深入浅出讲解TCPUDP协议.doc

我们学习过什么是“数据包”。理解数据包，对于网络管理的网络安全具有至关重要的意义。比如，防火墙的作用本质就是检测网络中的数据包，判断其是否违反了预先设置的规则，如果违反就加以阻止。图1就是瑞星个人版防火墙软件设置规则的界面。细心的读者会发现，图1中的“协议”栏中有“TCP”、“UDP”等名词，它们是什么意思呢？现在我们就来讲讲什么是TCP和UDP。面向连接的“面向连接”就是在正式通信前必须要与对方建立起连接。比如你给别人打电话，必须等线路接通了、对方拿起话筒才能相互通话。图1TCP（Transmission Control Protocol，传输控制协议）是基于连接的协议，也就是说，在正式收发数据前，必须和对方建立可靠的连接。一个TCP连接必须要经过三次“对话”才能建立起来，其中的过程非常复杂，我们这里只做简单、形象的介绍，你只要做到能够理解这个过程即可。我们来看看这三次对话的简单过程：主机A向主机B发出连接请求数据包：“我想给你发数据，可以吗？”，这是第一次对话；主机B向主机A发送同意连接和要求同步（同步就是两台主机一个在发送，一个在接收，协调工作）的数据包：“可以，你什么时候发？”，这是第二次对话；主机A再发出一个数据包确认主机B的要求同步：“我现在就发，你接着吧！”，这是第三次对话。三次“对话”的目的是使数据包的发送和接收同步，经过三次“对话”之后，主机A才向主机B正式发送数据。TCP协议能为应用程序提供可靠的通信连接，使一台计算机发出的字节流无差错地发往网络上的其他计算机，对可靠性要求高的数据通信系统往往使用TCP协议传输数据。图2我们来做一个实验，用计算机A（安装Windows 2000 Server操作系统）从“网上邻居”上的一台计算机B拷贝大小为8,644,608字节的文件，通过状态栏右下角网卡的发送和接收指标就会发现：虽然是数据流是由计算机B流向计算机A，但是计算机A仍发送了3,456个数据包，如图2所示。这些数据包是怎样产生的呢？因为文件传输时使用了TCP/IP协议，更确切地说是使用了面向连接的TCP协议，计算机A接收数据包的时候，要向计算机B回发数据包，所以也产生了一些通信量。图3如果事先用网络监视器监视网络流量，就会发现由此产生的数据流量是9,478,819字节，比文件大小多出10.96%（如图3所示），原因不仅在于数据包和帧本身占用了一些空间，而且也在于TCP协议面向连接的特性导致了一些额外的通信量的产生。面向非连接的UDP协议“面向非连接”就是在正式通信前不必与对方先建立连接，不管对方状态就直接发送。这与现在风行的手机短信非常相似：你在发短信的时候，只需要输入对方手机号就OK了。UDP（User Data Protocol，用户数据报协议）是与TCP相对应的协议。它是面向非连接的协议，它不与对方建立连接，而是直接就把数据包发送过去！图4UDP适用于一次只传送少量数据、对可靠性要求不高的应用环境。比如，我们经常使用“ping”命令来测试两台主机之间TCP/IP通信是否正常，其实“ping”命令的原理就是向对方主机发送UDP数据包，然后对方主机确认收到数据包，如果数据包是否到达的消息及时反馈回来，那么网络就是通的。例如，在默认状态下，一次“ping”操作发送4个数据包（如图2所示）。大家可以看到，发送的数据包数量是4包，收到的也是4包（因为对方主机收到后会发回一个确认收到的数据包）。这充分说明了UDP协议是面向非连接的协议，没有建立连接的过程。正因为UDP协议没有连接的过程，所以它的通信效果高；但也正因为如此，它的可靠性不如TCP协议高。QQ就使用UDP发消息，因此有时会出现收不到消息的情况。附表：tcp协议和udp协议的差别TCP协议和UDP协议各有所长、各有所短，适用于不同要求的通信环境。TCP协议和UDP协议之间的差别如附表所示。通过连接实例解读TCP/IP协议最近狂补基础，猛看TCP/IP协议。不过，书上的东西太抽象了，没有什么数据实例，看了不 久就忘了。于是，搬来一个sniffer，抓了数据包来看，呵呵，结合书里面得讲解，理解得 比较快。我就来灌点基础知识。 开始吧，先介绍IP协议。 IP协议（Internet Protocol）是网络层协议，用在因特网上，TCP，UDP，ICMP，IGMP数据都是按照IP数据格式发送得。IP协议提供的是不可靠无连接得服务。IP数据包由一个头部和一个正文部分构成。正文主要是传输的数据，我们主要来理解头部数据，可以从其理解到IP协议。 IP数据包头部格式（RFC791）Example Internet Datagram Header 上面的就是IP数据的头部格式，这里大概地介绍一下。 IP头部由20字节的固定长度和一个可选任意长度部分构成，以大段点机次序传送，从左到右。 TCP协议 TCP协议（TRANSMISSION CONTROL PROTOCOL）是传输层协议，为应用层提供服务，和UDP 不同的是，TCP协议提供的可靠的面向连接的服务。在RFC793中是基本的TCP描述。关于TCP 协议的头部格式内容的说明： TCP Header FORMatTCP Header FORMat 跟IP头部差不多，基本的长度也是20字节。TCP数据包是包含在一个IP数据报文中的。 好了，简单介绍到此为止。来看看我捕获的例子吧。这是一次FTP的连接，呵呵，是 cuteftp默认的cuteftp的FTP站点，IP地址是：1。我的IP地址假设为： 。下面的数据就是TCO/IP连接过程中的数据传输。我们可以分析TCP/IP协议数据格式以及TCP/IP连接的三次握手（ThreeWay-Handshake）情况。下面的这些十六进制数据 只是TCP/IP协议的数据，不是完整的网络通讯数据。 第一次， 我向FTP站点发送连接请求（我把TCP数据的可选部分去掉了） -1 IP头部： 45 00 00 30 52 52 40 00 80 06 2c 23 c0 a8 01 01 d8 03 e2 15 TCP头部：0d 28 00 15 50 5f a9 06 00 00 00 00 70 02 40 00 c0 29 00 00 来看看IP头部的数据是些什么。 第一字节，“45”，其中“4”是IP协议的版本（Version），说明是IP4。“5”是IHL位，表示IP头部的长度，是一个4bit字段，最大就是1111了，值为12，IP头部的最大长度就是60字节。而这里为“5”，说明是20字节，这是标准的IP头部长度，头部报文中没有发送 可选部分数据。 接下来的一个字节“00”是服务类型（Type of Service）。这个8bit字段由3bit的优先权子字段（现在已经被忽略），4 bit的TOS子字段以及1 bit的未用字段（现在为0）构成。 4 bit的TOS子字段包含：最小延时、最大吞吐量、最高可靠性以及最小费用构成，这四个1 bit位最多只能有一个为1，本例中都为0，表示是一般服务。 接着的两个字节“00 30”是IP数据报文总长，包含头部以及数据，这里表示48字节。这 48字节由20字节的IP头部以及28字节的TCP头构成（本来截取的TCP头应该是28字节的，其中8字节为可选部分，被我省去了）。因此目前最大的IP数据包长度是65535字节。 再是两个字节的标志位（Identification）：“52 52”，转换为十进制就是21074。这个是让目的主机来判断新来的分段属于哪个分组。 下一个字节“40”，转换为二进制就是“0100 0000”，其中第一位是IP协议目前没有用上的，为0。接着的是两个标志DF和MF。DF为1表示不要分段，MF为1表示还有进一步的分段（本例为0）。然后的“0 0000”是分段便移（Fragment Offset）。 “80”这个字节就是TTL（Time To Live）了，表示一个IP数据流的生命周期，用Ping显示的结果，能得到TTL的值，很多文章就说通过TTL位来判别主机类型。因为一般主机都有默认的TTL值，不同系统的默认值不一样。比如WINDOWS为128。不过，一般Ping得到的都不是默认值，这是因为每次IP数据包经过一个路由器的时候TTL就减一，当减到0时，这个数据包就消亡了。这也时Tracert的原理。本例中为“80”，转换为十进制就是128了，我用的WIN2000。 继续下来的是“06”，这个字节表示传输层的协议类型（Protocol）。在RFC790中有定义，6表示传输层是TCP协议。 “2c 23”这个16bit是头校验和（Header Checksum）。 接下来“c0 a8 01 01”，这个就是源地址（Source Address）了，也就是我的IP地址。 转换为十进制的IP地址就是：，同样，继续下来的32位“d8 03 e2 15”是目标地址，1 好了，真累啊，终于看完基本的20字节的IP数据报头了。继续看TCP的头部吧，这个是作为IP数据包的数据部分传输的。 TCP头部：0d 28 00 15 50 5f a9 06 00 00 00 00 70 02 40 00 c0 29 00 00 一来就是一个两字节段“0d 28”，表示本地端口号，转换为十进制就是3368。第二个两字节段“00 15”表示目标端口，因为我是连接FTP站点，所以，这个就是21啦，十六进制当然就是“00 15”。 接下来的四个字节“50 5f a9 06”是顺序号（Sequence Number），简写为SEQ， SEQ=1348446470 下面的四个字节“00 00 00 00”是确认号（Acknowledgment Number），简写为 ACKNUM。 继续两个字节，“70 02”，转换为二进制吧，“0111 0000 0000 0010”。这两个字节， 总共16bit，有好多东西呢。第一个4bit“0111”，是TCP头长，十进制为7，表示28个字节(刚才说了，我省略了8字节的option数据，所以你只看见了20字节）。接着的6bit现在TCP议没有用上，都为0。最后的6bit“00 0010”是六个重要的标志。这是两个计算机数据交流的信息标志。接收和发送断根据这些标志来确定信息流的种类。下面是一些介绍： URG：（Urgent Pointer field significant）紧急指针。用到的时候值为1，用来处理避免TCP数据流中断 ACK：（Acknowledgment field significant）置1时表示确认号（Acknowledgment Number）为合法，为0的时候表示数据段不包含确认信息，确认号被忽略。 PSH：（Push Function），PUSH标志的数据，置1时请求的数据段在接收方得到后就可直 接送到应用程序，而不必等到缓冲区满时才传送。 RST：（Reset the connection）用于复位因某种原因引起出现的错误连接，也用来拒绝 非法数据和请求。如果接收到RST位时候，通常发生了某些错误。 SYN：（Synchronize sequence numbers）用来建立连接，在连接请求中，SYN=1， ACK=0，连接响应时，SYN=1，ACK=1。即，SYN和ACK来区分Connection Request和 Connection Accepted。 FIN：（No more data from sender）用来释放连接，表明发送方已经没有数据发送了。 这6个标志位，你们自己对号入座吧。本例中SYN=1，ACK=0，当然就是表示连接请求了。 我们可以注意下面两个过程的这两位的变换。 后面的“40 00 c0 29 00 00”不讲了，呵呵，偷懒了。 后面两次通讯的数据，自己分开看吧。我们看看连接的过程，一些重要地方的变化。 第二次，FTP站点返回一个可以连接的信号。 1- IP头部： 45 00 00 2c c6 be 40 00 6a 06 cd ba d8 03 e2 15 c0 a8 01 01 TCP头部：00 15 0d 28 4b 4f 45 c1 50 5f a9 07 60 12 20 58 64 07 00 00 第三次，我确认连接。TCP连接建立起来。 -1 IP头部： 45 00 00 28 52 53 40 00 80 06 2c 2a c0 a8 01 01 d8 03 e2 15 TCP头部：0d 28 00 15 50 5f a9 07 4b 4f 45 c2 50 10 40 b0 5b 1c 00 00 好，我们看看整个Threeway_handshake过程。 第一步，我发出连接请求，TCP数据为：SEQ=50 5f a9 06，ACKNUM=00 00 00 00， SYN=1，ACK=0。 第二步，对方确认可以连接，TCP数据为：SEQ=4b 4f 45 c1，ACKNUM=50 5f a9 07， SYN=1，ACK=1。 第三步，我确认建立连接。SEQ=50 5f a9 07， ACKNUM=4b 4f 45 c2，SYN=0，ACK=1。 可以看出什么变化么？正式建立连接了呢，这些东西是什么值？ 我接收从1-的下一个数据包中： SEQ=4b 4f 45 c2，ACKNUM=50 5f a9 07,SYN=0,ACK=1 这些都是很基础的东西，对于编写sniffer这样的东西是必须非常熟悉的。这里只讲解了 TCP/IP协议的一点点东西，主要是头部数据的格式三层介绍1: 1层,2层,3层这篇文章主要是面向自学TCP/IP的读者的.因为市面上讲解计算机网络的书虽然非常多,但是个人认为没有一本可以做到深入浅出的.都是照搬某些权威书籍中的概念,使得很多读者读了之后还是没有具体概念.希望我写的东西可以让大家有个具体概念,而不是只停留在能够背出官方的,严谨的,深奥的概念. TCP/IP基础讲座-1: 1层,2层,3层? 读过关于网络的课程的,都知道ISO-OSI 7层协议这个名词,许多书籍都会具体的画出那幅图,然后标注上物理层,数据链路层,网络层等等.背的大家要死.但是却又不知道具体这些层次干吗用的勒? 其实在互联网中,由于实际使用的是TCP/IP模型,也就是DOD模型(现在不知道没关系,后面会说).所以7层模型在现实网络环境中只是一个理论上,学究派的东西.这个模型中,我们真正关心的是下面的3层. 1.物理层 哦.是的.这个名词还算容易了解.网卡还有那些网线构成了这一层.那些在网线中传播的二进制数据流是这层的具体表象.也就是说,这一层上面没有什么协议(不是很精确的说法,但是你可以这么理解).有的都是电流而已.我们把两台机器用网线连起来.或者用HUB把机器都连起来,这些工作就是物理层的工作. 有2个设备属于物理层的,一个是中继器,一个是HUB.大家知道.物理上面的连线距离一长就会产生电信号的衰减.为了重新加强这个信号,我们就需要在一定距离之后加上一个信号放大器,这就是中继器(repeater) 恩.这个比较容易理解.repeater就是连接在2根网线之间的么.没有做任何处理.所以只是一个物理设备.属于1层的. 那么集线器(HUB)呢?这个怎么会是在1层?似乎非常难以理解. 当我说出HUB的本质,大家就能够清楚了解了 HUB的本质其实只是一个多口中继器(MULTI PORT REPEATER).啊.这样大家能够理解了.HUB不叫多口中继器其实只是为了销售上面的策略.他的本质就是连接多根网线的一个物理设备.也是不对经过的电信号做任何逻辑处理的. 2.数据链路层 欧这个名词有些别扭了.DATA LINK层.英文似乎更加容易理解. 这个层面上面的东西不再是电信号了.而是DATA了.对,既然是DATA就有了逻辑关系了.这个层面上面的基本单位是帧(Frame).这层和物理层的接触是最紧密的.他是把从网线上面传输的电流转换成0和1的组合. 物理层只是网卡对网线发出或者接受各种电平信号,那就是说物理层是无法判别电流的来源和目标的.那么把电流打成0和1的帧之后.里面就有逻辑数据了.有了数据,就可以判别数据从何而来,到何处去.所以也就可以真正的形成LINK. 既然可以判别地址,那么地址是按照什么来判别的呢? 那就是最重要的概念之一:MAC地址 大家肯定都听说过我们的网卡都有MAC地址 有些人可能也知道MAC地址都是唯一的. 对.MAC地址是全球唯一的.也就是说你的网卡虽然便宜.但是他也是世界上独一无二的. 有些人说他可以改MAC.那就不是唯一了.对.虽然可以更改,那只是欺骗上层对封包里面的MAC地址进行改写.你网卡真正的MAC地址是固化的.无法修改的. 我们有了MAC地址了.这样就可以有针对性对所有连接在一起的计算机进行通讯了.是的.我们终于可以在一个局域网内通讯了. 但是有个问题我们前面没有提到.就是既然物理层传输的是电信号.那么如果我有2台机器一起发电信号,信号岂不是混乱了么? 非常正确.这个问题在网络里面成为碰撞,所以协议里面规定了如果你需要往外发数据,一定需要先看看电缆里面有没有别的信号.如果没有,那就可以发.如果2者同时发送,检测到碰撞之后2者分别等待一个随机时间,然后重发.这个就是重要的碰撞检测. 哈.看来问题解决了.不是么.现在整个网络可以正常运行了. 确实如此.但是如果连接在网络上的计算机越来越多,那么碰撞的现象会越来越频繁.这样效率一定很低了.恩.这里还有一个重要概念冲突域.在同一个物理上连接的网络上的所有设备是属于同一个冲突域的. 接着就需要引入我们的2层设备来分割冲突域了. 网桥(Bridge)就是连接2个不同的物理网络的.主要功能是在2个网络之间转发Frame.因为从实际中我们可以知道.其实很多时候并非整个网络都在相互通讯.最多相互通讯的一组计算机我们可以分在一个小的冲突域内.这样分割以后可以减少冲突域,也就相对的减少了冲突的机会.而之间使用网桥来桥接,由于网桥两边的通讯不是非常频繁,所以使用网桥来为2边作为代言人.这样任意一个小网络里面产生冲突的机会就少了. 交换机(Switch)是我们最熟悉的设备了,交换机的本质其实就是一个多口网桥(Multi port Bridge).同理可得.交换机的每个口后面都是一个冲突域.我们都说交换机比HUB快,就是因为交换机分割了所有的冲突域. 由于现在交换机非常便宜.所以一般我们都是直接在交换机的口上接计算机.这样每台计算机都是一个独立的冲突域.这样碰撞的问题就没有了.所以速度是比HUB快. 而前面说过.2层设备主要是个转发的功能.交换机的主要功能就是转发包.而不是让所有的冲突域直接物理连接.所以交换机有CPU,有内存,可以对frame进行处理等等.这些也是交换机和HUB的区别 3.网络层 我们前面的一些技术就可以构建出局域网了.有了网络层以后.数据才能够真正的在整个世界间传送 由于伦纳德博萨卡(Leonard Bosack)和姗蒂雷纳(Sandy Lerner)为了解决他们之间的通信问题(关于路由器发明的版本有很多.你听到的别的说法可能比这个说法更准确,但是谁知道呢.呵呵).路由器被发明用来解决信息孤岛问题.而且如果是由SWITCH来构建整个网络,那么整个网络将会有中心节点,这样也不符合ARPANET的初衷.所以我们有了这一层.(这样说可能会感觉本末倒置,但是先这么理解吧.) 这一层的基本单元是包(Packet).所有的包都有一个IP头.啊.听起来很熟悉不是么.IP就是用来在这层上面标识包的来源和目的地址的. 这层的一个主要概念就是路由,也就是和switch一样,把包转发到其他的地方.不过有个不同的地方,switch只有知道具体的MAC在哪里的情况下才能够发送给指定的计算机,而路由则不需要知道最终IP所在的计算机在哪个位置,只要知道那个途径可以过去就可以工作. 这3层构建了整个网络的基础.由于TCP/IP模型将最下面2层合并成为一层,所以在TCP/IP里面总共这2层也是整个构架最基础的内容.而网络方面要做的工作也都是针对于这2层做的.2: TCP/IP.真实世界的模型 上一讲里面我们说过OSI 7层模型只是一个理论模型,而实际中只需要保证7层的功能能够实现,实际分层无需按照7层来分.而且如果真的分7层.那么数据处理的速度便要慢许多. 在实际应用中.使用最多的便是DoD模型.也成为TCP/IP协议簇 DoD模型(Department Of Defanse Model 美国国防部模型)顾名思义,是美国国防部设计的一个网络模型.最早用于ARPANET.这些话可能在许多教材的第一章就会讲了.但是一般教材对于DoD模型与OSI模型对应关系都没有讲到.或者很多是模糊或者错误的. 在这里我就要描述一下2者对应关系.OSI模型有7层我们已经知道了,而DoD模型则只有4层.下面是对应关系 OSI DoD7.Application 6.Presentation |- 4. Application/Process5.Session 4.Transport - 3. Host to Host3.Network - 2. Internet2.Data Link - 1. Network Access1.Physical 由于我不会制表符.所以图有些难看.其实就是OSI的1.2层对应DoD的第1层，OSI的5.6.7对应DoD的第4层 其实这个还是比较容易记忆的 由于物理层和数据链路层非常密切.所以分为一个.然后上面依次对应,最上面的一大块成为应用层(处理层) 现在我们有了一个可用的实际模型了.不过一般我们在描述某个设备或者协议的时候.还是会使用OSI的模型,比如我们在讨论SWITCH的时候,就会说他是一个2层的设备.而路由器是一个3层的设备,还会有一些特殊的设备,比如3层交换机,4层交换机.这些都是使用OSI模型进行分类的.这点大家不要搞混淆了. 我们一直听说TCP或者UDP.还有什么SMTP.POP3.这些协议到底是在哪一层定义的那?接下来的一张图会给大家一个非常清晰的概念了(不能算是图拉 :D ). 4. APPLICATION HTTP,FTP,telnet,SNMP,SMTP,POP3,DNS等等 3.Host to Host TCP,UDP 2.internet ICMP,ARP,RARP,IP 1.Network Access Ethernet,FastEthernet,Token Ring等等 恩.这下清楚了.让我们从下至上来看看 首先是最下层的.包括了以太网,快速以太网,还有现在的千M以太网等等的协议,这些协议规定了线缆的绞数.连接方式等等物理层的东西.还有底层使用MAC通讯的方式等等. 接下来是IP.ARP这些.IP在OSI模型的时候也说过.通过IP地址.我们在转发包的时候无需知道具体目标机的位置.而路由器自然会根据路由表来转发.最后一站一站的慢慢传递.达到最终目标.而ARP协议就是在IP和MAC之间转换用的. 我在上一章提过,由于有了路由器,IP,整个网络才真正能够覆盖全球.所以这一层叫做internet大家也应该容易记忆了. WOW.TCP,UDP是我们听说最多的了.他是属于控制网络连接的.在OSI称为Transport.传输层.在DoD内是Host to Host 端对端.意思其实是一样的.就是在在2