Tcp协议关键点整理

最新推荐文章于 2024-05-06 23:24:47 发布

Seanstev

最新推荐文章于 2024-05-06 23:24:47 发布

阅读量419

点赞数

分类专栏：网络文章标签：网络

本文链接：https://blog.csdn.net/qq_27474467/article/details/105586423

版权

网络专栏收录该内容

1 篇文章 0 订阅

订阅专栏

0、目录

1、为什么是三次握手
2、Tcp异常断开及RST 报文
3、time_wait存在意义
4、什么是半连接队列？
5、ISN(Initial Sequence Number)是固定的吗？
6、三次握手过程中可以携带数据吗？
7、SYN攻击是什么？
8、粘包发生在那些情况下？

1、为什么是三次握手

单向传输一次信令的可靠性包括：网络是否允许，对端是否准备好接收和发送。只有通过ack才能确认这种能力。Tcp保证双向可靠通信，所以两端都做一次发送和接收ack。其中第二三步可以合并一步，增加效率。

2、Tcp异常断开及RST 报文

1、尝试与服务器未监听的端口建立TCP连接，服务器将会直接向客户端发送reset报文

2、接收端收到TCP报文，但是发现该TCP的报文，并不在其已建立的TCP连接列表内，则其直接向对端发送reset报文（断电重启场景）(已关闭的链收到漫游报文时返回)

3、在交互中的某一方长期未收到来自对方的确认报文，则在超出一定的重传次数或时间后，会主动向对端发送Reset报文释放Tcp连接

4、在设计系统时，会利用reset报文快速释放已完成数据交互的TCP连接，以提高业务交互的效率

Reset报文的利用

1、安全设备利用reset报文阻断异常连接

3、time_wait存在意义

存在意义：

①因为被动关闭的可能因为ACK没收到而重新发送FIN,主动端最多等待2msl来接收。

②四元组(2 ip+2 port)确定一个链接，需要保证再次建立该TCP链接时，来自该链接先前化身的重复分组(漫游分节)已经在网络中消逝了

为什么time_wait在主动关闭一端？同意义①

2msl(MSL = IP报文段在网络中存在的最大时间）是为了保证接收重发的FIN。2代表 ack返回 + 重发的Fin

4、什么是半连接队列？

服务器第一次收到客户端的 SYN 之后，就会处于 SYN_RCVD 状态，此时双方还没有完全建立其连接，服务器会把此种状态下请求连接放在一个队列里，我们把这种队列称之为半连接队列

服务器发送完SYN-ACK包，如果未收到客户确认包，服务器进行首次重传，等待一段时间仍未收到客户确认包，进行第二次重传。如果重传次数超过系统规定的最大重传次数，系统将该连接信息从半连接队列中删除

5、ISN(Initial Sequence Number)是固定的吗？

当一端为建立连接而发送它的SYN时，它为连接选择一个初始序号。ISN随时间而变化，因此每个连接都将具有不同的ISN。ISN可以看作是一个32比特的计数器，每4ms加1 。这样选择序号的目的在于防止在网络中被延迟的分组在以后又被传送，而导致某个连接的一方对它做错误的解释。

三次握手的其中一个重要功能是客户端和服务端交换 ISN(Initial Sequence Number)，以便让对方知道接下来接收数据的时候如何按序列号组装数据。如果 ISN 是固定的，攻击者很容易猜出后续的确认号，因此 ISN 是动态生成的。

6、三次握手过程中可以携带数据吗？

其实第三次握手的时候，是可以携带数据的。但是，第一次、第二次握手不可以携带数据

假如第一次握手可以携带数据的话，如果有人要恶意攻击服务器，那他每次都在第一次握手中的 SYN 报文中放入大量的数据。，然后疯狂着重复发 SYN 报文的话，这会让服务器花费很多时间、内存空间来接收这些报文。

也就是说，第一次握手不可以放数据，其中一个简单的原因就是会让服务器更加容易受到攻击了。而对于第三次的话，此时客户端已经处于 ESTABLISHED 状态。对于客户端来说，他已经建立起连接了，并且也已经知道服务器的接收、发送能力是正常的了，所以能携带数据。

7、SYN攻击是什么？

服务器端的资源分配是在二次握手时分配的，而客户端的资源是在完成三次握手时分配的，所以服务器容易受到SYN洪泛攻击。SYN攻击就是Client在短时间内伪造大量不存在的IP地址，并向Server不断地发送SYN包，Server则回复确认包，并等待Client确认，由于源地址不存在，因此Server需要不断重发直至超时，这些伪造的SYN包将长时间占用未连接队列，导致正常的SYN请求因为队列满而被丢弃，从而引起网络拥塞甚至系统瘫痪。SYN 攻击是一种典型的 DoS/DDoS 攻击。

检测 SYN 攻击非常的方便，当你在服务器上看到大量的半连接状态时，特别是源IP地址是随机的，基本上可以断定这是一次SYN攻击。在 Linux/Unix 上可以使用系统自带的 netstats 命令来检测 SYN 攻击。