从TCP三次握手说起–浅析TCP协议中的疑难杂症(1)_tcp协议三次握手不会涉及tcp那个分段-程序员宅基地

技术标签: TCP  TCP协议  

引言

 

说到TCP协议,相信大家都比较熟悉了,对于TCP协议总能说个一二三来,但是TCP协议又是一个非常复杂的协议,其中有不少细节点让人头疼点。本文就是来说说这些头疼点的,浅谈一些TCP的疑难杂症。那么从哪说起呢?当然是从三次握手和四次挥手说起啦,可能大家都知道TCP是三次交互完成连接的建立,四次交互来断开一个连接,那为什么是三次握手和四次挥手呢?反过来不行吗?

 

1. 疑症(1)TCP的三次握手、四次挥手

 

下面两图大家再熟悉不过了,TCP的三次握手和四次挥手见下面左边的”TCP建立连接”、”TCP数据传送”、”TCP断开连接”时序图和右边的”TCP协议状态机”

 

TCP三次握手、四次挥手时序图

 

TCP协议状态机

 

要弄清TCP建立连接需要几次交互才行,我们需要弄清建立连接进行初始化的目标是什么。TCP进行握手初始化一个连接的目标是:分配资源、初始化序列号(通知peer对端我的初始序列号是多少),知道初始化连接的目标,那么要达成这个目标的过程就简单了,握手过程可以简化为下面的四次交互:

1)client端首先发送一个SYN包告诉Server端我的初始序列号是X。 
2Server端收到SYN包后回复给client一个ACK确认包,告诉client说我收到了。 
3)接着Server端也需要告诉client端自己的初始序列号,于是Server也发送一个SYN包告诉client我的初始序列号是Y。 
4)Client收到后,回复Server一个ACK确认包说我知道了。

整个过程4次交互即可完成初始化,但是,细心的同学会发现两个问题:

 

[1]. Server发送SYN包是作为发起连接的SYN包,还是作为响应发起者的SYN包呢?怎么区分?比较容易引起混淆

 

[2].Server的ACK确认包和接下来的SYN包可以合成一个SYN ACK包一起发送的,没必要分别单独发送,这样省了一次交互同时也解决了问题[1]. 这样TCP建立一个连接,三次握手在进行最少次交互的情况下完成了Peer两端的资源分配和初始化序列号的交换。

 

大部分情况下建立连接需要三次握手,也不一定都是三次,有可能出现四次握手来建立连接的。如下图,当Peer两端同时发起SYN来建立连接的时候,就出现了四次握手来建立连接(对于有些TCP/IP的实现,可能不支持这种同时打开的情况)。

 

在三次握手过程中,细心的同学可能会有以下疑问:

(2). 初始化序列号X、Y是可以是写死固定的吗,为什么不能呢?

 

(3). 假如Client发送一个SYN包给Server后就挂了或是不管了,这个时候这个连接处于什么状态呢?会超时吗?为什么呢?

 

TCP进行断开连接的目标是:回收资源、终止数据传输。由于TCP是全双工的,需要Peer两端分别各自拆除自己通向Peer对端的方向的通信信道。这样需要四次挥手来分别拆除通信信道,就比较清晰明了了。

1)Client发送一个FIN包来告诉Server我已经没数据需要发给Server了。
2Server收到后回复一个ACK确认包说我知道了。
3)然后server在自己也没数据发送给client后,Server也发送一个FIN包给Client告诉Client我也已经没数据发给client了。
4)Client收到后,就会回复一个ACK确认包说我知道了。

到此,四次挥手,这个TCP连接就可以完全拆除了。在四次挥手的过程中,细心的同学可能会有以下疑问:

(4). Client和Server同时发起断开连接的FIN包会怎么样呢,TCP状态是怎么转移的?

 

(5). 左侧图中的四次挥手过程中,Server端的ACK确认包能不能和接下来的FIN包合并成一个包呢,这样四次挥手就变成三次挥手了。

 

(6). 四次挥手过程中,首先断开连接的一端,在回复最后一个ACK后,为什么要进行TIME_WAIT呢(超时设置是 2*MSL,RFC793定义了MSL为2分钟,Linux设置成了30s),在TIME_WAIT的时候又不能释放资源,白白让资源占用那么长时间,能不能省了TIME_WAIT呢,为什么?

 

2. 疑症(2),TCP连接的初始化序列号能否固定

 

如果初始化序列号(缩写为ISN:Inital Sequence Number)可以固定,我们来看看会出现什么问题。假设ISN固定是1,Client和Server建立好一条TCP连接后,Client连续给Server发了10个包,这10个包不知怎么被链路上的路由器缓存了(路由器会毫无先兆地缓存或者丢弃任何的数据包),这个时候碰巧Client挂掉了,然后Client用同样的端口号重新连上Server,Client又连续给Server发了几个包,假设这个时候Client的序列号变成了5。接着,之前被路由器缓存的10个数据包全部被路由到Server端了,Server给Client回复确认号10,这个时候,Client整个都不好了,这是什么情况?我的序列号才到5,你怎么给我的确认号是10了,整个都乱了。

RFC793中,建议ISN和一个假的时钟绑在一起,这个时钟会在每4微秒对ISN做加一操作,直到超过2^32,又从0开始,这需要4小时才会产生ISN的回绕问题,这几乎可以保证每个新连接的ISN不会和旧的连接的ISN产生冲突。这种递增方式的ISN,很容易让攻击者猜测到TCP连接的ISN,现在的实现大多是在一个基准值的基础上进行随机的。

 

3. 疑症(3),初始化连接的SYN超时问题

 

Client发送SYN包给Server后挂了,Server回给Client的SYN-ACK一直没收到Client的ACK确认,这个时候这个连接既没建立起来,也不能算失败。这就需要一个超时时间让Server将这个连接断开,否则这个连接就会一直占用Server的SYN连接队列中的一个位置,大量这样的连接就会将Server的SYN连接队列耗尽,让正常的连接无法得到处理。目前,Linux下默认会进行5次重发SYN-ACK包,重试的间隔时间从1s开始,下次的重试间隔时间是前一次的双倍,5次的重试时间间隔为1s, 2s, 4s, 8s, 16s,总共31s,第5次发出后还要等32s都知道第5次也超时了,所以,总共需要 1s + 2s + 4s+ 8s+ 16s + 32s = 63s,TCP才会把断开这个连接。由于,SYN超时需要63秒,那么就给攻击者一个攻击服务器的机会,攻击者在短时间内发送大量的SYN包给Server(俗称 SYN flood 攻击),用于耗尽Server的SYN队列。对于应对SYN 过多的问题,linux提供了几个TCP参数:tcp_syncookies、tcp_synack_retries、tcp_max_syn_backlog、tcp_abort_on_overflow 来调整应对。

 

4. 疑症(4) ,TCP的Peer两端同时断开连接

 

由上面的”TCP协议状态机 “图可以看出,TCP的Peer端在收到对端的FIN包前发出了FIN包,那么该Peer的状态就变成了FIN_WAIT1,Peer在FIN_WAIT1状态下收到对端Peer对自己FIN包的ACK包的话,那么Peer状态就变成FIN_WAIT2,Peer在FIN_WAIT2下收到对端Peer的FIN包,在确认已经收到了对端Peer全部的Data数据包后,就响应一个ACK给对端Peer,然后自己进入TIME_WAIT状态;但是如果Peer在FIN_WAIT1状态下首先收到对端Peer的FIN包的话,那么该Peer在确认已经收到了对端Peer全部的Data数据包后,就响应一个ACK给对端Peer,然后自己进入CLOSEING状态,Peer在CLOSEING状态下收到自己的FIN包的ACK包的话,那么就进入TIME WAIT 状态。于是,TCP的Peer两端同时发起FIN包进行断开连接,那么两端Peer可能出现完全一样的状态转移 FIN_WAIT1——>CLOSEING——->TIME_WAIT,也就会Client和Server最后同时进入TIME_WAIT状态。同时关闭连接的状态转移如下图所示:

5. 疑症(5)四次挥手能不能变成三次挥手呢??

 

答案是可能的。TCP是全双工通信,Cliet在自己已经不会在有新的数据要发送给Server后,可以发送FIN信号告知Server,这边已经终止Client到对端Server那边的数据传输。但是,这个时候对端Server可以继续往Client这边发送数据包。于是,两端数据传输的终止在时序上是独立并且可能会相隔比较长的时间,这个时候就必须最少需要2+2 = 4 次挥手来完全终止这个连接。但是,如果Server在收到Client的FIN包后,在也没数据需要发送给Client了,那么对Client的ACK包和Server自己的FIN包就可以合并成为一个包发送过去,这样四次挥手就可以变成三次了(似乎linux协议栈就是这样实现的)

 

6. 疑症(6) TCP的头号疼症TIME_WAIT状态

 

要说明TIME_WAIT的问题,需要解答以下几个问题

 

一、Peer两端,哪一端会进入TIME_WAIT呢?为什么?

 

相信大家都知道,TCP主动关闭连接的那一方会最后进入TIME_WAIT。那么怎么界定主动关闭方呢?是否主动关闭是由FIN包的先后决定的,就是在自己没收到对端Peer的FIN包之前自己发出了FIN包,那么自己就是主动关闭连接的那一方。对于疑症(4) 中描述的情况,那么Peer两边都是主动关闭的一方,两边都会进入TIME_WAIT。为什么是主动关闭的一方进行TIME_WAIT呢,被动关闭的进入TIME_WAIT可以不呢?我们来看看TCP四次挥手可以简单分为下面三个过程

过程一.主动关闭方发送FIN;
过程二.被动关闭方收到主动关闭方的FIN后发送该FIN的ACK,被动关闭方发送FIN;
过程三.主动关闭方收到被动关闭方的FIN后发送该FIN的ACK,被动关闭方等待自己FIN的ACK

问题就在过程三中,据TCP协议规范,不对ACK进行ACK,如果主动关闭方不进入TIME_WAIT,那么主动关闭方在发送完ACK就走了的话,如果最后发送的ACK在路由过程中丢掉了,最后没能到被动关闭方,这个时候被动关闭方没收到自己FIN的ACK就不能关闭连接,接着被动关闭方会超时重发FIN包,但是这个时候已经没有对端会给该FIN回ACK,被动关闭方就无法正常关闭连接了,所以主动关闭方需要进入TIME_WAIT以便能够重发丢掉的被动关闭方FIN的ACK。

 

二、TIME_WAIT状态是用来解决或避免什么问题呢?

 

TIME_WAIT主要是用来解决以下几个问题:

1)上面解释为什么主动关闭方需要进入TIME_WAIT状态中提到的: 主动关闭方需要进入TIME_WAIT以便能够重发丢掉的
被动关闭方FIN包的ACK。如果主动关闭方不进入TIME_WAIT,那么在主动关闭方对被动关闭方FIN包的ACK丢失了的时候,
被动关闭方由于没收到自己FIN的ACK,会进行重传FIN包,这个FIN包到主动关闭方后,由于这个连接已经不存在于主动
关闭方了,这个时候主动关闭方无法识别这个FIN包,协议栈会认为对方疯了,都还没建立连接你给我来个FIN包?于是
回复一个RST包给被动关闭方,被动关闭方就会收到一个错误(我们见的比较多的:connect reset by peer,这里顺便
说下 Broken pipe,在收到RST包的时候,还往这个连接写数据,就会收到 Broken pipe错误了),原本应该正常关闭的
连接,给我来个错误,很难让人接受。
2)防止已经断开的连接1中在链路中残留的FIN包终止掉新的连接2(重用了连接1的所有的5元素(源IP,目的IP,TCP,
源端口,目的端口)),这个概率比较低,因为涉及到一个匹配问题,迟到的FIN分段的序列号必须落在连接2的一方的
期望序列号范围之内,虽然概率低,但是确实可能发生,因为初始序列号都是随机产生的,并且这个序列号是32位的,
会回绕。 
3)防止链路上已经关闭的连接的残余数据包(a lost duplicate packet or a wandering duplicate packet) 干扰
正常的数据包,造成数据流的不正常。这个问题和2)类似。

三、TIME_WAIT会带来哪些问题呢?

 

TIME_WAIT带来的问题注意是源于:一个连接进入TIME_WAIT状态后需要等待2*MSL(一般是1到4分钟)那么长的时间才能断开连接释放连接占用的资源,会造成以下问题

1) 作为服务器,短时间内关闭了大量的Client连接,就会造成服务器上出现大量的TIME_WAIT连接,占据大量的tuple,
严重消耗着服务器的资源。
2) 作为客户端,短时间内大量的短连接,会大量消耗的Client机器的端口,毕竟端口只有65535个,端口被耗尽了,
后续就无法在发起新的连接了。
 (由于上面两个问题,作为客户端需要连本机的一个服务的时候,首选UNIX域套接字而不是TCP)

TIME_WAIT很令人头疼,很多问题是由TIME_WAIT造成的,但是TIME_WAIT又不是多余的不能简单将TIME_WAIT去掉,那么怎么来解决或缓解TIME_WAIT问题呢?可以进行TIME_WAIT的快速回收和重用来缓解TIME_WAIT的问题。有没一些清掉TIME_WAIT的技巧呢?

 

TCP的疑难杂症(2)请看http://www.qcloud.com/blog/?p=1315

版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。
本文链接:https://blog.csdn.net/tengxy_cloud/article/details/52329141

智能推荐

Twitter的用户推荐算法_twitter推荐-程序员宅基地

文章浏览阅读1w次。关于Twitter的用户推荐算法,Quora上的文章有一个说明。算法基本分4步:First and foremost, we looked at who your friends follow, who they talk to, who they RT as gauges of your interest.Then we applied either positive/negative_twitter推荐

sso saml_使用签名的SAML断言实现身份提供者发起的SSO-程序员宅基地

文章浏览阅读2.4k次。随着越来越多的机构和组织在线提供服务和协作,员工需要访问内部部署和基于云的应用程序来进行日常工作。 这就要求实现单一登录(SSO)基础结构,使用户可以登录一次即可访问所有授权的内部和外部资源及应用程序。 具有大量Salesforce用户群的组织可以利用其现有的SSO基础结构将其实施到Force.com平台,该平台支持由外部SSO身份提供商提供的联合身份管理。 Force.com平台支持SSO的..._缺少 saml 持有者断言提供者签名证书

[opencv][原创]关于opencv-python的cv2保存视频不支持H264格式问题探讨_cv2.videowriter 不支持h264-程序员宅基地

文章浏览阅读2.7k次,点赞9次,收藏17次。项目有个不合理要求,能够在chrome浏览器打开播放,但是cv2根本不支持H264,由于版权原因,官方不支持h264格式所以当你使用诸如XVID,MJPG等虽然不影响使用和正常播放,但是就是无法在浏览器里面直接打开观看。查遍全网资料,发现Can you support "H264" codec? · Issue #299 · opencv/opencv-python · GitHub这个全网精华,但是里面尝试了下都不行,因此我得出结论要解决这个问题,只有2条路可行。第一条:源码编译这种方法耗时费_cv2.videowriter 不支持h264

Android实现文本复制到剪切板功能(ClipboardManager)_android] copy history support - clipboard manager,-程序员宅基地

文章浏览阅读4.8k次,点赞2次,收藏4次。Android也有剪切板(ClipboardManager),可以复制一些有用的文本到剪贴板,以便用户可以粘贴的地方使用,下面是使用方法注意:导包的时候API 11之前: android.text.ClipboardManagerAPI 11之后: android.content.ClipboardManager复制代码 代码如下:/** * 实现文本复制功能 _android] copy history support - clipboard manager, paste v5.5剪贴板管理器(12.7 mb)

[C#][原创]pythonnet调用opencv-python图像显示_使用pythonnet调用python版的opecv-程序员宅基地

文章浏览阅读426次。using (Py.GIL()) { dynamic cv2 = Py.Import("cv2"); dynamic image=cv2.imread("D:\\test.png"); cv2.imshow("result",image); cv2.waitKey(0); }_使用pythonnet调用python版的opecv

vue-ssr 远程服务器部署_vue ssr 部署-程序员宅基地

文章浏览阅读1k次,点赞2次,收藏3次。vue-ssr 远程服务器部署项目简介 这里部署的项为 vue(全家桶) + koa + pm2 + nginx (ssr) 服务端渲染模式。部署环境为 SentOS7。 如下讲解匀基于SentOS7.一. 认识SSHSecure Shell(安全外壳协议,简称SSH)是一种加密的网络传..._vue ssr 部署

随便推点

[软件工具][原创]使用软件实现labelme批量json_to_dataset最简单方法_修改labelme_json_to_dataset转换的颜色-程序员宅基地

文章浏览阅读978次。lableme批量转换工具可以很轻松实现将labelme标注的json文件转化为5个文件,即img.png、label.png、info.yaml、labels_name.txt以及label_viz.png。其中软件不需要安装python环境也不需要安装labelme这个软件,因为软件已经剥离labelme核心代码,全部嵌入软件功能中。大家都知道labelme的labelme_json_to_dataset都是针对单个文件转化,但是细心读代码会发现这个对于批量转化有个问题就是不同json转化的同一个目标颜_修改labelme_json_to_dataset转换的颜色

[C#][转载]如何在Ubuntu 18.04上安装Mono Mono develop_mono-dev ubuntu-程序员宅基地

文章浏览阅读578次。如何在Ubuntu 18.04上安装MonoMono是一个基于ECMA / ISO标准开发和运行跨平台应用程序的平台。它是Microsoft .NET框架的免费开源实现。本教程介绍了如何在Ubuntu 18.04上安装Mono。先决条件这些说明假定您以root用户或具有sudo特权的用户身份登录。在Ubuntu上安装Mono在Ubuntu 18.04上安装Mono的最简单和建议的方法是从Mono的存储库中安装它。这是一个相对简单的过程,只需几分钟。 首先安装必要的软件包:._mono-dev ubuntu

最快60秒完成新冠病毒核酸对比 阿里云向社会免费开放基因计算服务_新冠蛋白质序列比对-程序员宅基地

文章浏览阅读1.4k次。全球疫情肆虐,各大科技公司都在竭尽全力抗击疫情。3月13日,阿里云对外宣布,将向医疗科研机构、疾控中心等一线病毒研究机构免费开放基因计算服务,可大幅提升宏基因组测序、疫苗研发相关的处理效率,最快只需60秒即可完成新冠病毒的核酸对比工作。实时荧光定量PCR(RT-PCR)和宏基因组测序(mNGS)是目前用于确诊新型冠状病毒感染的常见方法,PCR操作流程简单、成本低,但准确率较低,mNGS虽然操作..._新冠蛋白质序列比对

cmake 链接 纯C编写的 *.a 静态库_cmake 链接.a-程序员宅基地

文章浏览阅读3.7k次。#cmake 配置if(CMAKE_SIZEOF_VOID_P EQUAL 8) set(_lib_suffix 64)else() set(_lib_suffix 32)endif()include_directories(${CMAKE_SOURCE_DIR}/lib) find_library(XXX_LIB xxxx${_lib_suffix}.a ${C..._cmake 链接.a

沃丰科技全方位赋能智能化体验交流会武汉站:基于AI技术,助力企业数字化转型_施耐德胡慧-程序员宅基地

文章浏览阅读160次。2021年4月23日,由沃丰科技主办的“2021 沃丰科技全方位赋能智能化体验交流会”在武汉成功举行。现场座无虚席,有近百名观众参会,沃丰科技副总裁傅亮、施耐德电气质量与客户满意中心卓越运营部门经理胡慧、统信软件交付中心总监韩辉、沃丰科技产品总监方晓东、沃丰科技产品总监姚广、沃丰科技客户体验咨询专家赵庐山就如何全方位赋能企业智能化做了分享。交流会现场随着新时代新技术不断发展,越来越多的企业将数字化转型作为公司的重要战略方向,积极探索数智化赋能企业新发展的有效路径。沃丰科技多年深耕智能客户体验领域,在数_施耐德胡慧

【超详细讲解】linux安装anaconda和pytorch及常见报错_anaconda3-2021.11-linux-x86_64.sh: 516: syntax err-程序员宅基地

文章浏览阅读5.6k次,点赞12次,收藏22次。一.首先连接服务器在powershell,gitbash或者vscode的命令行中输入命令:ssh 用户名@服务器IP地址二.安装conda//获取安装包wget https://repo.continuum.io/archive/Anaconda3-5.0.1-Linux-x86_64.sh//安装anaconda base命令bash Anaconda3-5.0.1-Linux-x86_64.sh//添加环境变量echo 'export PATH="~/anacond._anaconda3-2021.11-linux-x86_64.sh: 516: syntax error: "(" unexpected (expect

推荐文章

热门文章

相关标签