tcp连接加深

tcp通过三次握手建立连接和四次握手释放连接

示意图

tcp_flow

标识符含义

流程简述

建立连接(客户端B和服务器A通信)

  1. (B) –> [SYN] –> (A)
    • B首先向A发一个SYN (Synchronize) 标记的包,告诉A请求建立连接。
    • 注意: 一个 SYN包就是仅SYN标记设为1的TCP包(参见TCP包头Resources). 认识到这点很重要,只有当A受到B发来的SYN包,才可建立连接,除此之外别无他法。因此,如果你的防火墙丢弃所有的发往外网接口的SYN包,那么你将不能让外部任何主机主动建立连接。
  2. (B) <– [SYN/ACK] <–(A)
    • A收到后会发一个对SYN包的确认包(SYN/ACK)回去,表示对第一个SYN包的确认,并继续握手操作。
    • 注意: SYN/ACK包是仅SYN 和 ACK 标记为1的包.
  3. (B) –> [ACK] –> (A)
    • B收到SYN/ACK包,B发一个确认包(ACK),通知A连接已建立。至此,三次握手完成,一个TCP连接完成。
    • 注意: ACK包就是仅ACK 标记设为1的TCP包. 需要注意的是当三此握手完成、连接建立以后,TCP连接的每个包都会设置ACK位 这就是为何连接跟踪很重要的原因了. 没有连接跟踪,防火墙将无法判断收到的ACK包是否属于一个已经建立的连接.一般的包过滤(Ipchains)收到ACK包时,会让它通过(这绝对不是个好主意). 而当状态型防火墙收到此种包时,它会先在连接表中查找是否属于哪个已建连接,否则丢弃该包

      关闭连接(客户端B和服务器A通信)

  4. (B) –> ACK/FIN –> (A)
  5. (B) <– ACK <– (A)
  6. (B) <– ACK/FIN <– (A)
  7. (B) –> ACK –> (A)
    • 注意: 由于TCP连接是双向连接, 因此关闭连接需要在两个方向上做。ACK/FIN 包(ACK 和FIN 标记设为1)通常被认为是FIN(终结)包。然而, 由于连接还没有关闭, FIN包总是打上ACK标记。没有ACK标记而仅有FIN标记的包不是合法的包,并且通常被认为是恶意的
    • 四次握手不是关闭TCP连接的唯一方法。有时,如果主机需要尽快关闭连接(或连接超时,端口或主机不可达),RST (Reset)包将被发送。由于RST包不是TCP连接中的必须部分, 可以只发送RST包(即不带ACK标记)。但在正常的TCP连接中RST包可以带ACK确认标记,RST包是可以不要收到方确认。
Table of Contents