TCP/IP三次握手与四次挥手

一、三次握手

     所谓三次握手即建立TCP连接，就是在建立TCP连接的时候，需要客户端和服务端总共发送3个确认包以确认连接的建立。在socket过程中，由客户端执行connect来触发。如图1所示。

                          图1     Tcp三次握手  

      SYN ：发起一个新连接

       seq：序号

        ack：确认序号

       ACK：确认序号有效

（1）第一次握手：客户端将标志位SYN置为1，随机产生一个值seq=J，并将该数据包发送给服务器端，客户端进入到SYN_SENT状态，等待server确认。

（2）第二次握手：Server收到数据包后由标志位SYN=1知道客户端请求建立连接，服务器端将标志位SYN和ACK都置为1，ack=j+1，随机产生一个值seq=k，并将该数据包发             送给客户端连接请求，服务端进入SYN_RCVD状态。

 （3）第三次握手：客户端收到确认后，检查ACK是否为1,ack是否为K+1，如果正确则建立连接成功，客户端和服务端进入ESTABLISHED状态，完成第三次握手，随后客户端与服务端之间可以开始传输数据了。

SYN攻击：

        在三次握手过程中，Server发送SYN-ACK之后，收到客户端的ACK之前的TCP连接称为半连接，此时服务端处于SYN-RCVD状态，当收到ACK后，服务端转入ESTABLISHED状态。SYN攻击就是客户端在短时间内伪造大量不存在的IP地址，并向服务端不断地发送SYN包，服务端回复确认包，并等待客户端的确认，由于源地址是不存在的，因此，服务端需要不断重发直至超时，这些伪造的SYN包将产生时间占用未连接队列，导致正常的SYN请求因为队列满而被丢弃，从而引起网络堵塞甚至系统瘫痪。SYN攻击时一种典型的DDOS攻击，检测SYN攻击的方式非常简单，即当服务端上有大量半连接状态且源IP地址是随机的，则可以断定遭到SyN攻击了，使用如下命令可以让之现行：#netstat -nap|  grep SYN-RECV

二、四次挥手

        所谓四次握手，即终止TCP连接，就是指断开一个TCP连接时，需要客户端和服务端总共发送4个包以确认连接的断开。在socket编程中，这一过程由客户端或服务端任一方执行close来触发，整个流程如下图所示：

图2    TCP 四次挥手

由于TCP连接是全双工的，因此，每个方向都必须要单独进行关闭，这一原则是当一方完成数据发送任务之后，发送一个FIN来终止这一方向的连接，收到一个FIN只是意味着这一方向上没有数据流动了，即不会再收到数据了，但是在这个TCP连接上仍然能够发送数据，直到这一方向也发送了FIN。

（1）第一次挥手：客户端发送一个FIN，用来关闭客户端到服务端的数据传送，客户端进入FIN_WAIT_1状态。

（2）第二次挥手：服务端收到FIN后，发送一个ACK给客户端，确认序号为收到序号+1（与SYN相同，一个FIN占用一个序号），服务端进入CLOSE_WAIT状态。

（3）第三次挥手：服务端发送一个FIN，用来关闭服务端到客户端的数据传送，服务端进入LAST_ACK。

（4）第四次挥手：客户端收到FIN后，客户端进入TIME_WAIT状态，接着发送一个ACK给Server，确认序号为收到序号+1,Server进入CLOSED状态，完成四次挥手。

三、附注

        （1）三次握手是什么或者流程？四次握手呢？答案前面分析就是。
        （2）为什么建立连接是三次握手，而关闭连接却是四次挥手呢？
        这是因为服务端在LISTEN状态下，收到建立连接请求的SYN报文后，把ACK和SYN放在一个报文里发送给客户端。而关闭连接时，当收到对方的FIN报文时，仅仅表示对方不再发送数据了但是还能接收数据，己方也未必全部数据都发送给对方了，所以己方可以立即close，也可以发送一些数据给对方后，再发送FIN报文给对方来表示同意现在关闭连接，因此，己方ACK和FIN一般都会分开发送。