TCP 連接斷鏈分析

　　在官方的正式文檔中，TCP/IP 協(xié)議簇也稱為國際互聯(lián)網(wǎng)協(xié)議簇。TCP/IP 協(xié)議簇是目前使用最為廣泛的全球互聯(lián)網(wǎng)技術(shù)，其分層結(jié)構(gòu)如圖 1 所示：

　　圖 1. TCP/IP 協(xié)議簇分層結(jié)構(gòu)

　　如圖 1 所示，數(shù)據(jù)鏈路層主要負(fù)責(zé)處理傳輸媒介等眾多的物理接口細(xì)節(jié)；網(wǎng)絡(luò)層負(fù)責(zé)處理數(shù)據(jù)分組在網(wǎng)絡(luò)中的活動，包括上層數(shù)據(jù)報(bào)文的分割、選路 phost2008-08-21T00:00:00 等；傳輸層則負(fù)責(zé)為兩臺主機(jī)提供端到端的通信；應(yīng)用層將負(fù)責(zé)處理應(yīng)用程序的特定細(xì)節(jié)。其中，IP 協(xié)議是網(wǎng)絡(luò)層的核心協(xié)議，用來提供不可靠、無連接的數(shù)據(jù)傳遞服務(wù)；而 TCP 協(xié)議則處于傳輸層，其基于不可靠無連接的 IP 協(xié)議能夠?yàn)閮膳_主機(jī)提供面向連接的、可靠的通信。UDP？

　　由于 TCP 是面向連接的協(xié)議，因此在兩臺主機(jī)通信之前，需要首先建立起一條連接。下面我們將簡要介紹 TCP 連接的建立以及通信雙方是如何保持已建立的 TCP 連接的。

　　TCP 連接的建立及保持

　　一個 TCP 連接的建立需要通過著名的“三次握手”來完成。下面的例子將直觀給出一個 TCP 連接的建立過程。

　　在本文的下述描述中，客戶端主機(jī)均為 testClient.cn.ibm.com（Linux），服務(wù)器主機(jī)均為 testServer.cn.ibm.com（AIX）。在 testClient 主機(jī)的一終端上執(zhí)行 tcpdump –i eth0 host testServer 命令，啟動 tcpdump 監(jiān)聽網(wǎng)絡(luò)數(shù)據(jù)（其中，eth0 是客戶主機(jī)與外部網(wǎng)絡(luò)進(jìn)行通信所使用的網(wǎng)卡）；與此同時，在客戶主機(jī)的另一個終端上執(zhí)行下述命令： （root@testClient /）》telnet testServer。此時客戶主機(jī)上 tcpdump 的輸出如清單 1 所示。

　　清單 1. 創(chuàng)建一個 TCP 連接的三次握手

　　# tcpdump –S -i en0 host testServer

　　1 14:02:38.384918 IP testClient.cn.ibm.com.43370 》

　　testServer.cn.ibm.com.telnet： S 3392458353:3392458353（0） …

　　2 14:02:38.629578 IP testServer.cn.ibm.com.telnet 》

　　testClient.cn.ibm.com.43370： S 881279296:881279296（0） ack 3392458354 …

　　3 14:02:38.629592 IP testClient.cn.ibm.com.43370 》

　　testServer.cn.ibm.com.telnet： 。 ack 881279297 …

　　注意：我們刪除了 tcpdump 輸出結(jié)果中的部分無關(guān)信息。為了便于理解，我們將上述輸出轉(zhuǎn)換為實(shí)際序列圖 2。

　　圖 2. TCP 建立創(chuàng)建三次握手的實(shí)際序列

　　從圖 2 中我們可以清楚地看到，在 testClient 與 testServer 之間建立連接時，要經(jīng)過以下三次握手過程：

　　testClient 向 testServer 主動發(fā)送握手協(xié)議，報(bào)文序列號為 3392458353，大小為 1 個字節(jié)。

　　testServer 向 testClient 主動發(fā)送握手協(xié)議，報(bào)文序列號為 881279296，大小為 1 個字節(jié)；同時返回 ACK 3392458354，作為對 testClient 發(fā)來的 3392458354 包的應(yīng)答。

　　testClient 向 testServer 返回 ACK 881279297，作為對 testServer 發(fā)來的 881279296 包的應(yīng)答。

　　一個 TCP 連接在完成上述的三次握手之后便建立完畢；此后，連接的兩端即可進(jìn)行信息的相互傳遞。因此，TCP 連接可以認(rèn)為是以兩端 IP 地址和端口進(jìn)行標(biāo)識的一個通信信道，而 TCP 連接的建立就是向通信雙方進(jìn)行上述通信信道注冊的過程。TCP 連接一旦建立，只要通信雙方之間的中間結(jié)點(diǎn)（包括網(wǎng)關(guān)和交換機(jī)、路由器等網(wǎng)絡(luò)設(shè)備）工作正常，那么在通信雙方中的任何一方主動關(guān)閉連接之前，TCP 連接都將被一直保持下去。

　　TCP 連接的這種特性，使得一個長期不交換任何信息的空閑連接可以長期保持?jǐn)?shù)小時、數(shù)天甚至數(shù)月。中間路由器可以崩潰、重啟，網(wǎng)線可以被掛斷再連通，只要兩端的主機(jī)沒有被重啟，TCP 連接就可以被一直保持下來。　　

　　導(dǎo)致 TCP 連接斷連的因素

　　理想狀態(tài)下，一個 TCP 連接可以被長期保持。然而，在實(shí)際應(yīng)用中，客戶端或服務(wù)器端上維持的一個看似正常的 TCP 連接可能已經(jīng)斷連。TCP 連接主要受到兩個方面的影響而導(dǎo)致斷連：網(wǎng)絡(luò)中間節(jié)點(diǎn)和客戶端 / 服務(wù)器節(jié)點(diǎn)參與通信的兩方節(jié)點(diǎn)？

　　在實(shí)際網(wǎng)絡(luò)應(yīng)用中，兩個主機(jī)之間的通信往往需要穿越多個中間節(jié)點(diǎn)，例如路由器、網(wǎng)關(guān)、防火墻等。因此，兩個主機(jī)之間 TCP 連接的保持同樣會受到中間節(jié)點(diǎn)的影響，尤其是會受到防火墻（軟件或硬件防火墻）的限制。防火墻是一種裝置，有多種不同的實(shí)現(xiàn)方式（軟件實(shí)現(xiàn)、硬件設(shè)備實(shí)現(xiàn) 或是軟硬件相結(jié)合實(shí)現(xiàn)），它需要依據(jù)一系列規(guī)則對進(jìn)出的信息流進(jìn)行掃描，并允許安全（符合規(guī)則）的信息交互、阻止不安全（違反規(guī)則）的信息交互。防火墻的 工作特性決定了要維護(hù)一個網(wǎng)絡(luò)連接就需要耗費(fèi)較多的資源，并且企業(yè)防火墻常常位于企業(yè)網(wǎng)絡(luò)的出入口，長時間維護(hù)非活躍的 TCP 連接必將導(dǎo)致網(wǎng)絡(luò)性能的下降。因此，大部分防火墻默認(rèn)會關(guān)閉長時間處于非活躍狀態(tài)的連接而導(dǎo)致 TCP 連接斷連。類似的，如果中間節(jié)點(diǎn)異常導(dǎo)致來自客戶端關(guān)閉連接的請求無法傳遞到服務(wù)器端，也將導(dǎo)致服務(wù)器端的相應(yīng)連接發(fā)生斷連。

　　另一方面，對于一個 TCP 連接兩端的主機(jī)而言，創(chuàng)建 TCP 連接需要耗費(fèi)一定的系統(tǒng)資源。如果不再使用某個連接，那么我們總是希望進(jìn)行通信的兩個主機(jī)能夠主動關(guān)閉相應(yīng)的連接，以便釋放所占用的系統(tǒng)資源。然而，如果 由于客戶端出現(xiàn)異常 （ 例如崩潰或異常重啟 ） 而導(dǎo)致連接未能正常關(guān)閉，這將導(dǎo)致服務(wù)器端的連接斷連。

　　無論是客戶端節(jié)點(diǎn)或是服務(wù)器端節(jié)點(diǎn)，斷連的 TCP 連接已經(jīng)不能傳遞任何信息，因此，維護(hù)大量斷連的 TCP 連接將導(dǎo)致系統(tǒng)資源的浪費(fèi)。這種系統(tǒng)資源的浪費(fèi)可能并不會對客戶端節(jié)點(diǎn)帶來太大問題；然而，對于服務(wù)器主機(jī)而言，這可能會導(dǎo)致系統(tǒng)資源（尤指內(nèi)存資源和 socket 資源）被耗盡而拒絕為新的用戶請求提供服務(wù)。因此在實(shí)際應(yīng)用中，服務(wù)器端需要采取相應(yīng)的方法來探測 TCP 連接是否已經(jīng)斷連。

　　探測 TCP 連接斷連的三種常用方法

　　探測 TCP 連接是否斷連或是工作正常的原理比較簡單：定期向連接的遠(yuǎn)程通信節(jié)點(diǎn)發(fā)送一定格式的信息并等待遠(yuǎn)程通信節(jié)點(diǎn)的反饋，如果在規(guī)定時間內(nèi)收到來自遠(yuǎn)程節(jié)點(diǎn)的正 確的反饋信息，那么該連接就是正常的，否則該連接已經(jīng)斷連。依據(jù)該原理，目前常用的探測方法有以下三種。

　　應(yīng)用程序的自我探測

　　應(yīng)用程序本身附帶探測其自身建立的 TCP 連接的功能。這種方法具有極大的靈活性，可以依據(jù)應(yīng)用本身的特點(diǎn)選擇相應(yīng)的探測機(jī)制和功能實(shí)現(xiàn)。然而，實(shí)際應(yīng)用中，大部分應(yīng)用程序均沒有附帶自我探測的功能。

　　第三方應(yīng)用程序的探測

　　此種方法就是在服務(wù)節(jié)點(diǎn)上安裝相應(yīng)的第三方應(yīng)用程序來探測該節(jié)點(diǎn)上所有的 TCP 連接是否正常或是已經(jīng)斷連。該方法最大的不足就是需要所有支持探測的客戶端能夠識別來自該探測應(yīng)用的數(shù)據(jù)報(bào)文，因此，實(shí)際應(yīng)用中比較少見。

　　TCP 協(xié)議層的?；钐綔y

　　最常用的探測方法就是采用 TCP 協(xié)議層提供的?；钐綔y功能即 TCP 連接保活定時器。盡管該功能并不是 RFC 規(guī)范的一部分，但是幾乎所有的類 Unix 系統(tǒng)均實(shí)現(xiàn)了該功能，所以使得該探測方法被廣泛使用。

　　接下來的部分，我們將重點(diǎn)討論來自 TCP 協(xié)議層的?；钐綔y方法。

　　類 Unix 系統(tǒng)上的 TCP 連接?；疃〞r器

　　TCP 連接的?；疃〞r器可以在應(yīng)用層實(shí)現(xiàn)，也可以在 TCP 中提供。這個問題存在爭議，因此 TCP 連接的?；钐綔y并不是 TCP 規(guī)范中的一部分。但為了方便，幾乎所有類 Unix 系統(tǒng)均在 TCP 中提供了相應(yīng)的功能。

　　清單 2. 常見 Unix 系統(tǒng)上的?；疃〞r器

　　操作系統(tǒng) ?；疃〞r器

　　AIX# no -a | grep keep

　　tcp_keepcnt = 8

　　tcp_keepidle = 14400

　　tcp_keepintvl = 150

　　Linux# sysctl -A | grep keep

　　net.ipv4.tcp_keepalive_intvl = 75

　　net.ipv4.tcp_keepalive_probes = 9

　　net.ipv4.tcp_keepalive_time = 7200

　　FreeBSD#sysctl -A | grep net.inet.tcp

　　net.inet.tcp.keepidle=…

　　net.inet.tcp.keepintvl=…

　　不同系統(tǒng)上的各參數(shù)的時間單位不盡相同。在 AIX 上，tcp_keeidle/tcp_keepinit/tcp_keepintvl 的時間單位是 0.5 秒；而在 Linux 上，net.ipv4.tcp_keepalive_intvl 和 net.ipv4.tcp_keepalive_time 的時間單位則為秒。并且，上述參數(shù)僅對運(yùn)行在其上的服務(wù)器應(yīng)用連接有效。

　　注：在 Solaris 上可通過“ndd /dev/tcp \？”命令顯示上述類似參數(shù)信息，而在 HP Unix 上則可通過 nettune 或 ndd 命令進(jìn)行查詢。

　　由于所有類 Unix 系統(tǒng)上均支持這種功能，因此，在接下來的部分中我們將基于 AIX 系統(tǒng)具體講述上述參數(shù)的意義和作用機(jī)制。

　　AIX 中的 TCP 連接?；钐綔y機(jī)制及原理

　　正如清單 2 中列出的一樣，AIX 上的?；钐綔y機(jī)制由 4 個參數(shù)來控制，其具體意義見清單 3：

　　清單 3. AIX 上的?；疃〞r器控制參數(shù)