Wireshark中的TCP协议包分析

Wireshark可以跟踪网络协议的通讯过程，本节通过TCP协议，在了解Wireshark使用的基础上，重温TCP协议的通讯过程。

TCP（Transmission Control Protocol，传输控制协议）是一种面向连接的、可靠的、基于字节流的传输层通信协议。

TCP旨在适应支持多网络应用的分层协议层次结构，连接到不同但互连的计算机通信网络的主计算机中的成对进程之间依靠TCP提供可靠的通信服务。从网络模型-协议对应表中发现，TCP协议位于传输层。

从Wireshark界面图中可以发现11、14、15号数据包是建立TCP连接的三次握手过程。

     1.第一次握手(SYN=1,seq=x):客户端发送一个TCP的SYN标志位置1的包，指明客户端打算连接的服务器的端口，以及初始序号X，保存在包头的序列号(Sequence Number)字段里。发送完毕后，客户端进入SYN_SEND状态。

     2.第二次握手(SYN=1,ACK=1,seq=y,ACKnum=x+1):服务器发回确认包(ACK)应答。即SYN标志位和ACK标志位均为1。服务器端选择自己ISN序列号，放到Seq域里，同时将确认序号(Acknowledgement Number)设置为客户的ISN加1，即X+1。发送完毕后，服务器端进入SYN_RCVD状态。

     3.第三次握手(ACK=1，ACKnum=y+1)：客户端再次发送确认包(ACK)，SYN标志位为0，ACK标志位为1，并且把服务器发来ACK的序号字段+1，放在确定字段中发送给对方，并且在数据段放写ISN的+1。发送完毕后，客户端进入ESTABLISHED状态，当服务器端接收到这个包时，也进入ESTABLISHED状态，TCP握手结束。

从Wireshark界面图中可以发现77、78、79/80号数据包是移除TCP连接的四次挥手过程。

    1. 第一次挥手(FIN=1，seq=x)：客户端发送一个FIN志位置为1的包，表示自己已经没有数据可以发送了，但是仍然可以接受数据。发送完毕后，客户端进入FIN_WAIT_1状态。

    2.第二次挥手(ACK=1，ACKnum=x+1)：服务器端确认客户端的FIN包，发送一个确认包，表明自己接受到了客户端关闭连接的请求，但还没有准备好关闭连接。发送完毕后，服务器端进入CLOSE_WAIT状态，客户端接收到这个确认包之后，进入FIN_WAIT_2状态，等待服务器端关闭连接。

    3. 第三次挥手(FIN=1，seq=y)：服务器端准备好关闭连接时，向客户端发送结束连接请求，FIN置为1。发送完毕后，服务器端进入LAST_ACK状态，等待来自客户端的最后一个ACK。

    4. 第四次挥手(ACK=1，ACKnum=y+1)：客户端接收到来自服务器端的关闭请求，发送一个确认包，并进入TIME_WAIT状态，等待可能出现的要求重传的ACK包。服务器端接收到这个确认包之后，关闭连接，进入CLOSED状态。客户端等待了某个固定时间（两个最大段生命周期，2MSL，2 Maximum Segment Lifetime）之后，没有收到服务器端的ACK，认为服务器端已经正常关闭连接，于是自己也关闭连接，进入CLOSED状态。

通过上面的通讯过程分析，加深我们对tcp协议通讯过程的了解，同时也加强Wireshark对数据包支持的理解。

TCP通过如下机制保证可靠性：

   1.确认和重传：接收方收到报文就会确认，发送方发送一段时间后没有收到确认就重传。

   2.数据校验。

   3.数据合理分片和排序：

   4.流量控制：当接收方来不及处理发送方的数据，能提示发送方降低发送的速率，防止包丢失。

   5.拥塞控制：当网络拥塞时，减少数据的发送。