TCP/IP协议栈概述及各层包头分析

一、摘要

　　对之前几篇博文涉及到的网络通信协议进行分析，概述出TCP/IP的协议栈模型，最后根据实例对各层包头进行分析。

 

二、标准TCP/IP协议栈模型

　　标准TCP/IP协议是用于计算机通信的一组协议，通常被称为TCP/IP协议栈，以它为基础组建的互联网是目前国际上规模最大的计算机网络。正因为互联网的广泛应用，使得TCP/IP成为了事实上的网络标准。

1、OSI模型和TCP/IP协议模型

　　图1是OSI模型和TCP/IP协议模型的对比。

图1 OSI模型和TCP/IP协议模型

2、TCP/IP协议模型分层

（1）网络接口层

　　TCP/IP协议模型的基层，负责数据帧的发送和接收。对应OSI模型中的物理层和数据链路层，是TCP/IP的最底层，不过通常在描述TCP/IP模型时还是会划分具体为物理层(PHY)和数据链路层(MAC)。

（2）网络层

　　通过互联协议将数据包封装成互联网数据包，并运行必要的路由算法。这里有4种互联协议。

　　(a)网际协议IP：负责在主机和网络之间的路径寻址和数据包路由。

　　(b)地址解析协议ARP：获得同一物理网络中的主机硬件地址。

　　(c)网际控制消息协议ICMP：发送消息，并报告有关数据包的传送错误。

　　(d)互联组管理协议IGMP：用来实现本地多路广播路由器报告。

（3）传输层

　　传输协议在主机之间提供通信会话。传输协议的选择根据数据传输方式而定。主要有以下2种传输协议：

　　(a)传输控制协议TCP：为应用程序提供可靠的通信连接，适用于要求得到响应的应用程序。

　　(b)用户数据包协议UDP：提供无连接通信，且不对传输包进行可靠性确认。

（4）应用层

　　应用程序通过这一层访问网络，主要包括常见的FTP、HTTP、DNS和TELNET协议。

3、TCP/IP协议模型对数据的封装

图2 各层数据包之间的相关性

　　在TCP/IP协议模型的4层协议中，各层数据包封装情况如图2所示。在发送数据时，将数据从最上层到最下层一次打包（加上包头和部分尾部信息）；在接收数据时，则将从数据从最下层到最上层依次拆包（去掉包头和部分尾部信息）。这些打包和拆包操作就是由TCP/IP协议栈实现的。下面根据实例对上述包头进行详细分析。

 

三、TCP/IP协议栈中各层包头的分析

1、获取数据包　　

　　(a) 以“DIY_DE2之DM9000A网卡调试系列例程（二）——DM9000A测试、自收发、实现UDP”为实例

　　获取数据包的方式有两种：通过wireshark抓包工具抓取数据包和通过NIOS II端中断的方式获取PC端发送的数据包，获取的数据包分别如下：

通过wireshark获得：

e0 cb 4e b7 9e d1 01 60

6e 11 02 0f 08 00 45 00

05 d8 00 00 00 00 80 11

b1 97 c0 a8 00 2c c0 a8

02 01 04 00 04 00 05 c4

00 00

　　这42个字节即是该例程的数据发送到PC端的包头，42个字节之后就是有效数据，最后的4个字节则为校验位。通过上述例程语句也能很清楚的分析各个数据的含义。

通过NIOS II端获得：

ff   ff   ff  ff   ff   ff  e0 cb 

4e b7 9e d1 08 00 45 00 

00 1e 3c ac 00 00 80 11 

3b 7a c0 a8 02 01 ff   ff  

ff  ff  04  00 04 00 00 0a

04 31

　　同上。

　　由于该例程主要是实现UDP，所以TCP包头不够明了，为了全面的分析各个包头，将使用下面的例程。

　　(b) 以“DIY_DE2之DM9000A网卡调试系列例程（四）——基于NicheStack协议栈的TCP/IP实现”为实例

　　通过wireshark获取的数据包如下：

00 07 ed ff 06 00 00 0f

ea fd 9f 96 08 00 45 00

00 29 38 13 40 00 40 06 

7d 60 c0 a8 02 0a c0 a8

02 01 18 98 00 17 37 8d

49 3b 00 46 74 e0 50 18

fe d9 ea f7 00 00 32

　　下面将对其做具体分析。

2、MAC包头

　　MAC包头占有14字节，即：

　　00 07 ed ff 06 00 00 0f ea fd 9f 96 08 00

　　很容易看出来 00 07 ed ff 06 00 和 00 0f ea fd 9f 96 分别是DIY_DE2和PC的MAC地址，后面的 08 00，不知道是什么。

3、IP包头

　　IP包头占有20个字节，即：

　　45 00 00 29 38 13 40 00 40 06 7d 60 c0 a8 02 0a c0 a8 02 01

　　(1) “45”，其中“4”是IP协议的版本（Version），说明是IP4。“5”是IHL位，表示IP头部的长度，是一个4bit字段，最大就是1111了，值为12，IP头部的最大长度就是60字节。而这里为“5”，说明是20字节，这是标准的IP头部长度，头部报文中没有发送可选部分数据。　

　　(2) “00”，服务类型（Type of Service）。这个8bit字段由3bit的优先权子字段（现在已经被忽略），4 bit的TOS子字段以及1 bit的未用字段（现在为0）构成.4 bit的TOS子字段包含：最小延时、最大吞吐量、最高可靠性以及最小费用构成，这四个1bit位最多只能有一个为1，本例中都为0，表示是一般服务。　

　　(3) “00 29”，IP数据报文总长，包含头部以及数据，这里表示41字节。这41字节由20字节的IP头部以及21字节的TCP头构成（最后的一个字节为数据）。因此目前最大的IP数据包长度是65535字节。　

　　(4) “38 13”，两个字节的标志位，这个是让目的主机来判断新来的分段属于哪个分组。　

　　(5) “40”，转换为二进制就是“0100 0000”，其中第一位是IP协议目前没有用上的，为0。接着的是两个标志DF和MF。DF为1表示不要分段，MF为1表示还有进一步的分段（本例为0）。然后的“0 0000”是分段便移（Fragment Offset）。　

　　(6) “00”，待定。

　　(7) “40”这个字节就是TTL（Time To Live）了，表示一个IP数据流的生命周期，用Ping显示的结果，能得到TTL的值，很多文章就说通过TTL位来判别主机类型。因为一般主机都有默认的TTL值，不同系统的默认值不一样。比如WINDOWS为128。不过，一般Ping得到的都不是默认值，这是因为每次IP数据包经过一个路由器的时候TTL就减一，当减到0时，这个数据包就消亡了。这也时Tracert的原理。本例中为“40”，转换为十进制就是64了，我用的WinXP。　

　　(8) “06”，这个字节表示传输层的协议类型（Protocol）。在RFC790中有定义，6表示传输层是TCP协议。　

　　(9) “7d 60”这个16bit是头校验和（Header Checksum）。　

　　(10) “c0 a8 02 0a”，这个是源地址，也就是PC的IP地址，转换为十进制的IP地址就是：192.168.2.10。

　　(11) “c0 a8 02 01”，这个是目标地址，也就是DIY_DE2的地址，转换为十进制的IP地址就是：192.168.2.1。

4、TCP包头

　　TCP包头占有20个字节，即：

　　18 98 00 17 37 8d 49 3b 00 46 74 e0 50 18 fe d9 ea f7 00 00

　　(1) “18 98”，表示本地端口号，转换为十进制就是3368。

　　(2) “00 15”，表示目标端口号，转换为十进制就是23，因为我是连接TELNET站点，所以，这个就是23。

　　(3) “37 8d 49 3b”，是顺序号（Sequence Number），简写为SEQ。

　　(4) “00 46 74 e0”，是确认号（Acknowledgment Number），简写为ACKNUM。

　　(5) “50 18”，转换为二进制，“0101 0000 0001 1000”。这两个字节，总共16bit，有好多东西。第一个4bit“0101”，是TCP头长，十进制为5，表示20个字节。接着的6bit现在TCP协议没有用上，都为0。最后的6bit“01 1000”是六个重要的标志。这是两个计算机数据交流的信息标志。接收和发送断根据这些标志来确定信息流的种类。下面是一些介绍：　

　　URG：（Urgent Pointer field significant）紧急指针。用到的时候值为1，用来处理避免TCP数据流中断。

　　ACK：（Acknowledgment fieldsignificant）置1时表示确认号（AcknowledgmentNumber）为合法，为0的时候表示数据段不包含确认信息，确认号被忽略。

　　PSH：（Push Function），PUSH标志的数据，置1时请求的数据段在接收方得到后就可直接送到应用程序，而不必等到缓冲区满时才传送。

　　RST：（Reset the connection）用于复位因某种原因引起出现的错误连接，也用来拒绝非法数据和请求。如果接收到RST位时候，通常发生了某些错误。　

　　SYN：（Synchronize sequence numbers）用来建立连接，在连接请求中，SYN=1，ACK=0，连接响应时，SYN=1，ACK=1。即，SYN和ACK来区分Connection Request和Connection Accepted。　

　　FIN：（No more data from sender）用来释放连接，表明发送方已经没有数据发送了。　

　　这6个标志位，对号入座。本例中SYN=0，ACK=1，当然就是表示连接请求了。在分析TCP包头时候，要注意这两位的变换。　

　　(6) “fe d9”，窗口值，用来控制实现流量控制。

　　(7) “ea f7”，检验和，TCP的检验和是强制的。

　　(8) “00 00”，紧急指针。

其中，Protocol列表示的是该数据包最高层对应的协议，Length列表示该包的长度（包括从底层的协议到最高层的协议，其中包头一般是，链路层14字节，IP20字节，TCP20字节）

---

　　TPC/IP协议是传输层协议，主要解决数据如何在网络中传输，而HTTP是应用层协议，主要解决如何包装数据。关于TCP/IP和HTTP协议的关系，网络有一段比较容易理解的介绍：“我们在传输数据时，可以只使用（传输层）TCP/IP协议，但是那样的话，如果没有应用层，便无法识别数据内容，如果想要使传输的数据有意义，则必须使用到应用层协议，应用层协议有很多，比如HTTP、FTP、TELNET等，也可以自己定义应用层协议。WEB使用HTTP协议作应用层协议，以封装HTTP 文本信息，然后使用TCP/IP做传输层协议将它发到网络上。”

　　术语TCP/IP代表传输控制协议/网际协议，指的是一系列协议。“IP”代表网际协议，TCP和UDP使用该协议从一个网络传送数据包到另一个网络。把 IP想像成一种高速公路，它允许其它协议在上面行驶并找到到其它电脑的出口。 TCP和UDP是高速公路上的“卡车”，它们携带的货物就是像HTTP，文件传输协议FTP这样的协议等。 

    你应该能理解，TCP和UDP是FTP，HTTP和SMTP之类使用的传输层协议。虽然TCP和UDP都是用来传输其他协议的，它们却有一个显著的不同：TCP提供有保证的数据传输，而UDP不提供。这意味着TCP有一个特殊的机制来确保数据安全的不出错的从一个端点传到另一个端点，而UDP不提供任何这样的保证。

    HTTP(超文本传输协议)是利用TCP在两台电脑(通常是Web服务器和客户端)之间传输信息的协议。客户端使用Web浏览器发起HTTP请求给Web服务器，Web服务器发送被请求的信息给客户端。

　　下面的图表试图显示不同的TCP/IP和其他的协议在最初OSI模型中的位置：

7	应用层	例如HTTP、SMTP、SNMP、FTP、Telnet、SIP、SSH、NFS、RTSP、XMPP、Whois、ENRP
6	表示层	例如XDR、ASN.1、SMB、AFP、NCP
5	会话层	例如ASAP、TLS、SSH、ISO 8327 / CCITT X.225、RPC、NetBIOS、ASP、Winsock、BSD sockets
4	传输层	例如TCP、UDP、RTP、SCTP、SPX、ATP、IL
3	网络层	例如IP、ICMP、IGMP、IPX、BGP、OSPF、RIP、IGRP、EIGRP、ARP、RARP、 X.25
2	数据链路层	例如以太网、令牌环、HDLC、帧中继、ISDN、ATM、IEEE 802.11、FDDI、PPP
1	物理层	例如线路、无线电、光纤、信鸽

 

1、HTTP协议的几个重要概念
 1.连接(Connection)：一个传输层的实际环流，它是建立在两个相互通讯的应用程序之间。
 2.消息(Message)：HTTP通讯的基本单位，包括一个结构化的八元组序列并通过连接传输。
 3.请求(Request)：一个从客户端到服务器的请求信息包括应用于资源的方法、资源的标识符和协议的版本号
 4.响应(Response)：一个从服务器返回的信息包括HTTP协议的版本号、请求的状态(例如“成功”或“没找到”)和文档的MIME类型。
 5.资源(Resource)：由URI标识的网络数据对象或服务。
 6.实体(Entity)：数据资源或来自服务资源的回映的一种特殊表示方法，它可能被包围在一个请求或响应信息中。一个实体包括实体头信息和实体的本身内容。
 7.客户机(Client)：一个为发送请求目的而建立连接的应用程序。
 8.用户代理(Useragent)：初始化一个请求的客户机。它们是浏览器、编辑器或其它用户工具。
 9.服务器(Server)：一个接受连接并对请求返回信息的应用程序。
 10.源服务器(Originserver)：是一个给定资源可以在其上驻留或被创建的服务器。
 11.代理(Proxy)：一个中间程序，它可以充当一个服务器，也可以充当一个客户机，为其它客户机建立请求。请求是通过可能的翻译在内部或经过传递到其它的服务器中。一个代理在发送请求信息之前，必须解释并且如果可能重写它。
 代理经常作为通过防火墙的客户机端的门户，代理还可以作为一个帮助应用来通过协议处理没有被用户代理完成的请求。
 12.网关(Gateway)：一个作为其它服务器中间媒介的服务器。与代理不同的是，网关接受请求就好象对被请求的资源来说它就是源服务器；发出请求的客户机并没有意识到它在同网关打交道。
 网关经常作为通过防火墙的服务器端的门户，网关还可以作为一个协议翻译器以便存取那些存储在非HTTP系统中的资源。
 13.通道(Tunnel)：是作为两个连接中继的中介程序。一旦激活，通道便被认为不属于HTTP通讯，尽管通道可能是被一个HTTP请求初始化的。当被中继的连接两端关闭时，通道便消失。当一个门户(Portal)必须存在或中介(Intermediary)不能解释中继的通讯时通道被经常使用。
 14.缓存(Cache)：反应信息的局域存储。

 2.发送请求
 打开一个连接后，客户机把请求消息送到服务器的停留端口上，完成提出请求动作。
 HTTP/1.0 请求消息的格式为：
 请求消息=请求行(通用信息|请求头|实体头)CRLF[实体内容]
 请求 行=方法 请求URL HTTP版本号 CRLF
 方 法=GET|HEAD|POST|扩展方法
 U R L=协议名称+宿主名+目录与文件名
 请求行中的方法描述指定资源中应该执行的动作，常用的方法有GET、HEAD和POST。不同的请求对象对应GET的结果是不同的，对应关系如下：
 对象 GET的结果
 文件 文件的内容
 程序 该程序的执行结果
 数据库查询 查询结果
 HEAD??要求服务器查找某对象的元信息，而不是对象本身。
 POST??从客户机向服务器传送数据，在要求服务器和CGI做进一步处理时会用到POST方法。POST主要用于发送HTML文本中FORM的内容，让CGI程序处理。
 一个请求的例子为：
 GEThttp://networking.zju.edu.cn/zju/index.htmHTTP/1.0 networking.zju.edu.cn/zju/index.htmHTTP/1.0 头信息又称为元信息，即信息的信息，利用元信息可以实现有条件的请求或应答。
 请求头??告诉服务器怎样解释本次请求，主要包括用户可以接受的数据类型、压缩方法和语言等。
 实体头??实体信息类型、长度、压缩方法、最后一次修改时间、数据有效期等。
 实体??请求或应答对象本身。
 3.发送响应
 服务器在处理完客户的请求之后，要向客户机发送响应消息。
 HTTP/1.0的响应消息格式如下：
 响应消息=状态行(通用信息头|响应头|实体头) CRLF 〔实体内容〕
 状态行=HTTP版本号 状态码 原因叙述
 状态码表示响应类型
 1×× 保留
 2×× 表示请求成功地接收
 3×× 为完成请求客户需进一步细化请求
 4×× 客户错误
 5×× 服务器错误
 响应头的信息包括：服务程序名，通知客户请求的URL需要认证，请求的资源何时能使用。
 4.关闭连接
 客户和服务器双方都可以通过关闭套接字来结束TCP/IP对话