TCP 連接斷鏈分析
在官方的正式文檔中,TCP/IP 協(xié)議簇也稱為國(guó)際互聯(lián)網(wǎng)協(xié)議簇。TCP/IP 協(xié)議簇是目前使用最為廣泛的全球互聯(lián)網(wǎng)技術(shù),其分層結(jié)構(gòu)如圖 1 所示:
圖 1. TCP/IP 協(xié)議簇分層結(jié)構(gòu)

如圖 1 所示,數(shù)據(jù)鏈路層主要負(fù)責(zé)處理傳輸媒介等眾多的物理接口細(xì)節(jié);網(wǎng)絡(luò)層負(fù)責(zé)處理數(shù)據(jù)分組在網(wǎng)絡(luò)中的活動(dòng),包括上層數(shù)據(jù)報(bào)文的分割、選路 phost2008-08-21T00:00:00 等;傳輸層則負(fù)責(zé)為兩臺(tái)主機(jī)提供端到端的通信;應(yīng)用層將負(fù)責(zé)處理應(yīng)用程序的特定細(xì)節(jié)。其中,IP 協(xié)議是網(wǎng)絡(luò)層的核心協(xié)議,用來(lái)提供不可靠、無(wú)連接的數(shù)據(jù)傳遞服務(wù);而 TCP 協(xié)議則處于傳輸層,其基于不可靠無(wú)連接的 IP 協(xié)議能夠?yàn)閮膳_(tái)主機(jī)提供面向連接的、可靠的通信。UDP?
由于 TCP 是面向連接的協(xié)議,因此在兩臺(tái)主機(jī)通信之前,需要首先建立起一條連接。下面我們將簡(jiǎn)要介紹 TCP 連接的建立以及通信雙方是如何保持已建立的 TCP 連接的。
TCP 連接的建立及保持
一個(gè) TCP 連接的建立需要通過(guò)著名的“三次握手”來(lái)完成。下面的例子將直觀給出一個(gè) TCP 連接的建立過(guò)程。
在本文的下述描述中,客戶端主機(jī)均為 testClient.cn.ibm.com(Linux),服務(wù)器主機(jī)均為 testServer.cn.ibm.com(AIX)。在 testClient 主機(jī)的一終端上執(zhí)行 tcpdump –i eth0 host testServer 命令,啟動(dòng) tcpdump 監(jiān)聽網(wǎng)絡(luò)數(shù)據(jù)(其中,eth0 是客戶主機(jī)與外部網(wǎng)絡(luò)進(jìn)行通信所使用的網(wǎng)卡);與此同時(shí),在客戶主機(jī)的另一個(gè)終端上執(zhí)行下述命令: (root@testClient /)》telnet testServer。此時(shí)客戶主機(jī)上 tcpdump 的輸出如清單 1 所示。
清單 1. 創(chuàng)建一個(gè) TCP 連接的三次握手
# tcpdump –S -i en0 host testServer
1 14:02:38.384918 IP testClient.cn.ibm.com.43370 》
testServer.cn.ibm.com.telnet: S 3392458353:3392458353(0) …
2 14:02:38.629578 IP testServer.cn.ibm.com.telnet 》
testClient.cn.ibm.com.43370: S 881279296:881279296(0) ack 3392458354 …
3 14:02:38.629592 IP testClient.cn.ibm.com.43370 》
testServer.cn.ibm.com.telnet: 。 ack 881279297 …
注意:我們刪除了 tcpdump 輸出結(jié)果中的部分無(wú)關(guān)信息。為了便于理解,我們將上述輸出轉(zhuǎn)換為實(shí)際序列圖 2。
圖 2. TCP 建立創(chuàng)建三次握手的實(shí)際序列

從圖 2 中我們可以清楚地看到,在 testClient 與 testServer 之間建立連接時(shí),要經(jīng)過(guò)以下三次握手過(guò)程:
testClient 向 testServer 主動(dòng)發(fā)送握手協(xié)議,報(bào)文序列號(hào)為 3392458353,大小為 1 個(gè)字節(jié)。
testServer 向 testClient 主動(dòng)發(fā)送握手協(xié)議,報(bào)文序列號(hào)為 881279296,大小為 1 個(gè)字節(jié);同時(shí)返回 ACK 3392458354,作為對(duì) testClient 發(fā)來(lái)的 3392458354 包的應(yīng)答。
testClient 向 testServer 返回 ACK 881279297,作為對(duì) testServer 發(fā)來(lái)的 881279296 包的應(yīng)答。
一個(gè) TCP 連接在完成上述的三次握手之后便建立完畢;此后,連接的兩端即可進(jìn)行信息的相互傳遞。因此,TCP 連接可以認(rèn)為是以兩端 IP 地址和端口進(jìn)行標(biāo)識(shí)的一個(gè)通信信道,而 TCP 連接的建立就是向通信雙方進(jìn)行上述通信信道注冊(cè)的過(guò)程。TCP 連接一旦建立,只要通信雙方之間的中間結(jié)點(diǎn)(包括網(wǎng)關(guān)和交換機(jī)、路由器等網(wǎng)絡(luò)設(shè)備)工作正常,那么在通信雙方中的任何一方主動(dòng)關(guān)閉連接之前,TCP 連接都將被一直保持下去。
TCP 連接的這種特性,使得一個(gè)長(zhǎng)期不交換任何信息的空閑連接可以長(zhǎng)期保持?jǐn)?shù)小時(shí)、數(shù)天甚至數(shù)月。中間路由器可以崩潰、重啟,網(wǎng)線可以被掛斷再連通,只要兩端的主機(jī)沒(méi)有被重啟,TCP 連接就可以被一直保持下來(lái)。
導(dǎo)致 TCP 連接斷連的因素
理想狀態(tài)下,一個(gè) TCP 連接可以被長(zhǎng)期保持。然而,在實(shí)際應(yīng)用中,客戶端或服務(wù)器端上維持的一個(gè)看似正常的 TCP 連接可能已經(jīng)斷連。TCP 連接主要受到兩個(gè)方面的影響而導(dǎo)致斷連:網(wǎng)絡(luò)中間節(jié)點(diǎn)和客戶端 / 服務(wù)器節(jié)點(diǎn)參與通信的兩方節(jié)點(diǎn)?
在實(shí)際網(wǎng)絡(luò)應(yīng)用中,兩個(gè)主機(jī)之間的通信往往需要穿越多個(gè)中間節(jié)點(diǎn),例如路由器、網(wǎng)關(guān)、防火墻等。因此,兩個(gè)主機(jī)之間 TCP 連接的保持同樣會(huì)受到中間節(jié)點(diǎn)的影響,尤其是會(huì)受到防火墻(軟件或硬件防火墻)的限制。防火墻是一種裝置,有多種不同的實(shí)現(xiàn)方式(軟件實(shí)現(xiàn)、硬件設(shè)備實(shí)現(xiàn) 或是軟硬件相結(jié)合實(shí)現(xiàn)),它需要依據(jù)一系列規(guī)則對(duì)進(jìn)出的信息流進(jìn)行掃描,并允許安全(符合規(guī)則)的信息交互、阻止不安全(違反規(guī)則)的信息交互。防火墻的 工作特性決定了要維護(hù)一個(gè)網(wǎng)絡(luò)連接就需要耗費(fèi)較多的資源,并且企業(yè)防火墻常常位于企業(yè)網(wǎng)絡(luò)的出入口,長(zhǎng)時(shí)間維護(hù)非活躍的 TCP 連接必將導(dǎo)致網(wǎng)絡(luò)性能的下降。因此,大部分防火墻默認(rèn)會(huì)關(guān)閉長(zhǎng)時(shí)間處于非活躍狀態(tài)的連接而導(dǎo)致 TCP 連接斷連。類似的,如果中間節(jié)點(diǎn)異常導(dǎo)致來(lái)自客戶端關(guān)閉連接的請(qǐng)求無(wú)法傳遞到服務(wù)器端,也將導(dǎo)致服務(wù)器端的相應(yīng)連接發(fā)生斷連。
另一方面,對(duì)于一個(gè) TCP 連接兩端的主機(jī)而言,創(chuàng)建 TCP 連接需要耗費(fèi)一定的系統(tǒng)資源。如果不再使用某個(gè)連接,那么我們總是希望進(jìn)行通信的兩個(gè)主機(jī)能夠主動(dòng)關(guān)閉相應(yīng)的連接,以便釋放所占用的系統(tǒng)資源。然而,如果 由于客戶端出現(xiàn)異常 ( 例如崩潰或異常重啟 ) 而導(dǎo)致連接未能正常關(guān)閉,這將導(dǎo)致服務(wù)器端的連接斷連。
無(wú)論是客戶端節(jié)點(diǎn)或是服務(wù)器端節(jié)點(diǎn),斷連的 TCP 連接已經(jīng)不能傳遞任何信息,因此,維護(hù)大量斷連的 TCP 連接將導(dǎo)致系統(tǒng)資源的浪費(fèi)。這種系統(tǒng)資源的浪費(fèi)可能并不會(huì)對(duì)客戶端節(jié)點(diǎn)帶來(lái)太大問(wèn)題;然而,對(duì)于服務(wù)器主機(jī)而言,這可能會(huì)導(dǎo)致系統(tǒng)資源(尤指內(nèi)存資源和 socket 資源)被耗盡而拒絕為新的用戶請(qǐng)求提供服務(wù)。因此在實(shí)際應(yīng)用中,服務(wù)器端需要采取相應(yīng)的方法來(lái)探測(cè) TCP 連接是否已經(jīng)斷連。
探測(cè) TCP 連接斷連的三種常用方法
探測(cè) TCP 連接是否斷連或是工作正常的原理比較簡(jiǎn)單:定期向連接的遠(yuǎn)程通信節(jié)點(diǎn)發(fā)送一定格式的信息并等待遠(yuǎn)程通信節(jié)點(diǎn)的反饋,如果在規(guī)定時(shí)間內(nèi)收到來(lái)自遠(yuǎn)程節(jié)點(diǎn)的正 確的反饋信息,那么該連接就是正常的,否則該連接已經(jīng)斷連。依據(jù)該原理,目前常用的探測(cè)方法有以下三種。
應(yīng)用程序的自我探測(cè)
應(yīng)用程序本身附帶探測(cè)其自身建立的 TCP 連接的功能。這種方法具有極大的靈活性,可以依據(jù)應(yīng)用本身的特點(diǎn)選擇相應(yīng)的探測(cè)機(jī)制和功能實(shí)現(xiàn)。然而,實(shí)際應(yīng)用中,大部分應(yīng)用程序均沒(méi)有附帶自我探測(cè)的功能。
第三方應(yīng)用程序的探測(cè)
此種方法就是在服務(wù)節(jié)點(diǎn)上安裝相應(yīng)的第三方應(yīng)用程序來(lái)探測(cè)該節(jié)點(diǎn)上所有的 TCP 連接是否正?;蚴且呀?jīng)斷連。該方法最大的不足就是需要所有支持探測(cè)的客戶端能夠識(shí)別來(lái)自該探測(cè)應(yīng)用的數(shù)據(jù)報(bào)文,因此,實(shí)際應(yīng)用中比較少見。
TCP 協(xié)議層的?;钐綔y(cè)
最常用的探測(cè)方法就是采用 TCP 協(xié)議層提供的?;钐綔y(cè)功能即 TCP 連接?;?a href="http://qiaming.cn/tags/定時(shí)器/" target="_blank">定時(shí)器。盡管該功能并不是 RFC 規(guī)范的一部分,但是幾乎所有的類 Unix 系統(tǒng)均實(shí)現(xiàn)了該功能,所以使得該探測(cè)方法被廣泛使用。
接下來(lái)的部分,我們將重點(diǎn)討論來(lái)自 TCP 協(xié)議層的保活探測(cè)方法。
類 Unix 系統(tǒng)上的 TCP 連接?;疃〞r(shí)器
TCP 連接的?;疃〞r(shí)器可以在應(yīng)用層實(shí)現(xiàn),也可以在 TCP 中提供。這個(gè)問(wèn)題存在爭(zhēng)議,因此 TCP 連接的保活探測(cè)并不是 TCP 規(guī)范中的一部分。但為了方便,幾乎所有類 Unix 系統(tǒng)均在 TCP 中提供了相應(yīng)的功能。
清單 2. 常見 Unix 系統(tǒng)上的?;疃〞r(shí)器
操作系統(tǒng) 保活定時(shí)器
AIX# no -a | grep keep
tcp_keepcnt = 8
tcp_keepidle = 14400
tcp_keepintvl = 150
Linux# sysctl -A | grep keep
net.ipv4.tcp_keepalive_intvl = 75
net.ipv4.tcp_keepalive_probes = 9
net.ipv4.tcp_keepalive_time = 7200
FreeBSD#sysctl -A | grep net.inet.tcp
net.inet.tcp.keepidle=…
net.inet.tcp.keepintvl=…
不同系統(tǒng)上的各參數(shù)的時(shí)間單位不盡相同。在 AIX 上,tcp_keeidle/tcp_keepinit/tcp_keepintvl 的時(shí)間單位是 0.5 秒;而在 Linux 上,net.ipv4.tcp_keepalive_intvl 和 net.ipv4.tcp_keepalive_time 的時(shí)間單位則為秒。并且,上述參數(shù)僅對(duì)運(yùn)行在其上的服務(wù)器應(yīng)用連接有效。
注:在 Solaris 上可通過(guò)“ndd /dev/tcp \?”命令顯示上述類似參數(shù)信息,而在 HP Unix 上則可通過(guò) nettune 或 ndd 命令進(jìn)行查詢。
由于所有類 Unix 系統(tǒng)上均支持這種功能,因此,在接下來(lái)的部分中我們將基于 AIX 系統(tǒng)具體講述上述參數(shù)的意義和作用機(jī)制。
AIX 中的 TCP 連接?;钐綔y(cè)機(jī)制及原理
正如清單 2 中列出的一樣,AIX 上的?;钐綔y(cè)機(jī)制由 4 個(gè)參數(shù)來(lái)控制,其具體意義見清單 3:
清單 3. AIX 上的保活定時(shí)器控制參數(shù)
電子發(fā)燒友App



























評(píng)論