面试高频考点：深入解析 TCP 三次握手与四次挥手原理

1.6 SYN 攻击与防御

原理： 服务器在二次握手时分配资源，客户端在三次握手后分配资源。攻击者伪造大量不存在 IP 地址发送 SYN 包，服务器回复 SYN-ACK 并等待确认。由于源地址不存在，服务器不断重传直至超时，占用半连接队列，导致正常请求被丢弃，形成 DoS/DDoS 攻击。

检测： 使用 netstat -n -p TCP | grep SYN_RECV 查看大量半连接状态。

防御：

1. 缩短 SYN Timeout 时间。
2. 增加最大半连接数。
3. 网关过滤。
4. 开启 SYN Cookies 技术（内核参数 net.ipv4.tcp_syncookies = 1）。

2. 四次挥手详解

终止连接需经过四次挥手，由 TCP 的半关闭（Half-Close）特性决定。即一端结束发送后仍能接收另一端数据的能力。

2.1 挥手流程

假设客户端主动发起关闭：

第一次挥手： 客户端发送 FIN 报文，指定序列号 u。进入 FIN_WAIT1 状态，停止发送数据。

• FIN=1, seq=u

第二次挥手： 服务端收到 FIN，发送 ACK 报文，确认号 ack=u+1。进入 CLOSE_WAIT 状态。此时 TCP 处于半关闭状态。

• ACK=1, ack=u+1, seq=v

第三次挥手： 服务端处理完剩余数据后，发送 FIN 报文，指定序列号 w。进入 LAST_ACK 状态。

• FIN=1, ACK=1, seq=w, ack=u+1

第四次挥手： 客户端收到 FIN，发送 ACK 报文，确认号 ack=w+1。进入 TIME_WAIT 状态。等待 2MSL 后进入 CLOSED 状态。

• ACK=1, seq=u+1, ack=w+1

服务端收到 ACK 后直接进入 CLOSED 状态。

2.2 为什么挥手需要四次？

关闭连接时，当服务端收到 FIN，可能还有数据要发送，不能立即关闭。因此先回复 ACK 告知收到 FIN，等所有数据发完后才发送 FIN。这导致了 ACK 和 FIN 分开发送，形成四次交互。

2.3 TIME_WAIT 状态与 2MSL

TIME_WAIT 状态也称为 2MSL 等待状态。MSL（Maximum Segment Lifetime）是报文段在网络中的最大生存时间。

停留 2MSL 的意义：

1. 保证最后一个 ACK 到达： 若 ACK 丢失，服务端会重传 FIN+ACK。客户端在 2MSL 内能收到并重传确认，确保服务端正常关闭。
2. 防止旧连接干扰： 2MSL 足够让本连接产生的所有报文段从网络消失，避免新连接中出现旧的重复报文段。

TIME_WAIT 的危害： 在高并发场景下，大量 TIME_WAIT 连接会耗尽端口资源。可通过设置 SO_REUSEADDR 选项允许重用本地端口，或调整内核参数减少 TIME_WAIT 数量。

3. TCP 报文首部结构补充

理解 TCP 握手需了解报文结构。标准首部至少 20 字节，包含以下关键字段：

• 源端口/目的端口： 16 位，标识进程。
• 序列号/确认号： 32 位，用于可靠传输。
• 数据偏移： 4 位，指示首部长度。
• 保留位： 6 位，保留供未来使用。
• 标志位： URG, ACK, PSH, RST, SYN, FIN，各占 1 位，控制连接状态。
• 窗口大小： 16 位，流量控制。
• 校验和： 16 位，确保数据完整性。
• 紧急指针： 16 位，标记紧急数据。

4. Linux 内核调优建议

在生产环境中，针对 TCP 性能可进行如下调优：

1. 增大半连接队列：

   sysctl -w net.ipv4.tcp_max_syn_backlog=2048
   

2. 开启 SYN Cookies：

   sysctl -w net.ipv4.tcp_syncookies=1
   

3. 缩短 TIME_WAIT 回收时间：

   sysctl -w net.ipv4.tcp_tw_reuse=1
   

4. 调整端口范围：

   sysctl -w net.ipv4.ip_local_port_range="1024 65535"
   

5. 总结

TCP 状态变迁图是理解连接管理的核心工具。粗实线箭头代表客户端状态变迁，虚线代表服务端。掌握三次握手与四次挥手的细节，不仅有助于应对面试，更能指导生产环境的网络故障排查与性能优化。在实际开发中，应关注队列溢出、端口耗尽及连接重置等异常情况，结合内核参数合理配置，确保服务稳定性。