2.4 - 网络协议 - TCP协议工作原理，报文格式，抓包实战，UDP报文，UDP检错原理

「作者主页」：士别三日wyx
「作者简介」：CSDN top100、阿里云博客专家、华为云享专家、网络安全领域优质创作者
「推荐专栏」：对网络安全感兴趣的小伙伴可以关注专栏《网络安全入门到精通》

TCP协议

1、TCP协议工作原理
2、TCP协议报文格式
3、UDP协议报文格式
4、TCP协议抓包分析
5、TCP协议如何保证可靠性
- 5.1、粘包/拆包/半包
- 5.2、滑动窗口
- 5.3、重传机制
6、UDP协议检错原理

TCP（Transmission Control Protocol）是「传输控制协议」，通过「面向连接」的方式，提供可靠的、端到端的字节流传输服务。

UDP（User Datagram Protocol）是「用户数据包协议」，无连接传输协议，提供简单不可靠的数据传送服务。

因为IP协议只负责路由和转发，所以需要TCP协议在IP协议的基础上实现数据传输的「可靠性」。

1、TCP协议工作原理

为了保证传输的安全性，TCP在传输前，会通过三次握手「建立连接」。

在这里插入图片描述

第一次握手：客户端向服务器发送 SYN（seq=x），请求建立连接。
第二次握手：服务器收到SYN，响应 SYN（seq=y）和 ACK（ack=x+1），表示同意建立连接。
第三次握手：客户端收到响应后，返回一个ACK（ack=y+1），并打开客户端到服务器的单向连接。
服务器收到响应后，也会打开服务器到客户端的单向连接，两个方向的连接都打开了，就可以传输数据了。

三次握手时涉及的几个状态：

CLOSED：连接关闭状态。
LISTEN：监听状态。
SYN-SENT：SYN发送状态。
SYN-RCVD：SYN接收状态。
ESTABLISHED：连接建立状态。

数据传输完成后，TCP会通过四次挥手「断开连接」（TCP连接是全双工，两个方向都得断开）
在这里插入图片描述

第一次挥手：客户端传输完数据后，发一个FIN给服务端，请求断开连接。
第二次挥手：服务端收到请求后，响应一个ACK，然后准备关闭服务端到客户端的连接。
第三次挥手：服务端的数据也传输完了，也发一个FIN给客户端，请求断开连接。
第四次挥手：客户端收到后，也响应一个ACK给服务端，然后启动一个定时器，定时器结束后关闭客户端到服务端的连接。
服务端收到确认请求后，直接关闭服务端到客户端的连接。等两个方向的连接都关闭后，TCP连接就关闭了。

提示：这里的客户端和服务器是指角色，谁发起，谁就是客户端；谁接收，谁就是服务端。

端到端的意思是：TCP连接面向的是通信的两个端点，不考虑中间网段和节点。

2、TCP协议报文格式

TCP会把应用层的数据加上TCP首部，传给网络层。

在这里插入图片描述

重点看TCP首部的格式。

在这里插入图片描述

我们根据TCP协议的数据包解释一下各个字段的作用

在这里插入图片描述

Source Port：源端口【16位】，发送方的端口。
Destination Port：目的端口【16位】，接收方的端口。与目的端口确定一个唯一的TCP连接。
Sequence number：序号【32位】，发送数据包中的第一个字节的序列号。在数据分片、重组时保证顺序。
Ackowledgment number：确认号【32位】，下一个希望收到的数据的开始序列号（已经收到的数据的字节长度加1）。在数据分片、重组时保证顺序。
Reserved：数据偏移【4位】，数据段开始地址的偏移值
Nonce、CWR、ECN-Echo：保留位【6位】
Urgent：紧急URG【1位】，为1表示高优先级数据包，需要尽快发送。
Acknowledgment：确认ACK【1位】，为1表示确认号字段有效。用于TCP连接，建立连接后，所有报文的ACK都是1。
Push：推送PSH【1位】，为1表示接收方尽快将这个报文交给应用层而不用等待缓冲区装满
Reset：复位RST【1位】，为1表示出现严重错误，需要重新建立连接。用于TCP连接。
Syn：复位SYN【1位】，建立连接时同步序号。用于TCP连接，SYN=1和ACK=0表示连接的请求，SYN=1和ACK=1表示接收连接的请求
Fin：终止FIN【1位】，为1表示报文发送方不在发送数据，请求释放单向链接。用于TCP连接。
Window：窗口【16位】，从确认号开始，可以接收的字节数，用于流量控制
Checksum：检验和【16位】，用来检验数据包的完整性
Urgent Pointer：紧急指针【16位】，报文段中紧急数据的最后一个字节的序号，URG=1时有效。

3、UDP协议报文格式

UDP会把应用层的数据加上UDP首部，传给网络层

在这里插入图片描述
UDP的报文明显比TCP少很多字段，所以它不保证数据的可靠性。

在这里插入图片描述
根据UDP协议的数据包解释一下各个字段的作用。

在这里插入图片描述

Source Port：源端口【16位】，发送方的端口
Destination Port：目的端口【16位】，接收方的端口
Length：长度【16位】，整个数据报的长度（UDP首部 + 数据）
Checksum：检验和【16位】，检测数据是否有误

4、TCP协议抓包分析

Wireshark开启抓包，浏览器访问百度，cmd ping www.baidu.com 获取百度IP。

在这里插入图片描述

过滤TCP协议的数据包 tcp and ip.addr==110.242.68.3

在这里插入图片描述

三个数据包，每个包对应一次握手

第一次握手：我192.168.2.121向百度 110.242.68.3 发送了一个 SYN（seq=0）
第二次握手：百度110.242.68.3向我192.168.2.121响应了一个SYN（seq=0），ACK（ack=0+1）
第三次握手：我向百度发送了一个ACK（ack=0+1）

5、TCP协议如何保证可靠性

为了避免网络拥塞，TCP协议使用粘包、拆包、半包等机制实现流量控制。

5.1、粘包/拆包/半包

比如来一个包就马上发送，当接收方性能较差时，就会造成「网络拥塞」；或者有很多数据部分只有1个字节的数据包，就比较「浪费资源」。这时候，TCP就会用粘包和拆包来解决（性能好的设备可能会关闭此功能）。

MTU：最大传输单元，链路层发送的数据帧的数据部分（默认）最多只有1500字节。
MSS：TCP报文的数据部分的最大值，MSS = MTU（1500字节）- IP首部（20字节）- TCP首部（20字节）
粘包：将几个比较小的TCP数据包合并成一个包再发送。每个小包之间用分隔符间隔，拆包时可以按照分隔符拆分。
收到上一个包的确认（ACK）之后，再发下一个包。等待的时间可以用来粘包。
粘包后的大小不能超过MSS。
默认超时时间200ms，超过后即使数据包很小，也会直接发送。
半包：对于超过MSS的数据包，会拆分成多个小包发送，接受后再重组。

5.2、滑动窗口

TCP报文的Window字段表示窗口大小。

当接收方的数据太多处理不过来的时候，就在返回的报文里把窗口写小，发送方会根据窗口大小选择调整发送的速度。

发送方发送的每一个数据包，接收方都会返回一个ACK进行确认，发送方可以根据这个来判断数据包是否处理完毕。
接收方在处理完数据后，才会返回确认ACK。接收方可以同时处理多个数据包，并根据设备性能，在返回的报文里，调整窗口大小。
发送方根据窗口大小，调整数据包的发送速度。

5.3、重传机制

为了避免丢包的问题，TCP协议会把丢失的包重新发送。当出现以下两种情况时，发送方会判定数据包丢失，进行重传。

超时重传：超过了超时时间后，仍然没有收到确认ACK。
快速重传：连续收到三次同一个包的确认ACK。

6、UDP协议检错原理

UDP没有TCP那些花里胡哨的功能，只有一个差错控制。

UDP检验和利用伪首部来计算。

伪首部添加在UDP首部的左侧，只在计算检验和的时候添加，不参与数据的传输
在这里插入图片描述
数据在经过传输层时，会在UDP数据报头部添加伪首部，将伪首部 + UDP首部 + 数据部分转换为二进制并求和，将计算出的16位二进制反码结果填充到UDP检验和，去掉伪首部后发送出去。

接收方收到数据后，会在数据报头部添加伪首部，再次将伪首部 + UDP首部 + 数据部分转换为二进制并求和，如果结果全为1，则判定数据没有差错；否则就丢弃数据报或者发送给应用层并提示数据出错。