TCP连接管理
每一条 TCP 连接有两个端点。TCP 连接到端口叫做套接字（socket）或插口。端口拼接到 IP 地址（IP地址：端口号）即构成了套接字。
每一条 TCP 连接唯一地被通信两端的两个端点（即两个套接字）所确定
或者可以是这样一种说法：一个tcp连接由一个连接四元组唯一标识。连接四元组是指<\source ip,source port,target ip,target port>。
用套接字这个概念是在网络编程中可以直接调用socket函数创建套接字。
主动发起连接建立的应用进程叫做客户机，而被动等待连接建立的应用进程叫做服务器。
客户机的 TCP由应用程序发起，应用程序产生的进程创建一个socket（套接字、插口），创建socket的内存缓冲区（发送缓冲区和接收缓冲区），不同的应用程序有不同的socket，socket会关联一个叫做TCP控制块（TCB）（TCP的task control blocks）的结构，TCB包含了处理TCP连接所需的数据。包括连接状态（LISTEN，ESTABLISHED，TIME_WAIT），接收窗口，阻塞窗口，顺序号，重发计时器，等等。
应用程序对要发送的用户数据封装首部形成应用数据， 并把应用数据插入到socket的发送缓冲区末尾，这样来保证发送的数据有序（拷贝到内存中）。之后，TCP被调用了。如果TCP 连接建立成功，当前的TCP状态允许数据传输，一个新的TCP分段（TCP segment）将被创建。如果由于不能传输数据（由于流量控制或者其它原因），系统调用TCP会在这里结束，之后会返回到用户态。（换句话说，控制权会交回到应用程序代码）。
每一个 TCP 连接有三个阶段：连接建立、数据传送、连接释放
TCP连接的建立
TCP首部标志位：
URG(urgent紧急)、
ACK(acknowledgement 确认)、
PSH(push传送)、
RST(reset重置)、
SYN(synchronous建立联机)、
FIN(finish结束)
第一步：
客户机的 TCP 首先向服务器的 TCP 发送一个连接请求报文段。这个特殊的报文段不含应用层数据，其中首部中的 SYN 标志位被置为 1。
另外，客户机会随机选择一个起始序号 seq=x （连接请求报文不携带数据，但要消耗一个序号）
第二步：
服务器的 TCP 收到连接请求报文段后，如同意建立连接，就向客户机发回确认，并为该 TCP 连接动态调整TCP 缓存和变量。
在确认报文中，SYN 和 ACK 位都被置为1，确认号字段的值为 x+1，并且服务器随机随机产生起始序号 seq=y（确认报文不携带数据，但要消耗一个序号）。确认报文段同样不包含应用层数据。
第三步：
当客户机收到确认报文段后，还要向服务器给出确认，并且也要给该连接动态调整缓存和变量。
这个报文段的 ACK 标志位被置为1，序号字段为 x+1，确认号字段 ack=y+1。该报文段可以携带数据，如果不携带数据则不消耗序号。
以上三步以后，TCP 连接就建立了，接下来就可以传送应用层数据。TCP 提供的是双全工通信，因此通信双方的应用进程在任何时候都能发送数据。
TCP/IP的关键特性
1.面向连接
首先，传输数据前需要在两个终端之间建立连接（本地和远程）。
2.双向字节流
通过字节流实现双向数据通信。
3.顺序投递
接收者在接收数据时与发送者发送的数据顺序相同。因此，数据需要是有序的，为了表示这个顺序，TCP/IP使用了32位的int数据类型。
4.通过ACK实现可靠性
当发送者向接收者发送数据，但没有收到来自接收方的ACK（acknowledgement，应答）时，发送者的TCP层将重发数据。因此，发送者的TCP层会把接收者还没有应答的数据暂存起来。
5.流量控制（滑动窗口机制）
发送者的发送速度与接收者的接收能力相关。接收者会把它能接收的最大字节数（未使用的缓冲区大小，又叫接收窗口，receive window）告知发送者。发送者发送的最大字节数（发送窗口）与接收者的接收窗口大小一致。
6.阻塞控制
阻塞窗口是不同于滑动窗口的另一个概念，它通过限制网络中的数据流的体积来防止网络阻塞。和流量控制不同，阻塞控制只在发送方实现。（发送者类似于通过ack时间之类的算法判断当前网络是否阻塞，从而调节发送速度）
TCP通过一个timer采样了RTT并计算RTO
RTT(Round Trip Time)：一个连接的往返时间，即数据发送时刻到接收到确认的时刻的差值；
RTO(Retransmission Time Out)：重传超时时间，即从数据发送时刻算起，超过这个时间便执行重传。
阻塞控制算法主要有1）慢启动，2）拥塞避免，3）加速递减，4）快重传和快恢复
TCP连接的释放
TCP连接的释放通常称为“四次挥手”，参与 TCP 连接的两个进程中的任何一个都能终止该连接。
第一步：
客户机打算关闭连接，就像其 TCP 发送一个连接释放的报文段，并停止发送数据，主动关闭 TCP连接，该报文段的 FIN 标志位被置为1，seq=u，它等于前面已传送过的数据的最后一个字节的序号+1（FIN 报文段即使不携带数据也要消耗掉一个序号）
TCP 是双全工的，即可以想象成是一条 TCP 连接上有两条数据通路。当发送 FIN 报文时，发送 FIN 的一端就不能再发送数据，也就关闭了其中一条数据通路，但对方还可以发送数据。
第二步：
服务器收到连接释放报文段后即发出确认，确认号是 ack=u+1，而这个报文段自己的序号是 v ，等于它前面已传送的数据的最后一个字节的序号加1。
此时，从客户机到服务器这个方向的连接就释放了，TCP 连接处于半关闭状态。但服务器若发送数据，客户机仍要接收，即从服务器到客户机这个方向的连接并未关闭。
第三步：
若服务器已经没有向客户机发送的数据，就通知 TCP 释放连接，此时其发出 FIN=1 的连接释放报文段。
第四步：
客户机收到连接释放报文段后，必须发出确认。在确认报文段中，ACK 字段被置为1，确认号 ack=w+1，序号 seq=u+1。
此时 TCP 连接还没有释放掉，必须经过时间等待计时器设置的时间 2MSL 后，A 才进入到连接关闭状态。
TCP简略的交互示意图如下：
TCP攻击分类
TCP攻击可以简单的分为以下三类：
1.FLOOD类攻击，例如发送海量的syn,syn_ack,ack,fin等报文，占用服务器资源，使之无法提供服务。
2.连接耗尽类攻击，如与被攻击方，完成三次握手后不再发送报文一直维持连接，或者立刻发送FIN或RST报文，断开连接后再次快速发起新的连接等，消耗TCP连接资源。 还有一类则比较巧妙，是在我们上述没有做分析的数据传输过程中的利用TCP本身的流控，可靠性保证等机制来达到攻击的目的。
3. 利用协议特性攻击：例如攻击这建好连接之后，基于TCP的流控特性，立马就把TCP窗口值设为0，然后断开连接，则服务器就要等待Windows开放，造成资源不可用。或者发送异常报文，可能造成被攻击目标奔溃