通过抓包研究TCP的连接、传输、断开

1-建立连接TCP三次握手

建立一个 TCP 连接需要“三次握手”，缺一不可：

一次握手:客户端发送带有 SYN（SEQ=x）标志的数据包 -> 服务端，然后客户端进入 SYN_SEND 状态，等待服务器的确认；
二次握手:服务端发送带有 SYN+ACK(SEQ=y,ACK=x+1) 标志的数据包 –> 客户端,然后服务端进入 SYN_RECV 状态
三次握手:客户端发送带有带有 ACK(ACK=y+1) 标志的数据包 –> 服务端，然后客户端和服务器端都进入ESTABLISHED 状态，完成TCP三次握手

TCP连接建立包

9718为Client，8888为Server。

SYN和ACK是TCP包的标志位。SYN为建立连接请求标志位，FIN为断开请求标志位。

Seq和Ack都是相对序列号，实际序列号如下：

2-断开连接TCP的四次挥手

第一次挥手 ：客户端发送一个 FIN+ACK（SEQ=X）标志的数据包->服务端，用来关闭客户端到服务器的数据传送。然后，客户端进入 FIN-WAIT-1 状态。
第二次挥手 ：服务器收到这个 FIN+ACK（SEQ=X）标志的数据包，它发送一个 ACK （ACK=X+1）标志的数据包->客户端。然后，此时服务端进入CLOSE-WAIT状态，客户端进入FIN-WAIT-2状态。
第三次挥手 ：服务端关闭与客户端的连接并发送一个 FIN+ACK (SEQ=y)标志的数据包->客户端请求关闭连接，然后，服务端进入LAST-ACK状态。
第四次挥手 ：客户端发送 ACK (ACK=y+1)标志的数据包->服务端并且进入TIME-WAIT状态，服务端在收到 ACK (ACk=y+1)标志的数据包后进入 CLOSE 状态。此时，如果客户端等待 2MSL 后依然没有收到回复，就证明服务端已正常关闭，随后，客户端也可以关闭连接了。

TCP抓包过程

3-数据传输

首先我们要明白TCP是面向字节流的可靠连接，UDP是面向报文的不可靠连接。TCP是如何保证可靠性的。

基于数据快传输 ：应用数据被分割成 TCP 认为最适合发送的数据块，再传输给网络层，数据块被称为报文段或段。
对失序数据包重新排序以及去重：TCP 为了保证不发生丢包，就给每个包一个序列号，有了序列号能够将接收到的数据根据序列号排序，并且去掉重复序列号的数据就可以实现数据包去重。
校验和 : TCP 将保持它首部和数据的检验和。这是一个端到端的检验和，目的是检测数据在传输过程中的任何变化。如果收到段的检验和有差错，TCP 将丢弃这个报文段和不确认收到此报文段。
超时重传 : 当发送方发送数据之后，它启动一个定时器，等待目的端确认收到这个报文段。接收端实体对已成功收到的包发回一个相应的确认信息（ACK）。如果发送端实体在合理的往返时延（RTT）内未收到确认消息，那么对应的数据包就被假设为已丢失open in new window并进行重传。
流量控制 : TCP 连接的每一方都有固定大小的缓冲空间，TCP 的接收端只允许发送端发送接收端缓冲区能接纳的数据。当接收方来不及处理发送方的数据，能提示发送方降低发送的速率，防止包丢失。TCP 使用的流量控制协议是可变大小的滑动窗口协议（TCP 利用滑动窗口实现流量控制）。
拥塞控制 : 当网络拥塞时，减少数据的发送。

TCP数据传输包

其中PSH代表数据包，Win代表窗口，Len为数据的长度（不包括TCP首部），Client发送数据到Server后，确认收到之后发送一个ACK给Client代表已经收到，确认块的Ack为 client发送包中的Ack=Seq+Len，代表Server确实收到了。详细的包内容如下：

固定首部长度为20字节,可变部分0~40字节,各字段解释：

源端口，16bits，范围0~65525。
目的端口，16bits，范围同上。
sequence number：数据序号，32bits，TCP 连接中传送的数据流中的每一个字节都编上一个序号。序号字段的值则指的是本报文段所发送的数据的第一个字节的序号。
acknoledgement number：确认号，32bits，期望收到对方的下一个报文段的数据的第一个字节的序号。
数据偏移，4bits，单位为4字节，它指出报文数据距TCP报头的起始处有多远(TCP报文头长度)。
保留字段 6bits，保留今后使用，目前置0处理。
URG：紧急比特，1bit，当 URG=1 时，表明紧急指针字段有效。它告诉系统此报文段中有紧急数据，应尽快传送(相当于高优先级的数据)
ACK：确认比特，1bit，只有当 ACK=1时确认号字段才有效。当 ACK=0 时，确认号无效
PSH：推送比特，1bit，接收方 TCP 收到推送比特置1的报文段，就尽快地交付给接收应用进程，而不再等到整个缓存都填满了后再向上交付
RST：复位比特，1bit，当RST=1时，表明TCP连接中出现严重差错(如由于主机崩溃或其他原因)，必须释放连接，然后再重新建立运输连接
SYN：同步比特，1bit，同步比特 SYN 置为 1，就表示这是一个连接请求或连接接受报文
FIN：终止比特，1bit，用来释放一个连接。当FIN=1 时，表明此报文段的发送端的数据已发送完毕，并要求释放运输连接
窗口大小，16bits，窗口字段用来控制对方发送的数据量，单位为字节。TCP 连接的一端根据设置的缓存空间大小确定自己的接收窗口大小，然后通知对方以确定对方的发送窗口的上限。
检验和，16bits，检验和字段检验的范围包括首部和数据这两部分。在计算检验和时，要在 TCP 报文段的前面加上 12 字节的伪首部。
紧急指针字段，16bits，紧急指针指出在本报文段中的紧急数据的最后一个字节的序号。
选项字段，长度可变。TCP首部可以有多达40字节的可选信息，用于把附加信息传递给终点，或用来对齐其它选项。这部分最多包含40字节，因为TCP头部最长是60字节（其中还包含前面讨论的20字节的固定部分）
选项的第一个字段kind说明选项的类型。有的TCP选项没有后面两个字段，仅包含1字节的kind字段。第二个字段length（如果有的话）指定该选项的总长度，该长度包括kind字段和length字段占据的2字节。第三个字段info（如果有的话）是选项的具体信息. kind=0是选项表结束选项
kind=1是空操作（nop）选项，没有特殊含义，一般用于将TCP选项的总长度填充为4字节的整数倍
kind=2是最大报文段长度选项,TCP连接初始化时，通信双方使用该选项来协商最大报文段长度（Max Segment Size，MSS）。TCP模块通常将MSS设置为（MTU-40）字节（减掉的这40字节包括20字节的TCP头部和20字节的IP头部）。这样携带TCP报文段的IP数据报的长度就不会超过MTU（假设TCP头部和IP头部都不包含选项字段，并且这也是一般情况），从而避免本机发生IP分片。对以太网而言，MSS值是1460（1500-40）字节。

TCP报文Win和ACK

区别Client报文和Server报文的ACK！！当Cilent与Server建立连接后，ACK就会一直被置为1，Client发送数据到Server时，Ack将会一直不变，relative ack number =1；Server发送确认消息到Client时，ack= Seq+Len；Client根据ack判断数据是否被成功接收。