Linux TCP_REPAIR：无中断热重载与套接字热迁移架构

在关键的虚拟专用网络基础设施中，边缘网关的高可用性与连续服务是系统设计的核心指标。企业级安全入口、基于 TCP 传输的 WireGuard 备用代理以及多租户流量中继节点，通常需要并发维持数万条长连接 TCP 会话。当工程团队发布关键安全补丁、修复内存泄漏隐患或重构核心网络逻辑时，运维人员往往面临两难抉择：直接重启守护进程将导致所有活跃的加密隧道瞬间中断。

在 Linux 传统的套接字生命周期中，进程调用 close() 或直接退出会导致内核网络栈向远端客户端立即发送 FIN 或 RST 数据包。对于已连接的用户而言，这种强制重置会引发文件传输失败、远程会话断连以及大规模并发重新认证。成千上万个客户端在极短时间内发起重连，会形成剧烈的惊群效应（thundering herd），对网关认证模块和 CPU 算力造成沉重冲击。

传统的平滑过渡方案依赖流量排空（connection draining）：新启动的进程接管新流量，旧进程继续维持存量连接直至其自然终结。然而，企业 VPN 隧道的生命周期极长，极少主动关闭。在生产网关中，连接排空往往耗费数小时甚至数天，严重拖慢关键安全更新的落地。解决这一瓶颈的彻底途径，是在不同进程之间直接且无损地热迁移已建立的活跃套接字。

连接重置困境：守护进程升级与 VPN 会话中断

网络连接在服务更新时的脆弱性，本质上源自传输控制协议（TCP）的有状态特征。与无状态的 UDP 数据包转发不同，每个活跃的 TCP 套接字都在 Linux 内核网络子系统内部维护着一套精密的运行状态：

滑动窗口计数器：由确认序号（snd_una）、发送下一序号（snd_nxt）和接收下一序号（rcv_nxt）组成的序列体系，严格保障字节流按序可靠交付。
动态网络估值器：平滑往返时间（srtt）、时延抖动方差（rttvar）以及拥塞窗口控制参数（snd_cwnd、snd_ssthresh）。
在途传输缓冲区：由内核 sk_buff 链表保存的待确认出站数据和待应用读取的入站数据。

传统进程重启对 VPN 客户端的影响：

[ 客户端应用 ] ──► [ 活跃加密隧道 ] ──► [ 旧守护进程 (PID 101) ]
                                                │
                                         (收到进程退出信号)
                                                │
                                                ▼
[ 客户端应用 ] ◄── [ 收到 TCP RST ] ◄── [ 内核直接注销套接字 ]
       │
 (网络连接中断)
       │
       ▼
 [ 突发重连风暴：数万并发握手请求挤压新进程资源 ]

若网关节点在未迁移状态的情况下直接终止旧进程，内核网络栈会瞬间销毁对应的套接字数据结构。内核向所有远端节点广播 Reset（RST）数据包，撕裂加密信道。对于远程协作员工和自动化系统而言，这直接表现为连接掉线和业务中断。

Linux TCP_REPAIR 架构：套接字冻结的内核机制

为了支撑容器检查点恢复与实时迁移（CRIU 项目），Linux 内核在 SOL_TCP 协议层引入了 TCP_REPAIR 套接字选项。该特性允许具备特定系统权限的进程将已建立的 TCP 套接字置入一种受控的静止状态。

在常规运行模式下，操作系统严禁用户态程序直接改写 TCP 序列号或重置内部计时器，以防范协议攻击和逻辑混乱。然而，当启用 TCP_REPAIR 时，内核会暂停强校验逻辑，允许管理软件读取并重塑内部有限状态机的参数。

TCP 套接字在修复模式下的热迁移生命周期：

[ 正常连接状态 ] ──► setsockopt(fd, SOL_TCP, TCP_REPAIR, TCP_REPAIR_ON)
                             │
                             ▼
                     [ 套接字修复模式 ]
                             │
         ┌───────────────────┴───────────────────┐
         ▼                                       ▼
读取与调整队列序列号                     冻结内核计时器 (RTO、Keepalive)
提取入站与出站缓冲区数据                 拦截内核自动生成 RST 数据包
         │                                       │
         └───────────────────┬───────────────────┘
                             │
                             ▼
[ 新进程接管描述符 ] ──► setsockopt(fd, SOL_TCP, TCP_REPAIR, TCP_REPAIR_OFF)
                             │
                             ▼
                     [ 恢复正常通信状态 ]

1. 冻结套接字计时器并进入修复模式

进入修复模式必须具备网络管理特权（CAP_NET_ADMIN）。管理进程通过 setsockopt() 系统调用启动静默流程：

int repair_mode = 1;
if (setsockopt(sock_fd, SOL_TCP, TCP_REPAIR, &repair_mode, sizeof(repair_mode)) < 0) {
    perror("启用 TCP_REPAIR 模式失败");
    return -1;
}

该指令生效后，内核立即暂停套接字内部的所有计时器。重传超时计时器（RTO）停止递增，保活心跳探测（Keepalive）被压制，零窗口探测计时器同步冻结。此时若客户端有新数据包抵达，内核会将其平稳保存在驱动接收队列中，绝不发送 TCP RST 报文。

2. 检查点捕获与恢复 TCP 队列和序列号

在修复状态下，协调组件可通过 TCP_REPAIR_QUEUE 和 TCP_QUEUE_SEQ 选项，精确提取并校验发送与接收方向的序列号：

uint32_t current_seq;
socklen_t seq_len = sizeof(current_seq);
int queue_target = TCP_SEND_QUEUE;

/* 选定发送队列以读取当前序列号基准 */
setsockopt(sock_fd, SOL_TCP, TCP_REPAIR_QUEUE, &queue_target, sizeof(queue_target));
getsockopt(sock_fd, SOL_TCP, TCP_QUEUE_SEQ, &current_seq, &seq_len);

该接口在实际迁移中承担两项核心职能：

状态快照沉淀：精准记录远端对端已确认的字节偏移量。
状态注入复原：若需要在全新的网络命名空间内重建套接字，目标进程可在恢复通信前将序列号完整注入新实例。

套接字跨进程移交：SCM_RIGHTS 与 CRIU 对比

构建零中断 VPN 网关的核心，在于将活跃的套接字句柄从即将退出的旧进程安全渡送给接任的新守护进程。工程界主要采用两种实践架构。

跨进程套接字移交架构拓扑：

[ 即将退出进程 (Daemon v1) ]
       │  1. setsockopt(TCP_REPAIR, TCP_REPAIR_ON)
       │  2. 提取并序列化会话加密上下文与序列号
       │  3. 通过 sendmsg() 发送带 SCM_RIGHTS 的描述符
       ▼
 [ 本地 UNIX 域套接字通信通道 ]
       │
       ▼  4. 通过 recvmsg() 接收有效文件描述符
[ 新启动进程 (Daemon v2) ]
       │  5. 校验队列序列并挂载至 epoll 监听
       │  6. setsockopt(TCP_REPAIR, TCP_REPAIR_OFF)
       ▼
[ 无感恢复全速网络数据流转发 ]

1. 基于 UNIX 域套接字的文件描述符跨进程传递

在单机环境执行服务升级时，通过 UNIX 域套接字配合 SCM_RIGHTS 控制消息传递文件描述符是开销最小且性能最高的方案。内核无需在用户态复制或重构庞大的网络数据结构，而是直接在进程间共享底层打开文件的索引指针。

旧进程构建包含 SCM_RIGHTS 辅助数据的 struct msghdr，将套接字整数句柄写入其中。新进程调用 recvmsg() 解析消息，即可直接获得指向内核相同套接字结构的文件描述符，内存占用零增长。

2. 状态恢复流水线与退出修复模式

新进程接管文件描述符后，迅速挂载应用层加密状态，将描述符纳入事件驱动框架（如 epoll 或 io_uring），并执行关闭修复模式指令：

int repair_disable = 0;
if (setsockopt(imported_fd, SOL_TCP, TCP_REPAIR, &repair_disable, sizeof(repair_disable)) < 0) {
    perror("退出 TCP_REPAIR 模式失败");
    return -1;
}

指令执行的瞬间，内核根据当前时间戳重新校准动态计时器，恢复被压制的网络队列。积压的出站帧平稳发送至物理网卡，新到达的入站数据包顺畅流向新进程，全程不产生任何字节丢失。

生产落地蓝图：实现零丢包套接字热迁移

在高并发生产网络中实施热升级，需遵循严谨的四阶段工作流：

协同拉起与校验：在旧进程旁拉起新守护进程，在触碰存量连接前预先加载配置文件与加密凭证。
分组受控冻结：按批次将客户端套接字设置为 TCP_REPAIR_ON，避免单次处理过多连接引发短时时延抖动。
IPC 高速过户：通过本地 UNIX 域套接字并发传递套接字描述符与安全上下文。
解冻复苏与收尾：新守护进程调用 TCP_REPAIR_OFF 并将套接字挂载至网络主循环，随后旧进程优雅退出。

无感网关移交时间线时序图：

旧进程                   内核 TCP 状态                   新进程
  │                            │                            │
  ├─ TCP_REPAIR_ON ──────────► │ (计时器静止)                │
  │                            │                            │
  ├─ SCM_RIGHTS fd ───────────────────────────────────────► │ (接收套接字句柄)
  │                            │                            │
  │                            │ ◄── TCP_REPAIR_OFF ────────┤ (计时器重置)
  │                            │                            │
  ├─ (安全退出)                │ (全速转发数据流)           ├─ (处理网络流量)

高可用架构权衡与故障风险规避

落地 TCP_REPAIR 机制需要全面权衡系统复杂度与运行边界：

权限收敛控制：操作修复选项必须具备 CAP_NET_ADMIN。守护进程应在完成热迁移步骤后立即放弃该特权。
客户端重传窗口约束：服务端计时器虽然静止，但客户端本地重传计时器仍在计时。整个交接过程必须控制在 200 至 500 毫秒内，以防触发客户端 RTO 超时。
应用层状态强一致：仅仅保持 TCP 传输层连续性仍不足够，高层安全上下文必须同步迁移。WireGuard 隧道凭据与 TLS 会话密钥必须与描述符同频传递。