrange tcp start=49152 num=16384
reg delete "HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" /v TcpTimedWaitDelay /f
reg delete "HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" /v SynAttackProtect /f

4.6 IIS 与应用：Keep-Alive、队列、缓冲

对 IIS 7.5：

• HTTP Keep-Alive：确保开启（减少握手开销）
• Queue Length（应用程序池 → 高级设置）：适当拉高（我从 1000 提到 10000）
• Connection Timeout：保持默认或稍调高（避免跨境抖动下频繁重建）
• 静态大对象：启用分块传输与内核缓存，配合 CTCP 效果更佳

PowerShell（v2）不太友好，这部分我主要在 GUI 中修改并导出应用程序池配置备份。

4.7 监控落地与对照测试

PerfMon（数据收集器）我加了：

• TCPv4\Segments Retransmitted/sec
• TCPv4\Segments/sec
• Network Interface\Bytes Total/sec（按口）
• Processor(_Total)\% Processor Time
• Web Service(_Total)\Current Connections（如跑 IIS）

对照测试

• 选择 广东电信 / 广东移动 / 江苏电信 的 3 条样本线路；
• 以 1MB / 10MB / 100MB 的静态对象做单连接下载；
• 同时跑 4 并发/8 并发 连接；
• 叠加查看 P95 TTFB 与重传率；

5. 结果：优化前后对比

下表取峰值时段 30 分钟滚动平均，MTU=1460，CTCP 开，ECN 关（经 A/B，ECN 在本场景无增益）。

为何 ECN 关？

我的 A/B 显示个别省份在回程路径上 ECN 标记触发时，窗口收缩过度，TTFB 反而抖，于是选择保守关闭。

6. 我踩过的坑与“当场”解法

Chimney Offload 把连接“冻住”

现象：连接偶发无进展，抓包显示 ACK 正常但应用层无数据推进。

解法：立刻 chimney=disabled，问题消失。老驱动+TOE 常见雷点。

LSO + 某款防火墙设备→ MSS 异常

现象：LSO 开启时，边界设备错误调整 MSS，导致分片/重传激增。

解法：对该口临时关闭 IPv4 LSO 验证；最终升级边界设备固件后恢复开启。

PMTU 黑洞（ICMP 被挡）

现象：链路偶发卡顿，pathping 显示无明显丢，但 Wireshark 出现大量 “Fragmentation needed but DF set”。

解法：固定 MTU=1460，问题稳定消失。并记录路径节点，给网络提供商报障。

ECN 在个别省份抖动

现象：ECN 开启后，某省用户反馈 TTFB 波动变大。

解法：回退 ecncapability=disabled，保守为先；在可控专线场景再开。

TIME_WAIT 乱调带来的反噬

现象：把 TcpTimedWaitDelay 压得太低（<20s），偶发端口复用碰撞与 LB 行为异常。

解法：用数据说话，确认真正有端口/队列压力再调，且不低于 30s。

7. 变更脚本清单（一键应用/回滚）

apply-optimize.cmd

@echo off
:: 备份
reg export "HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" C:\backup\tcpip_params_%date:~0,10%.reg /y

:: TCP 全局
netsh interface tcp set global congestionprovider=ctcp
netsh interface tcp set global autotuninglevel=normal
netsh interface tcp set global chimney=disabled
netsh interface tcp set global rss=enabled
netsh interface tcp set global netdma=enabled
netsh interface tcp set global ecncapability=disabled

:: 端口与 TIME_WAIT（按需启用）
netsh int ipv4 set dynamicportrange tcp start=10000 num=55535
reg add "HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" /v TcpTimedWaitDelay /t REG_DWORD /d 30 /f

:: MTU（按实测调整接口名与数值）
netsh interface ipv4 set subinterface "Local Area Connection" mtu=1460 store=persistent

:: 打印结果
netsh interface tcp show global
netsh interface ipv4 show interfaces

8. 验证闭环：我如何判定“真有效”

• 同样的时间窗、同样的用户省份分布，至少跑满一个业务峰值时段
• 三维同时下降：P95 TTFB、重传率、连接失败
• 在 Wireshark 上看到窗口更快爬升、SACK 正常、基本无 DF=1 的分片提示
• CPU 降 5–10 个百分点（RSS/中断合并奏效）
• 客服工单下降（最硬的指标）

9. 备选方案（当你能多控一点网络时）

虽然本文聚焦 Windows Server 2008 源站侧，但我也实践过两个“外围增强”，在相同香港机房里非常好用：

旁路 TCP 加速/代理（Linux + BBR/HyStart++）

在同机房拉一台轻量 Linux（内核 5.x，开启 BBR），用 HAProxy/Nginx Stream 做四层代理，将公网入口落在代理，再回源到 2008。

这样“拥塞控制”就交给现代内核处理，Windows 2008 只需稳定收发，收益更稳更大。

边界设备做 MSS Clamp

在防火墙/路由上按接口做 --clamp-mss-to-pmtu 或固定值（如 1360/1400/1460）。

比单机改 MTU 更彻底，能护住全流量。

10. 总结（写给凌晨两点还在机房的人）

高时延 + 轻丢包的跨境访问，先测再改：RTT、丢包、MSS、窗口增长曲线，一个都不能少。

CTCP + RSS +（通常）关 Chimney + 合理 MTU/MSS，是 Windows Server 2008 在香港机房里的黄金四件套。

ECN 要 A/B，不是信仰题；LSO 要看设备链路，不行就关 IPv4 的 LSO 对照。

任何“优化”都必须有可回滚脚本与量化指标，否则只是玄学。

如果你能在源站前面加一层现代 TCP 栈（Linux BBR），跨境体验还能再上一个台阶。

附：我最终保留的关键配置（速查表）

有了这些，你不需要“玄学”，只要按步骤做、用数据说话，跨境访问的卡顿就会被一刀一刀地切下去。