TCP/IP状态机

TCP/IP 状态机

在TCP层，有个FLAGS字段，这个字段有以下几个标识：SYN, FIN, ACK, PSH, RST, URG.

其中，对于我们日常的分析有用的就是前面的五个字段。

它们的含义是：

SYN表示建立连接，

FIN表示关闭连接，

ACK表示响应，

PSH表示有 DATA数据传输(有真正的TCP数据包内容被传递)

RST表示连接重置(是在FIN之后才会出现为1的情况)

三次握手主要是要初始化Sequence Number 的初始值。也就是上图中的 a 和 b。这个号在以后的数据通信中，在client端按发送顺序递增，在server端按递增顺序重新组织，以保证应用层接收到的数据不会因为网络问题乱序。

建立一个稳定的双向连接，最少需要3次通信

以张三给李四打电话为例
打电话
张三:喂，李四听得到么【seq=0】？
李四： 嗯，我听到你说话了【ack=seq+1】，你能听到我么【seq=0】？
张三：我能听到你【ack=seq+1】

1、双方可以同时主动关闭，也可以由一方主动关闭带动另一方被动关闭只不过，通常以一方主动另一方被动举例（如图，client主动server被动），所以看上去是所谓的4次挥手。如果两边同时主动断连接，那么双方都会进入CLOSING状态，然后到达TIME_WAIT状态，最后超时转到CLOSED状态

2、为什么建立连接协议是三次握手，而关闭连接却是四次握手呢？

TCP是全双工的，每个方向都需要单独关闭（即发送一个FIN），发一个FIN之后意味着一个方向没有数据流动，但是可以收。
这是因为服务端的LISTEN状态下的SOCKET当收到SYN报文的连接请求后，它可以把ACK和SYN(ACK起应答作用，而SYN起同步作用)放在一个报文里来发送。但关闭连接时，当收到对方的FIN报文通知时，它仅仅表示对方没有数据发送给你了；但未必你所有的数据都全部发送给对方了，所以你可能未必会马上会关闭SOCKET,也即你可能还需要发送一些数据给对方之后，再发送FIN报文给对方来表示你同意现在可以关闭连接了，所以它这里的ACK报文和FIN报文多数情况下都是分开发送的。

以张三给李四挂电话为例

张三:我要挂电话了【FIN。seq=x】

李四：好的【ack。seq=x+1】

李四：我也挂了【fin，seq=b，ack=X+1】

张三：好的【ack，seq=b+1】

三次握手分析

HTTP 协议就是建立在TCP链接上的

(ip.src==10.108.15.43 and ip.dst==10.108.16.3) or (ip.src==10.108.16.3 and ip.dst==10.108.15.43)

1、seq=0(每发一次包seq的值加1)
2、ack=接收到的seq+1

TCP流：