TCP\IP 数据流与数据包

版权声明:本文为博主原创文章,未经博主允许不得转载。 https://blog.csdn.net/linux_hacher/article/details/77847158

         因为这段时间再看suricata的源码,然后发现自己对数据流与数据包的概念有点模糊,然后到网上去百度,发现网上的解释少得可怜,大多数都是一些名词解释,没什么收获,后来看多了也了解了一些,所以记录下来,如果有不正确指出请指出。

        通常,数据包的概念也是有点模糊,TCP层的包可以叫做数据包,应用层的包也可以叫做数据包,这要看你需要解析的是那个层面的包。

        数据流的概念在百度百科上的解释是这样的:数据流(data stream)最初是通信领域使用的概念,代表传输中所使用的信息的数字编码信号序列。然而,我们所提到的数据流概念与此不同。这个概念最初在1998年由Henzinger在文献87中提出,他将数据流定义为“只能以事先规定好的顺序被读取一次的数据的一个序列”。

        我对数据流的定义是(狭义的wireshack抓的pcap包中了解到的概念):数据流是完整的一次TCP\IP链接,包含多个数据包,从开始的SYN包到最后断开连接的第四次握手的ACK包,这些数据包的负载也就是除去所有的协议头所剩下的数据,是描述完整的一次动作(server 和client 交互的数据),从方向上来说,同方向的数据包的IP和端口都是一致的。

       从上面的描述可以看出,数据流是包含了多个数据包的,而这些包都有相似的特点,所以构成了一个数据流,下面我们看看,pcap包的TCP数据流的描述:

1、打包抓到的pcap包,我没有做筛选,所以可以看到从第一个数据包开始到最后是有很多的包。



2、选择一个数据包,点击右键,选择追踪TCP流。




3、最后经过筛选之后,剩下能看到的就是一个包所属的一个TCP流。




再对照我上面对一个流的定义来看,是不是从第一个包开始,是SYN包,再下来是SYN | ACK 包,再往后看看....是不是一次完整的TCP链接,而且同方向的包的IP和端口是一样的。


阅读更多
想对作者说点什么? 我来说一句

没有更多推荐了,返回首页