令人无比郁闷的tcp Reset是如何产生的

前几天“温习”和“胡萝卜”一度在Google热门词汇里面排在前两位，因为大家发现只要搜索一下这两个词，竟然Google网站就被Reset了。神奇的国度总是有些稀奇古怪的事情！

看看这个Reset是什么来的吧，这里的“Reset”其实是tcp的一种消息之一，用于重置连接，一般来说比如服务器端没有客户端请求的端口或者其他信息不符合时，系统的tcp协议栈就会给客户端回复一个reset通知消息。本来用于应对比如说服务器意外重启等情况的。但很多防火墙系统也用来禁止客户端的连接，如果防火墙发现网络包的规则被触发之后，就可以回一个reset消息让客户端的tcp连接被重置（也就是说断开连接）。这样比直接把网络包丢弃要好，因为直接丢弃的话，客户端并不知道具体网络状况，由于tcp的重发和超时机制，客户端就会在那里不停的等待，客户体验很不好。而收到reset客户端是可以知道网络被断开的就不用再等待了，浏览器也可以提示你连接被reset。很命令我们大名鼎鼎的GFW监控到http协议网络包中的“胡萝卜”关键词了，他就回复一个reset消息给我们了，而我们的客户端却分不清这个是服务器的回复还是防火墙的虚假reset。

看看linux的iptable里面是怎么发送一个reset消息的吧。

http://lxr.linux.no/linux+v2.6.33/net/ipv4/netfilter/ipt_REJECT.c

/* Send RST reply */
35static void send_reset(struct sk_buff *oldskb, int hook)
36{
37        struct sk_buff *nskb;
38 const struct iphdr *oiph;
39        struct iphdr *niph;
40        const struct tcphdr *oth;
41        struct tcphdr _otcph, *tcph;
42        unsigned int addr_type;
43
44        /* IP header checks: fragment. */
45        if (ip_hdr(oldskb)->frag_off & htons(IP_OFFSET))
46                return;
47
48        oth = skb_header_pointer(oldskb, ip_hdrlen(oldskb),
49                                 sizeof(_otcph), &_otcph);
50        if (oth == NULL)
51                return;
52
53        /* No RST for RST. */
54        if (oth->rst)
55                return;
56
57        /* Check checksum */
58        if (nf_ip_checksum(oldskb, hook, ip_hdrlen(oldskb), IPPROTO_TCP))
59                return;
60        oiph = ip_hdr(oldskb);
61
62        nskb = alloc_skb(sizeof(struct iphdr) + sizeof(struct tcphdr) +
63                         LL_MAX_HEADER, GFP_ATOMIC); //新申请一个skb缓冲
64        if (!nskb)
65                return;
66
67        skb_reserve(nskb, LL_MAX_HEADER);
68
69        skb_reset_network_header(nskb);
70        niph = (struct iphdr *)skb_put(nskb, sizeof(struct iphdr));
71        niph->version   = 4;
72        niph->ihl       = sizeof(struct iphdr) / 4;
73        niph->tos       = 0;
74        niph->id        = 0;
75        niph->frag_off = htons(IP_DF);
76        niph->protocol = IPPROTO_TCP;
77        niph->check     = 0;
78        niph->saddr     = oiph->daddr;
79        niph->daddr     = oiph->saddr;
80
81        tcph = (struct tcphdr *)skb_put(nskb, sizeof(struct tcphdr));
82        memset(tcph, 0, sizeof(*tcph));
83        tcph->source    = oth->dest;              //根据需要reset的包反过来填写接受地址和发送方地址
84        tcph->dest      = oth->source;
85        tcph->doff      = sizeof(struct tcphdr) / 4;
86
87        if (oth->ack)
88                tcph->seq = oth->ack_seq;     //
89        else {
90                tcph->ack_seq = htonl(ntohl(oth->seq) + oth->syn + oth->fin +
91                                      oldskb->len - ip_hdrlen(oldskb) -
92                                      (oth->doff << 2));
93                tcph->ack = 1;     //是不是回应包，上面计算确认序号
94        }
95
96        tcph->rst       = 1;      //reset就是这样来的 ？
97        tcph->check     = tcp_v4_check(sizeof(struct tcphdr),
98                                       niph->saddr, niph->daddr,
99                                       csum_partial(tcph,
100                                                    sizeof(struct tcphdr), 0));    //计算tcp校验
101
102        addr_type = RTN_UNSPEC;
103        if (hook != NF_INET_FORWARD
104#ifdef CONFIG_BRIDGE_NETFILTER
105            || (nskb->nf_bridge && nskb->nf_bridge->mask & BRNF_BRIDGED)
106#endif
107           )
108                addr_type = RTN_LOCAL;
109
110        /* ip_route_me_harder expects skb->dst to be set */
111        skb_dst_set(nskb, dst_clone(skb_dst(oldskb)));
112
113        if (ip_route_me_harder(nskb, addr_type))
114                goto free_nskb;
115
116        niph->ttl       = dst_metric(skb_dst(nskb), RTAX_HOPLIMIT);
117        nskb->ip_summed = CHECKSUM_NONE;
118
119        /* "Never happens" */
120        if (nskb->len > dst_mtu(skb_dst(nskb)))
121                goto free_nskb;
122
123        nf_ct_attach(nskb, oldskb);
124
125        ip_local_out(nskb);   //把reset包发送出去
126        return;
127
128 free_nskb:
129        kfree_skb(nskb);
130}