计算机网路：有关Tcp三次握手四次挥手[带图]（为什么三次握手，什么是SYN攻击，如果三次失败怎么办，为什么四次挥手）

Tcp三次握手四次挥手

Tcp发送数据分为三个阶段：
	1.建立连接：三次握手建立连接
	2.发送数据
	3.断开连接：四次挥手关闭连接

1.三次握手流程

建立连接过程

相当于两个人之间通过双重确认来确认身份
A：B，是你吗
B : 是我啊，给你比心
A：也给你比心

• 客户端就相当于上文中的A，服务端就相当于上文中的B
• 客户端和服务端一共发送三次报文来确认连接，这三次报文传送过程被称为三次握手

1. 第一次握手：客户端向服务端发送报文请求建立连接，进入SYN_SEND状态
2. 第二次握手：服务端向客户端发送报文确认建立连接，进入SYN_RCVD状态，
   在收到客户到数据报之前的连接为半连接状态
3. 第三次握手：客户端向服务端发送报文确认建立连接，进入ESTABLISHED状态，
   服务端收到报文后检查正确性，如果正确同样进入ESTABLISHED状态

Question：如果三次握手失败怎么办
三次握手失败一般是客户端没有收到服务端发送来的报文
但是超时后服务端不会重新发送ack，而是发送RTS报文，并进入closed状态
客户端收到请求后，也会进入到closed状态
同时可以避免SYN攻击

1.什么是SYN攻击

SYN攻击发生在第二次握手之后，服务端为SYN_RCVD状态之后
SYN攻击就是客户端(Client)在短时间内伪造大量不存在的IP地址，并向服务端(Server)不断地发送SYN包，Server回复确认包，并等待Client的确认，由于源地址是不存在的，因此，Server需要不断重发直至超时，这些伪造的SYN包将长时间占用未连接队列，导致正常的SYN请求因为队列满而被丢弃，从而引起网络堵塞甚至系统瘫痪。SYN攻击时一种典型的DDOS攻击。

检测SYN攻击

检测SYN攻击的方式非常简单，即当Server上有大量半连接状态且源IP地址是随机的，则可以断定遭到SYN攻击了
使用如下命令可以让之现行：
#netstat -nap | grep SYN_RECV //查看状态

2.针对SYN攻击的解决方案

1. 无效连接监视释放
2. 延缓TCB分配方法

有关TCB分配
当开放了一个TCP端口后，该端口就处于Listening状态，不停地监视发到该端口的Syn报文，
一旦接收到Client发来的Syn报文，就需要为该请求分配一个TCB（Transmission Control Block），并返回一个SYN ACK命令，立即转为SYN-RECEIVED即半开连接状态。
通常一个TCB至少需要280个字节，在某些操作系统中TCB甚至需要1300个字节，而某些操作系统在SOCK的实现上最多可开启512个半开连接。
消耗服务器资源主要是因为当SYN数据报文一到达，系统立即分配TCB，从而占用了资源。

解决：
收到SYN数据报文时不急于去分配TCB，而是先回应一个SYN+ACK报文，并在一个专用HASH表（Cache）中保存这种半开连接信息，直到收到正确的回应ACK报文再分配TCB

3. 使用SYN Proxy防火墙

很多防火墙中都提供一种SYN代理的功能，其主要原理是对试图穿越的SYN请求进行验证后才放行

2.发送数据

该阶段为数据传输阶段

3.断开连接

由于TCP连接时全双工的，因此，每个方向都必须要单独进行关闭，这一原则是当一方完成数据发送任务后，发送一个FIN来终止这一方向的连接，收到一个FIN只是意味着这一方向上没有数据流动了，即不会再收到数据了，但是在这个TCP连接上仍然能够发送数据，直到这一方向也发送了FIN。首先进行关闭的一方将执行主动关闭，而另一方则执行被动关闭，上图描述的即是如此。

1. 第一次挥手：Client发送一个FIN，用来关闭Client到Server的数据传送，Client进入FIN_WAIT_1状态。
2. 第二次挥手：Server收到FIN后，发送一个ACK给Client，确认序号为收到序号+1（与SYN相同，一个FIN占用一个序号），Server进入CLOSE_WAIT状态。
3. 第三次挥手：Server发送一个FIN，用来关闭Server到Client的数据传送，Server进入LAST_ACK状态。
4. 第四次挥手：Client收到FIN后，Client进入TIME_WAIT状态，接着发送一个ACK给Server，确认序号为收到序号+1，Server进入CLOSED状态，完成四次挥手。

1.为什么连接的时候是三次握手，关闭的时候却是四次握手？

这是因为服务端在LISTEN状态下，收到建立连接请求的SYN报文后，把ACK和SYN放在一个报文里发送给客户端。
而关闭连接时，当收到对方的FIN报文时，仅仅表示对方不再发送数据了但是还能接收数据，
己方也未必全部数据都发送给对方了，所以己方可以立即close，也可以发送一些数据给对方后，
再发送FIN报文给对方来表示同意现在关闭连接，因此，己方ACK和FIN一般都会分开发送。

2.为什么TIME_WAIT状态需要经过2MSL(最大报文段生存时间)才能返回到CLOSE状态？

表面上四个报文都发送完毕，我们可以直接进入CLOSE状态了，
但是我们必须假象网络是不可靠的，有可以最后一个ACK丢失。
所以TIME_WAIT状态就是用来重发可能丢失的ACK报文。