TCP三次握手 四次挥手解析

一.TCP报文格式

TCP报文格式图：

seq:32bits,标识从源端向目的端发送的字节流，发送方发送数据时对此标记

ack:32bits,ACK=1,确认序号字段才有效，Ack = Seq+1

标志位:共6个

• URG:紧急指针有效
• ACK：确认序号有效
• PSH:接收方应该尽快将这个报文交给应用层。
• RST:重置连接
• SYN:发起一个新连接
• FIN:释放一个连接

Note:

（A）不要将确认序号Ack与标志位中的ACK搞混了。
    （B）确认方Ack=发起方Req+1，两端配对。 

二.  三次握手

建立TCP连接，在建立一个TCP连接时需要客户端和服务端总共发送3个包以确认连接的建立。Socket编程中，这一过程有connect触发

• 第一次握手:Client将标志位SYN置1，随机产生一个值seq =j,并将该数据包发送给Server，Client进入SYN_SENT状态，等待Server确认。
• 第二次握手:Server收到数据包后由标志位SYN=1制定Client请求建立链接,Server将SYN和ACK都置为1，ack=j+1,随机产生一个值seq=K,并将该数据包发送给Client，Server进入SYN_RCVD状态
• 第三次握手:Client收到回应包确认后，检查ack是否等于J+1,ACK=1,如果正确则将标志位ACK置1,ack=K+1,并将数据包发送给Server,Server检查ack是否为K+1,ACK是否为1，如果正确则连接建立成功，Client和Server进入ESTABLISHED状态，完成三次握手，随后Client与Server之间可以开始传输数据了。

SYN攻击：
  在三次握手过程中，Server发送SYN-ACK之后，收到Client的ACK之前的TCP连接称为半连接（half-open connect），此时Server处于SYN_RCVD状态，当收到ACK后，Server转入ESTABLISHED状态。SYN攻击就是Client在短时间内伪造大量不存在的IP地址，并向Server不断地发送SYN包，Server回复确认包，并等待Client的确认，由于源地址是不存在的，因此，Server需要不断重发直至超时，这些伪造的SYN包将产时间占用未连接队列，导致正常的SYN请求因为队列满而被丢弃，从而引起网络堵塞甚至系统瘫痪。SYN攻击时一种典型的DDOS攻击，检测SYN攻击的方式非常简单，即当Server上有大量半连接状态且源IP地址是随机的，则可以断定遭到SYN攻击了，使用如下命令可以让之现行：
  #netstat -nap | grep SYN_RECV

三、四次挥手

四次挥手（Four-Way Wavehand）即终止TCP连接，就是指断开一个TCP连接时，需要客户端和服务端总共发送4个包以确认连接的断开。在socket编程中，这一过程由客户端或服务端任一方执行close来触发，整个流程如下图所示：

由于TCP连接时全双工，因此每个方向都必须要单独进行关闭，这一原则是当一方完成数据发送任务后，发送一个FIN来终止这一方向的连接，收到一个FIN只表示这一方向无数据流动，即不会再收到数据，但这个TCP连接仍能够发送，直到这一方向也发送FIN

• 第一次挥手:Client发送一个FIN,用来关闭Client到Server的数据传送，Client进入FIN_WAIT_1状态。
• 第二次挥手：Server收到FIN后，发送一个ACK给Client，确认序号为收到序号+1（与SYN相同，一个FIN占用一个序号），Server进入CLOSE_WAIT状态
  
• 第三次挥手：Server发送一个FIN，用来关闭Server到Client的数据传送，Server进入LAST_ACK状态。
  
• 第四次挥手：Client收到FIN后，Client进入TIME_WAIT状态，接着发送一个ACK给Server，确认序号为收到序号+1，Server进入CLOSED状态，完成四次挥手。
  

建立连接三次握手，关闭连接四次挥手的原因

服务器在listen状态下，收到建立连接请求的SYN报文后，把ACK和SYN放在一个报文里发送给客户端。而关闭连接时，当收到对方的FIN报文时，仅

表示对方不再发送数据了，但是还可以接收数据，己方也未必全部数据都发送给对方了，所以己方可以立即close，也可以发送一些数据给对方后，再发送FIN报文给对方来表示同意现在关闭连接，因此，己方ACK和FIN一般都会分开发送

转载链接：http://www.2cto.com/net/201310/251896.html