一、TCP报文格式

　　下面是TCP报文格式图：

　　　　　　　　　　

　　(1) 序号, Seq(Sequence number), 占32位，用来标识从TCP源端向目的端发送的字节流，发起方发送数据时对此进行标记。

　　(2) 确认号, Ack(Acknowledge number), 占32位, 只有ACK标志位为1时，确认序号字段才有效，Ack=Seq+1。

　　(3) 标志位  有6种标示(SYN、ACK、PSH、RST、URG、FIN):

　　　　① SYN(synchronous建立联机)

　　　　② ACK(acknowledgement 确认)

　　　　③ PSH(push传送)

　　　　④ RST(reset重置)

　　　　⑤ URG(urgent紧急)

　　　　⑥ FIN(finish结束)

　　注：

　　　　① 不要将确认号Ack(Acknowledge number)  和  标志位中的 ACK(acknowledgement)混淆

 二、三次握手

　　

　　(1) 第一次握手: Client将标志位SYN置为1, 随机产生一个seq=J, 并将该数据包发送给Server, Client进入SYN_SENT状态, 等待

　　　　　　　　　Server确认.

　　(2) 第二次握手: Server收到数据包后由标志位SYN=1知道Client请求建立连接, Server将标志位SYN和ACK都置为1，ack=J+1,

　　　　　　　　　 随机产生一个值seq=K，并将该数据包发送给Client以确认连接请求，Server进入SYN_RECV状态.

　　(3) 第三次握手: Client收到确认后, 检查ack是否为J+1, ACK是否为1, 如果正确则将标志位ACK置为1，ack=K+1, 并将该数据

　　　　　　　　　包发送给Server，Server检查ack是否为K+1, ACK是否为1, 如果正确则连接建立成功, Client和Server进入

　　　　　　　　　ESTABLISHED状态, 完成三次握手, 随后Client与Server之间可以开始传输数据了.　

　　SYN攻击:

　　　　  在三次握手过程中, Server发送SYN_ACK之后, 收到Client的ACK之前的TCP连接称为 半连接(half-open connect), 此时

　　Server处于SYN_RECV状态，Server转入ESTABLISHED状态. SYN攻击就是Client在短时间内伪造不存在的IP地址, 并向Server

　　不断的发送SYN包, Server回复确认包, 并等待Client确认, 由于源地址不存在的, 因此Server需要不断重发直至超时, 这些伪造的

　　SYN包将产时间占用未连接队列, 导致正常的SYN请求因为队列满而被丢弃, 从而引起网络堵塞甚至系统瘫痪. SYN攻击时一种典

　　型的DDOS攻击, 检测SYN攻击的方式非常简单, 即当Server上有大量半连接状态切源IP地址是随机的, 则可以断定遭到SYN攻击

　　了, 使用如下命令可以让之现行:

　　　　　　#netstat -nap | grep SYN_RECV

四、四次挥手

 　　　　所谓四次挥手就是终止TCP连接, 就是要断开一个TCP连接时, 需要客户端和服务器总共进行四次交互。在socket编程中, 这个

　　执行过程由客户端或者服务器任意一方执行close来触发, 下面是断开流程图：

　　　　

　　　　由于TCP连接时全双工的, 因此, 每个方向都必须要单独进行关闭, 这一原则是当一方完成数据发送任务后, 发送一个FIN来终止

　　这一方向的连接,收到一个FIN只是意味着这一方向上没有数据流动了, 即不会再收到数据了, 但是在这个TCP连接上仍然能够发送数

　　据，直到这一方向也发送了FIN. 首先进行关闭的一方将执行主动关闭，而另一方则执行被动关闭，上图描述的即是如此。

　　(1) 第一次挥手: Client发送一个FIN, 用来关闭Client 到 Server的数据传输, Client进入FIN_WAIT_1状态

　　(2) 第二次挥手: Server收到FIN后, 发送一个ACK给Client, 确认序号为收到的序号+1(与SYN相同, 一个FIN占用一个序号),

　　　　　　　　　　Server进入CLOSE_WAIT状态

　　(3) 第三次挥手: Server发送一个FIN后, 用来关闭Server到Client的数据传输, Server进入LAST_ACK状态

　　(4) 第四次挥手: Client收到FIN后, Client进入TIME_WAIT状态, 接着发送一个ACK给Server, 确认序号为收到序号+1, Server

　　　　　　　　　　进入CLOSED状态, 完成四次挥手

四、状态 

　　SYN_SENT状态: 

　　　　　　当客户端SOCKET执行CONNECT连接时，它首先发送SYN报文，因此也随即它会进入到了SYN_SENT状态，并等待服务

　　　　端的发送三次握手中的第2个报文。SYN_SENT状态表示客户端已发送SYN报文. (发送端)

　　SYN_RCVD状态:  这个状态与SYN_SENT相呼应这个状态表示接受到了SYN报文.

　　ESTABLISHED:  表示连接已经建立了.

　　CLOSE_WAIT状态: 

　　　　 　发起TCP连接关闭的一方称为client，被动关闭的一方称为server. 被动关闭的server收到FIN后, 但未发出ACK的TCP状态

　　是CLOSE_WAIT. 出现这种状况一般都是由于server端代码的问题, 如果你的服务器上出现大量CLOSE_WAIT, 应该要考虑检查代码.

　　TIME_WAIT状态:

　　　　　表示收到了对方的FIN报文, 并发送出ACK报文, 就等2MSL后即可回到CLOSED可用状态. 

　　LAST_ACK:

　　　　　表示被关闭的一方在发送FIN报文后, 最后等待对方的ACK报文. 当收到ACK报文后, 也即可以进入到CLOSED状态了.

　　CLOSED: 表示连接中断.  

五、总结

　　关于三次握手与四次挥手通常都会有典型的面试题:

　　(1) 三次握手是什么或者流程? 四次握手呢? 答案前面分析就是.

　　(2) 为什么连接时是三次握手, 而关闭连接却是四次挥手?

　　　　这是因为服务端在LISTEN状态下, 收到建立连接请求的SYN报文后, 把ACK和SYN放在一个报文里发送给客户端. 而关闭连接时,

　　当收到对方的FIN报文时, 仅仅表示对方不在发送数据了, 但是还能接收数据, 己方也未必全部数据都发送对方了, 所以己方可以立即

　　close, 也可以发送一些数据给对方后, 再发送FIN报文给对方来表示同意现在关闭连接, 因此, 己方ACK和FIN一般都会分开发送。

参考文章:

　　http://blog.csdn.net/xifeijian/article/details/12777187

　　http://www.cnblogs.com/Jessy/p/3535612.html　　　　

　　http://blog.csdn.net/renzhenhuai/article/details/12105457 

http://www.cnblogs.com/jiangson/p/5980681.html