简述

本文主要介绍TCP三次握手的工作原理，以及在面试中常见的问题。

字段含义

seq序号：Sequence Number，占32位，用来标识从TCP源端向目的端发送的字节流，发起方发送数据时对此进行对比。

ack序号：Acknowledge Number，占32位，只有ACK标志位为1时，确认序号字段才有效，ack=seq+1。

Flags标志位：

URG：Urgent Pointer紧急指针有效；

ACK：确认序号有效；

PSH：接收方应该尽快将这个报文交给应用层；

RST：重置连接；

SYN：发起一个新连接；

FIN：释放一个连接；

注意：标志位ACK和ack序号是不同的概念。确认方ack=发起方Seq+1，两端配对。

三次握手

三次握手及建立TCP连接，建立一个TCP连接时，需要客户端和服务端总共发送3个包以确认连接的建立，这一过程有客户端执行connect来触发，流程如下：

握手之前主动打开连接的客户端结束Closed阶段，被动打开的服务器端也结束Closed阶段，并进入Listen阶段，随后开始三次握手。

1） 第一次握手，客户端发送syn包（SYN=1，seq=n）到服务器端，此时客户端进入SYN_SENT状态，等待服务器端确认。第一个syn包：SYN=1，seq=n，n为随机数。

2） 第二次握手，服务器端接收到syn包，结束Listen阶段，并返回一个syn包（SYN=1，ACK=1，seq=k，ack=n+1），此时服务器端进入SYN_RCVD阶段，等待客户端确认。第二个syn包：SYN=1，ACK=1，seq=k，ack=n+1，k为随机数。

3） 第三次握手，客户端接收到来自服务器端的syn包，明确了数据传输是正常的，结束SYN_SENT阶段，并向服务器端返回一个syn包，客户端进入Established阶段。第三个syn包：ACK=1，seq=n+1，ack=k+1。

服务器端接收到来自客户端的确认之后，明确了数据传输是正常的，结束SYN_RCVD阶段，进入Established阶段。

在客户端与服务器端传输的syn包中，双方的确认号ack和序号seq的值，都是在彼此ack和seq值的基础上进行计算的，这样做保证了TCP报文传输的连贯性。一旦出现某一方发出的syn包丢失，便无法继续"握手"，以此确保了"三次握手"的顺利完成。

此后客户端和服务器端进行正常的数据传输。这就是"三次握手"的过程。

常见面试题

问题1：如果已经建立了连接，但是客户端突然出现了故障，怎么办？

TCP设有一个计时器，客户端如果出现故障，服务器端不能一直等待下去，白白浪费资源。服务器端每收到一次客户端的请求后都会重新复位这个计时器，时间通常是设置为2小时，若两小时还没有收到客户端的任何数据，服务器端就会发送一个探测包，以后每隔75秒钟发送一次。若一连发送10个探测包仍然没反应，服务器端就认为客户端出了故障，接着就关闭连接。

问题2：为什么要使用次握手建立连接？

客户端发出去的第一个连接请求由于某些原因在网络节点中滞留了导致延迟，直到连接释放的某个时间点才到达服务器端，这是一个早已失效的报文，但是此时服务器端仍然认为这是客户端建立的连接请求，第一次握手。于是服务器端回应了客户端，第二次握手。如果只有两次握手，那么到这里，连接就建立了，但是此时客户端并没有任何数据要发送，而服务器端还处于等待中，造成很大的资源浪费。所以需要第三次握手，只有客户端再次回应一下，就可以避免这种情况。

问题3：什么是TCP半连接？

在三次握手过程中，服务器端发送SYN、ACK后，收到客户端的ACK之前的TCP连接称为半连接，此时服务器端处于SYN_RCVD状态，当收到ACK之后，服务器端进入Established状态。

问题4：什么是SYN攻击？

SYN攻击就是客户端在短时间内伪造大量的源IP地址，分别向服务器端发送大量的SYN包，此时服务器端会返回SYN/ACK包，因为源地址是伪造的，所以伪造的IP并不会应答，服务器端没有收到伪造的IP的回应，重试3-5次并且等待一个SYN time，如果超时则丢弃这个连接。攻击者大量发送这种伪造源地址SYN请求，服务器会消耗非常多的资源来处理这种半连接，同时还要不断地对这些IP进行SYN+ACK重试。最终服务器无暇理睬正常的连接请求，导致拒绝服务。

问题5：怎么检测SYN攻击？

使用命令netstat -nap | grep SYN_RECV

ok，以上就是TCP三次握手工作原理及面试常见问题汇总，看完记得转发、点赞和收藏。如果有错误，欢迎批评指正，感谢。本文由云渺书斋原创，欢迎关注，带你一起长知识！

（云渺书斋）