TCP三次握手、四次挥手详解（Wireshark实践）

这篇具有很好参考价值的文章主要介绍了TCP三次握手、四次挥手详解（Wireshark实践）。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

一、ACK、SYN、FIN等标识位

wireshark抓包三次握手四次挥手,网络安全,tcp/ip,网络,服务器
ACK (Acknowledge character，确认字符）在数据通信中，接收站发给发送站的一种传输类控制字符。表示发来的数据已确认接收无误。TCP协议规定，只有ACK=1时有效，也规定连接建立后所有发送的报文的ACK必须为1。

SYN(synchronization，同步) 在连接建立时用来同步序号。
当SYN=1而ACK=0时，表明这是一个连接请求报文段。对方若同意建立连接，则应在响应的报文段中使SYN=1和ACK=1。
因此，SYN置为1就表示这是一个连接请求或连接接受报文。

FIN （finish，终结）用来释放一个连接。
当 FIN = 1 时，表明此报文段的发送方的数据已经发送完毕，并要求释放连接。

RST (ReSeT)，复位，当RST = 1时，表明TCP 连接中出现严重差错(如主机崩溃或其他原因)，必须释放连接，然后再重新建立运输连接。将RST置为1还用来拒绝一个非法的报文段或拒绝打开一个连接。RST也可称为重建位或重置位。

URG：紧急指针（ urgent pointer）有效。
PSH：接收方应该尽快将这个报文段交给应用层。

确认号 （Acknowledgment Number）占4字节，是期望收到对方下一个报文段的第一个数据字节的序号。
若确认号=N，则表明：到序号N-1为止的所有数据都已正确收到。

二、TCP报文实例

wireshark抓包三次握手四次挥手,网络安全,tcp/ip,网络,服务器

三、三次握手

wireshark抓包三次握手四次挥手,网络安全,tcp/ip,网络,服务器
1、客户端发送连接请求报文段，无应用层数据。
SYN=1，seq=x(随机)

2、服务器端为该TCP连接分配缓存和变量，并向客户端返回确认报文段，允许连接，无应用层数据。小写的ack表示确认号。
SYN=1，ACK=1，seq=y(随机)，ack=x+1

3、客户端为该TCP连接分配缓存和变量，并向服务器端返回确认的确认，可以携带数据。后面发数据时SYN均为0。
SYN=0，ACK=1，seq=x+1，ack=y+1

注：SYN Cookie是专门用来防范SYN Flood攻击的一种手段。三次握手的核心是：确认每一次包的序列号。

TCP 在连接建立时所发送的第一个 SYN 报文段只有首部，其数据部分是空的，但为什么 SYN 报文段要消耗一个序号呢？

解答： TCP 在连接建立时所发送的第一个 SYN 报文段是一个控制报文段，其主要目的是为了和对方建立同步，并明确自己采用的初始序号。这个报文段没有数据部分。按理说，好像这个 SYN 报文段不需要序号。但是 SYN 报文段非常重要，是不允许丢失的（传错了或丢了就要重传，否则无法建立连接），所以必须进行编号。虽然 SYN 报文段没有数据部分，只有首部，但我们可以想象 SYN 报文段包含一个虚字节的数据，因此给 SYN 报文段一个序号，让SYN 报文段消耗一个序号。当对方收到序号为x的SYN 报文段后给出的确认就应当是ack =x + 1。发送方收到这个确认，就知道发送的 SYN 报文段已正确地传送到对方了。

TCP 在连接建立时， A发送 SYN 报文段，选择了初始序号 seq=x。B 收到连接请求报文段后，如同意建立连接，则向A发送确认和 SYN 报文段，其确认号是ack = x + 1, 同时也为自己选择一个初始序 seq=y。A 最后要发送确认报文段其序号是 seq= x + 1, 确认号是 ack = y + 1 。这个确认报文段消耗序号吗？
解答：
A所发送的确认报文段＃3 是不消耗序号的。
如果A在确认报文段＃3 之后接着发送数据报文段，那么这个数据报文段的序号就仍然是seq =x +1, 因为确认报文段＃3 是不消耗序号的。
但是应当注意，如果A所发送的确认报文段＃3 携带了数据，那么这个报文段就消耗序号。例如， A所发送的确认报文段＃3 携带了 100 字节的数据，那么A下一次发送的数据报文段＃4的序号就应当是 seq =x+ 101。

四、四次挥手

wireshark抓包三次握手四次挥手,网络安全,tcp/ip,网络,服务器
1、客户端发送释放连接报文段，停止发送数据，主动关闭TCP连接。
FIN=1，seq=u

2、服务器端回送一个确认报文段，客户到服务器这个方向的连接就释放了——半关闭状态。
ACK=1，seq=v，ack=u+1

3、服务器端发完数据（也可不发数据），就发出释放连接报文段，主动关闭TCP连接。
FIN=1， ACK=1，seq=w，ack=u+1

4、客户端回送一个确认报文段，再等到时间等待计时器设置的2MSL（最长报文段寿命）后，连接彻底关闭。
ACK=1，seq=u+1，ack=w+1

客户端收到FIN报文后，就知道可以关闭连接了，但是担心自己发的ACK因为网络等因素不能被服务器端收到，服务器端不知道要关闭并且重复发FIN报文。所以发送ACK后进入TIME_WAIT状态，如果服务器端没有收到ACK则可以重传。客户端等待了2MSL后依然没有收到回复，则证明服务器端已正常关闭，那么客户端也可以关闭连接了。
MSL (Maximum Segment Lifetime)：最长报文段寿命，一般设为 2 分钟，TCP 允许根据具体情况使用更小的 MSL 值。
wireshark抓包三次握手四次挥手,网络安全,tcp/ip,网络,服务器