Wireshark 中的 TCP 协议包分析

Wireshark 可以跟踪网络协议的通讯过程，本节通过 TCP 协议，在了解 Wireshark 使用的基础上，重温 TCP 协议的通讯过程。

TCP（Transmission Control Protocol，传输控制协议）是一种面向连接的、可靠的、基于字节流的传输层通信协议。

TCP 旨在适应支持多网络应用的分层协议层次结构，连接到不同但互连的计算机通信网络的主计算机中的成对进程之间依靠 TCP 提供可靠的通信服务。从网络模型-协议对应表中发现，TCP 协议位于传输层。

从 Wireshark 界面图中可以发现 11、14、15 号数据包是建立 TCP 连接的三次握手过程。

1.第一次握手(SYN=1,seq=x):客户端发送一个 TCP 的 SYN 标志位置 1 的包，指明客户端打算连接的服务器的端口，以及初始序号 X，保存在包头的序列号(Sequence Number)字段里。发送完毕后，客户端进入 SYN_SEND 状态。

2.第二次握手(SYN=1,ACK=1,seq=y,ACKnum=x+1):服务器发回确认包(ACK)应答。即 SYN 标志位和 ACK 标志位均为 1。服务器端选择自己 ISN 序列号，放到 Seq 域里，同时将确认序号(Acknowledgement Number)设置为客户的 ISN 加 1，即 X+1。发送完毕后，服务器端进入 SYN_RCVD 状态。

3.第三次握手(ACK=1，ACKnum=y+1)：客户端再次发送确认包(ACK)，SYN 标志位为 0，ACK 标志位为 1，并且把服务器发来 ACK 的序号字段+1，放在确定字段中发送给对方，并且在数据段放写 ISN 的+1。发送完毕后，客户端进入 ESTABLISHED 状态，当服务器端接收到这个包时，也进入 ESTABLISHED 状态，TCP 握手结束。

从 Wireshark 界面图中可以发现 77、78、79/80 号数据包是移除 TCP 连接的四次挥手过程。

1.第一次挥手(FIN=1，seq=x)：客户端发送一个 FIN 志位置为 1 的包，表示自己已经没有数据可以发送了，但是仍然可以接受数据。发送完毕后，客户端进入 FIN_WAIT_1 状态。

2.第二次挥手(ACK=1，ACKnum=x+1)：服务器端确认客户端的 FIN 包，发送一个确认包，表明自己接受到了客户端关闭连接的请求，但还没有准备好关闭连接。发送完毕后，服务器端进入 CLOSE_WAIT 状态，客户端接收到这个确认包之后，进入 FIN_WAIT_2 状态，等待服务器端关闭连接。

3.第三次挥手(FIN=1，seq=y)：服务器端准备好关闭连接时，向客户端发送结束连接请求，FIN 置为 1。发送完毕后，服务器端进入 LAST_ACK 状态，等待来自客户端的最后一个 ACK。

4.第四次挥手(ACK=1，ACKnum=y+1)：客户端接收到来自服务器端的关闭请求，发送一个确认包，并进入 TIME_WAIT 状态，等待可能出现的要求重传的 ACK 包。服务器端接收到这个确认包之后，关闭连接，进入 CLOSED 状态。客户端等待了某个固定时间（两个最大段生命周期，2MSL，2 Maximum Segment Lifetime）之后，没有收到服务器端的 ACK，认为服务器端已经正常关闭连接，于是自己也关闭连接，进入 CLOSED 状态。

通过上面的通讯过程分析，加深我们对 tcp 协议通讯过程的了解，同时也加强 Wireshark 对数据包支持的理解。

TCP 通过如下机制保证可靠性：

1.确认和重传：接收方收到报文就会确认，发送方发送一段时间后没有收到确认就重传。

2.数据校验。

3.数据合理分片和排序：

4.流量控制：当接收方来不及处理发送方的数据，能提示发送方降低发送的速率，防止包丢失。

5.拥塞控制：当网络拥塞时，减少数据的发送。

喜欢点赞收藏转发，如有疑问，点击链接加入群聊【信创技术交流群】：http://qm.qq.com/cgi-bin/qm/qr?_wv=1027&k=EjDhISXNgJlMMemn85viUFgIqzkDY3OC&authKey=2SKLwlmvTpbqlaQtJ%2FtFXJgHVgltewcfvbIpzdA7BMjIjt2YM1h71qlJoIuWxp7K&noverify=0&group_code=721096495