【传输层】TCP三次握手/四次挥手详解

一，TCP(Transmission Control Protocol)　传输控制协议

TCP是主机对主机层的传输控制协议，提供可靠的连接服务，采用三次握手确认建立一个连接:

 

二，三次握手过程

第一次握手：主机A发送位码为SYN＝1，随机产生seq =X 的数据包到服务器，主机B由SYN=1知道，A要求建立联机。（A处于SYN - SENT，B处于LISTEN）

            

第二次握手： 主机B收到请求（根据SYN=1）后要确认联机信息，向A发送ack =(X+1),SYN=1,ACK=1,随机产生seq=Y的包 。（B处于SYN -- RECEIVED）

                 

第三次握手：主机A收到后检查ack是否正确，即第一次发送的seq+1,以及位码ACK是否为1，若正确，主机A会再发送ack =(Y+1),ACK=1，主机B收到后确认seq值与ack=1则连接建立成功。（记住此时SYN！=1）  （A发送完ESTABLISHED，B接受到为ESTABLISHED）

              

完成三次握手，主机A与主机B开始传送数据。一个完整的三次握手也就是 请求---应答---再次确认

 

三，四次挥手：

由于TCP连接是全双工的，因此每个方向都必须单独进行关闭。这个原则是当一方完成它的数据发送任务后就能发送一个FIN来终止这个方向的连接。

收到一个 FIN只意味着这一方向上没有数据流动，一个TCP连接在收到一个FIN后仍能发送数据。首先进行关闭的一方将执行主动关闭，而另一方执行被动关闭。

（1）客户端A发送一个FIN=1，用来关闭客户A到服务器B的数据传送。  （此时A处于FIN - WAIT-1，等待B的FIN=1）

       （2）服务器B收到这个FIN=1，它发回一个ACK=1，确认序号：X+1。   （此时B处于CLOSE - WAIT-1）

       （3）服务器B发送完数据，发送一个FIN=1给客户端A。（此时B处于LAST - ACK，A处于FIN - WAIT-2）

     （4）客户端A发回ACK=1报文确认，并将确认序号设置为收到序号加1   （此时A处于TIME - WAIT，B处于CLOSEED）

 

四，问题汇总

       1．为什么建立连接协议是三次握手，而关闭连接却是四次握手呢？

       这是因为服务端的LISTEN状态下的SOCKET当收到SYN报文的建连请求后，它可以把ACK和SYN（ACK起应答作用，而SYN起同步作用）放在一个报文里来发送。

       但关闭连接时，当收到对方的FIN报文通知时，它仅仅表示对方没有数据发送，但未必所有的数据都全部发送给对方，所以你未必会马上关闭SOCKET，也即你可能还需要发送一些数据给对方，之后再发送FIN报文给对方来表示你同意现在可以关闭连接了，所以它这里的ACK报文和FIN报文多数情况下都是分开发送的。

       2．为什么TIME_WAIT状态还需要等2MSL后才能返回到CLOSED状态？

       这是因为虽然双方都同意关闭连接了，而且握手的4个报文也都协调和发送完毕，按理可以直接回到CLOSED状态（就好比从SYN_SEND状态到ESTABLISH状态那样）；

       但是因为我们必须要假想网络是不可靠的，你无法保证你最后发送的ACK报文会一定被对方收到，因此对方处于LAST_ACK状态下的SOCKET可能会因为超时未收到ACK报文，而重发FIN报文，所以这个TIME_WAIT状态的作用就是用来重发可能丢失的ACK报文。

        3. 什么是2MSL

        MSL是Maximum Segment Lifetime,译为“报文最大生存时间”，他是任何报文在网络上存在的最长时间，超过这个时间报文将被丢弃。

       因为TCP报文（segment）是IP数据报（datagram）的数据部分，而IP头中有一个TTL域，TTL是time to live的缩写，中文可以译为“生存时间”，这个生存时间是由源主机设置初始值但不是存的具体时间，而是存储了一个IP数据报可以经过的最大路由数，每经过一个处理他的路由器此值就减1，当此值为0则数据报将被丢弃，同时发送ICMP报文通知源主机。

       RFC 793中规定MSL为2分钟，实际应用中常用的是30秒，1分钟和2分钟等

       2MSL即两倍的MSL，TCP的TIME_WAIT状态也称为2MSL等待状态，当TCP的一端发起主动关闭，在发出最后一个ACK包后，即第3次握手完成后发送了第四次握手的ACK包后就进入了TIME_WAIT状态，必须在此状态上停留两倍的MSL时间。

       等待2MSL时间主要目的是怕最后一个ACK包对方没收到，那么对方在超时后将重发第三次握手的FIN包，主动关闭端接到重发的FIN包后可以再发一个ACK应答包。

       在TIME_WAIT状态时两端的端口不能使用，要等到2MSL时间结束才可继续使用。

       当连接处于2MSL等待阶段时任何迟到的报文段都将被丢弃。不过在实际应用中可以通过设置SO_REUSEADDR选项达到不必等待2MSL时间结束再使用此端口。

       TTL与MSL是有关系的但不是简单的相等的关系，MSL要大于等于TTL。

       4． SYN攻击

在三次握手过程中，服务器【发送SYN-ACK之后，收到客户端的ACK之前】的TCP连接称为半连接(half-open connect)。此时服务器处于SYN_RECV状态，当收到ACK后，服务器转入ESTABLISHED状态.

SYN攻击就是：攻击客户端在短时间内伪造大量不存在的IP地址，向服务器不断地发送SYN包，服务器回复ACK确认包，并等待客户的确认从而建立连接。由于源地址是不存在的，不会再发送ACK确认包，所以服务器需要不断的重发直至超时，这些伪造的SYN包将长时间占用未连接队列，正常的SYN请求被丢弃，目标系统运行缓慢，严重者引起网络堵塞甚至系统瘫痪。

SYN攻击是一个典型的DDOS攻击。检测SYN攻击非常的方便，当你在服务器上看到大量的半连接状态时，特别是源IP地址是随机的，基本上可以断定这是一次SYN攻击。

在Linux下可以如下命令检测是否被Syn攻击：netstat  -n  -p  TCP | grep SYN_RECV

一般较新的TCP/IP协议栈都对这一过程进行修正来防范SYN攻击，修改tcp协议实现。主要方法有SynAttackProtect保护机制、SYN cookies技术、增加最大半连接和缩短超时时间等。但是不能完全防范syn攻击。