网络协议
功能
当应用层向TCP层发送用于网间传输的、用8位字节表示的数据流，TCP则把数据流分割成适当长度的报文段，最大传输段大小（MSS）通常受该计算机连接的网络的数据链路层的最大传送单元（MTU）限制。之后TCP把数据包传给IP层，由它来通过网络将包传送给接收端实体的TCP层。
TCP为了保证报文传输的可靠，就给每个包一个序号，同时序号也保证了传送到接收端实体的包的按序接收。然后接收端实体对已成功收到的字节发回一个相应的确认(ACK)；如果发送端实体在合理的往返时延(RTT)内未收到确认，那么对应的数据（假设丢失了）将会被重传。
在数据正确性与合法性上，TCP用一个校验和函数来检验数据是否有错误，在发送和接收时都要计算校验和；同时可以使用md5认证对数据进行加密。
在保证可靠性上，采用超时重传和捎带确认机制。
在流量控制上，采用滑动窗口协议，协议中规定，对于窗口内未经确认的分组需要重传。
在拥塞控制上，采用广受好评的TCP拥塞控制算法（也称AIMD算法）。该算法主要包括三个主要部分：1）加性增、乘性减；2）慢启动；3）对超时事件做出反应。
实行标准
TCP/IP(Transmission Control Protocol/Internet Protocol) 即传输控制协议/网间协议，是一个工业标准的协议集，它是为广域网（WAN）设计的。它是由ARPANET网的研究机构发展起来的。
TCP/IP的标准在一系列称为RF
C的文档中公布。文档由技术专家、特别工作组、或RFC编辑修订。公布一个文档时，该文档被赋予一个RFC编号，如RFC959（FTP的说明文档）、RFC793（TCP的说明文档）、RFC791（IP的说明文档）等。最初的RFC一直保留而从来不会被更新，
如果修改了该文档，则该文档又以一个新号码公布。因此，重要的是要确认你拥有了关于某个专题的最新RFC文档。通常在RFC的开头部分，有相关RFC的更新(update)、排错（errata）、作废（obsolete）信息，提示读者信息的时效性。
首部格式
TCP的首部格式图右图所示：
---Source Port是源端口，16位。
---Destination Port是目的端口，16位。
---Sequence Number是发送数据包中的第一个字节的序列号，32位。
---Acknowledgment Number是确认序列号，32位。
---Data Offset是数据偏移，4位，该字段的值是TCP首部（包括选项）长度除以4。
---标志位：6位，URG表示Urgent Pointer字段有意义：
ACK表示Acknowledgment Number字段有意义
PSH表示Push功能，RST表示复位TCP连接
SYN表示SYN报文（在建立TCP连接的时候使用）
FIN表示没有数据需要发送了（在关闭TCP连接的时候使用）
Window表示接收缓冲区的空闲空间，16位，用来告诉TCP连接对端自己能够接收的最大数据长度。
---Checksum是校验和，16位。
---Urgent Pointers是紧急指针，16位，只有URG标志位被设置时该字段才有意义，表示紧急数据相对序列号（Sequence Number字段的值）的偏移。
连接建立
TCP是因特网中的传输层协议，使用三次握手协议建立连接。当主动方发出SYN连接请求后，等待对方回答
SYN+ACK，并最终对对方的 SYN 执行 ACK 确认。这种建立连接的方法可以防止产生错误的连接，TCP使用的流量控制协议是可变大小的滑动窗口协议。
TCP三次握手的过程如下：
客户端发送SYN（SEQ=x）报文给服务器端，进入SYN_SEND状态。
服务器端收到SYN报文，回应一个SYN（SEQ=y）ACK(ACK=x+1）报文，进入SYN_RECV状态。
客户端收到服务器端的SYN报文，回应一个ACK(ACK=y+1）报文，进入Established状态。
三次握手完成，TCP客户端和服务器端成功地建立连接，可以开始传输数据了。
连接终止
建立一个连接需要三次握手，而终止一个连接要经过四次握手，这是由TCP的半关闭（half-close）造成的。具体过程如下图所示。
(1)某个应用进程首先调用close，称该端执行“主动关闭”（active close）。该端的TCP于是发送一个FIN分节，表示数据发送完毕。
(2)接收到这个FIN的对端执行“被动关闭”（passive close），这个FIN由TCP确认。
注意：FIN的接收也作为一个文件结束符（end-of-file）传递给接收端应用进程，放在已排队等候该应用进程接收的任何其他数据之后，因为，FIN的接收意味着接收端应用进程在相应连接上再无额外数据可接收。
(3)一段时间后，接收到这个文件结束符的应用进程将调用close关闭它的套接字。这导致它的TCP也发送一个FIN。
(4)接收这个最终FIN的原发送端TCP（即执行主动关闭的那一端）确认这个FIN。
既然每个方向都需要一个FIN和一个ACK，因此通常需要4个分节。
注意：
(1)“通常”是指，某些情况下，步骤1的FIN随数据一起发送，另外，步骤2和步骤3发送的分节都出自执行被动关闭那一端，有可能被合并成一个分节。
(2)在步骤2与步骤3之间，从执行被动关闭一端到执行主动关闭一端流动数据是可能的，这称为“半关闭”（half-close）。
(3)当一个Unix进程无论自愿地（调用exit或从main函数返回）还是非自愿地（收到一个终止本进程的信号）终止时，所有打开的描述符都被关闭，这也导致仍然打开的任何TCP连接上也发出一个FIN。
无论是客户还是服务器，任何一端都可以执行主动关闭。通常情况是，客户执行主动关闭，但是某些协议，例如，HTTP/1.0却由服务器执行主动关闭。
服务类型
不管怎样，TCP/IP是一个协议集。为应用提供一些"低级"功能，这些包括IP、TCP、UDP。其它是执行特定任务的应用协议，如计算机间传送文件、发送电子邮件、或找出谁注册到另外一台计算机。因此，最重要的"商业"TCP/IP服务有：
FTP文件传送
（File Transfer)
文件传送协议FTP(File TransferProtocol）允许用户从一台计算机到另一台取得文件，或发送文件到另外一台计算机。从安全性方面考虑，需要用户指定一个使用其它计算机的用户名和口令。它不同于NFS(Network File System）和Netbios协议。一旦你要访问另一台系统中的文件，任何时刻都要运行FTP。而且你只能拷贝文件到自己的机器中去来使用它。RFC 959中有关于FTP的详尽说明。
RLogin远程登录
（Remote login)
网络终端协议TELNET允许用户登录到网络上任一计算机上。你可启动一个远程进程连接到指定的计算机，直到进程结束，期间你所键入的内容被送到所指定的计算机。值得注意的是，这时你实际上是与你的计算机进行对话。TELENET程序使得你的计算机在整个过程中不见了，所敲的每一个字符直接送到所登录的计算机系统。一般的说，这种远程连接是通过类式拨号连接的，也就是，拨通后，远程系统提示你输入注册名和口令，退出远程系统，TELNET程序也就退出，你又与自己的计算机对话了。微电脑中的TELNET工具一般含有一个终端仿真程序。
SMTPPOP3电子邮件
（Mail)
允许你发送消息给其它计算机的用户。通常，人们趋向于使用指定的一台或两台计算机。计算机邮件系统只需你简单地往另一用户的邮件文件中添加信息，但随之产生问题，使用的微电脑的环境不同，还有重要的是宏(MACRO）不适合于接受计算机邮件。为了发送电子邮件，邮件软件希望连接到目的计算机，如果是微电脑，也许它已关机，或者正在运行另一个应用程序呢?出于这种原因，通常由一个较大的系统来处理这些邮件，也就是一个一直运行着的邮件服务器。邮件软件成为用户从邮件服务器取回邮件的一个界面。
任何一个的TCP/IP工具提供上述这些服务。这些传统的应用功能在基于TCP/IP的网络中一直扮演非常重要的角色。目前情况有点变化，这些功能使用也发生变化，如老系统的改造，计算机的发展等，出现了各种安装版本，如：微电脑、工作站、小型机、和巨型机等。
这些计算机好像在一起完成指定的任务，尽管有时看来像是只用到某个指定的计算机，但它是通过网络得到其它计算机系统的服务。服务器Server是为网络上其它提供指定服务的系统，客户Client是得到这种服务的另外计算机系统。（值得注意的是，服务/客户机不一定是不同的计算机，有可能是同一计算机中的不同运行程序）。以下是几种目前计算机上典型的一些服务，这些服务可在TCP/IP网络上调用。
NFS网络文件系统
（Network File System)
这种访问另一计算机的文件的方法非常接近于流行的FTP。网络文件系统提供磁盘或设备服务，而无需特定的网络实用程序来访问另一系统的文件。可以简单地认为它是一个外加的磁盘驱动器。这种额外"虚拟"磁盘驱动器就是其它计算机系统的磁盘。这非常有用。你只需加大几台计算机的磁盘容量，就可使网络上其他用户访问它，且不说所带来的经济效益，它还能够让几台工作的计算机共享相同的文件。它也使得系统维护和备份易如反掌，因为再不必为大量的不同机器上的文件的升级和备份而担心。
远程打印
（Remote Printing)
允许你使用其它计算机上的打印机，好像这些打印机直接连到你的计算机上。
远程执行
（Remote Execution)
允许你请求运行在不同计算机上的特殊程序。当你在一个很小的计算机上运行一个需要大机系统资源的程序时，这时候远程执行非常有用。
名字服务器
（Name Servers)
在一个大的系统安装过程中，需要用到大量的各种名字，包括用户名、口令，姓名、网络地址、帐号等，管理这些是非常令人乏味的。因此将这些数据形成数据库，放到一个小系统中去，其它系统通过网络来访问这些数据。
终端服务器
（Terminal Servers)
很多的终端连接安装不再直接将终端连到计算机，取而代之的是，将他们连接到终端服务器上。终端服务器是一个小的计算机，它只需知道怎样运行TELNET（或其它一些完成远程登录的协议）。如果你的终端想连上去，只用键入要连的计算机名就可。通常有可能同时有几个这种连接，这时终端服务器采用快速开关技术来切换。
上述所描述的一些协议是由Berkeley,Sun，或其它组织定义的。因此，它们不是互联网协议集（InternetProtocol Suite）的一部分，只是使用到TCP/IP的工具，如同一般的TCP/IP应用协议。因为协议的定义不一致，并且商业支持的TCP/IP工具广泛应用，也许会把这些协议作为互联协议集中的一部分。上述列出的只是基于TCP/IP部分服务的一些简单例子，但包含了一些"主要"的应用。
首部图
下图展示了TCP首部的数据格式。如果不计任选（Options）字段，那么，它的大小是20个字节。
可靠性实现
可靠性
TCP提供一种面向连接的、可靠的字节流服务。面向连接意味着两个使用TCP的应用（通常是一个客户和一个服务器）在彼此交换数据包之前必须先建立一个TCP连接。这一过程与打电话很相似，先拨号振铃，等待对方摘机说“喂”，然后才说明是谁。在一个TCP连接中，仅有两方进行彼此通信。广播和多播不能用于TCP。
TCP通过下列方式来提供可靠性：
1．应用数据被分割成TCP认为最适合发送的数据块。这和UDP完全不同，应用程序产生的数据长度将保持不变。由TCP传递给IP的信息单位称为报文段或段（segment）。
2．当TCP发出一个段后，它启动一个定时器，等待目的端确认收到这个报文段。如果不能及时收到一个确认，将重发这个报文段。当TCP收到发自TCP连接另一端的数据，它将发送一个确认。TCP有延迟确认的功能，在此功能没有打开，则是立即确认。功能打开，则由定时器触发确认时间点。
3．TCP将保持它首部和数据的检验和。这是一个端到端的检验和，目的是检测数据在传输过程中的任何变化。如果收到段的检验和有差错，TCP将丢弃这个报文段和不确认收到此报文段（希望发端超时并重发）。
4．既然TCP报文段作为IP数据报来传输，而IP数据报的到达可能会失序，因此TCP报文段的到达也可能会失序。如果必要，TCP将对收到的数据进行重新排序，将收到的数据以正确的顺序交给应用层。
5．既然IP数据报会发生重复，TCP的接收端必须丢弃重复的数据。
6．TCP还能提供流量控制。TCP连接的每一方都有固定大小的缓冲空间。TCP的接收端只允许另一端发送接收端缓冲区所能接纳的数据。这将防止较快主机致使较慢主机的缓冲区溢出。
两个应用程序通过TCP连接交换8bit字节构成的字节流。TCP不在字节流中插入记录标识符。我们将这称为字节流服务（bytestreamservice）。如果一方的应用程序先传10字节，又传20字节，再传50字节，连接的另一方将无法了解发方每次发送了多少字节。只要自己的接收缓存没有塞满，TCP接收方将有多少就收多少。一端将字节流放到TCP连接上，同样的字节流将出现在TCP连接的另一端。
另外，TCP对字节流的内容不作任何解释。TCP不知道传输的数据字节流是二进制数据，还是ASCⅡ字符、EBCDIC字符或者其他类型数据。对字节流的解释由TCP连接双方的应用层解释。
这种对字节流的与Unix操作系统对文件的处理方式很相似。Unix的内核对一个应用读或写的内容不作任何解释，而是交给应用程序处理。对Unix的内核来说，它无法区分一个二进制文件与一个文本文件。
重传策略
TCP协议用于控制数据段是否需要重传的依据是设立重发定时器。在发送一个数据段的同时启动一个重传，如果在重传超时前收到确认(Acknowlegement)就关闭该重传，如果重传超时前没有收到确认，则重传该数据段。在选择重发时间的过程中，TCP必须具有自适应性。它需要根据互联网当时的通信情况，给出合适的重发时间。
这种重传策略的关键是对定时器初值的设定。采用较多的算法是Jacobson于1988年提出的一种不断调整超时时间间隔的动态算法。其工作原理是：对每条连接TCP都保持一个
变量RTT（Round Trip Time），用于存放当前到目的端往返所需要时间最接近的估计值。当发送一个数据段时，同时启动连接的定时器，如果在定时器超时前确认到达，则记录所需要的时间（M），并修正
RTT的值，如果定时器超时前没有收到确认，则将RTT的值增加1倍。通过测量一系列的RTT（往返时间）值，TCP协议可以估算数据包重发前需要等待的时间。在估计该连接所需的当前延迟时通常利用一些统计学的原理和算法（如Karn算法），从而得到TCP重发之前需要等待的时间值。
窗口确认
TCP的一项功能就是确保每个数据段都能到达目的地。位于目的主机的TCP服务对接受到的数据进行确认，并向源应用程序发送确认信息。
使用数据报头序列号以及确认号来确认已收到包含在数据段的相关的数据字节。
TCP在发回源设备的数据段中使用确认号，指示接收设备期待接收的下一字节。这个过程称为期待确认。
源主机在收到确认消息之前可以传输的数据的大小称为窗口大小。用于管理丢失数据和流量控制。这些变化如右图所示。
配置TCP
修改建立TCP连接的超时时间
建立TCP连接需要经过三次握手：主动端先发送SYN报文，被动放回应SYN+ACK报文，然后主动端再回应ACK。
l在主动端发送SYN后，如果被动端一直不回应SYN+ACK报文，主动端会不断的重传SYN报文直到超过一定的重传次数或超时时间。
l在主动端发送SYN后，被动端回应SYN+ACK报文，但主动端不再回复ACK，被动端也会一直重传直到超过一定的重传次数或超时时间。（SYN报文攻击会出现这种情况）
可以通过以下命令配置SYN报文的超时时间（发送SYN报文到三次握手成功的最大时间），也就是建立TCP连接的超时时间。
使用no ip tcp syntime-out命令恢复参数缺省值。
修改缓冲区大小
TCP的接收缓冲区是用来缓存从对端接收到的数据，这些数据后续会被应用程序读取。一般情况下，TCP报文的窗口值反映接收缓冲区的空闲空间的大小。对于带宽比较大、有大批量数据的连接，增大接收缓冲区的大小可以显着提供TCP传输性能。TCP的发送缓冲区是用来缓存应
用程序的数据，发送缓冲区的每个字节都有序列号，被应答确认的序列号对应的数据会从发送缓冲区删除掉。增大发送缓冲区可以提高TCP跟应用程序的交互能力，也因此会提高性能。但是增大接收和发送缓冲区会导致TCP占用比较多的内存。
使用no ip tcp window-size命令恢复接收和发送缓冲区大小为缺省值。
禁止端口不可达时的重置报文
TCP模块在分发TCP报文时，如果找不到该报文所属的TCP连接会主动回复一个reset报文以终止对端的TCP连接。攻击者可能利用大量的端口不可达的TCP报文对设备进行攻击。
可以使用以下命令禁止/恢复在收到端口不可达的TCP报文时发送reset报文。
使用no ip tcp not-send-rst命令恢复发送reset报文。
限制TCP连接的MSS的最大值
MSS是最大传输段大小的缩写，指一个TCP报文的数据载荷的最大长度，不包括TCP选项。
在TCP建立连接的三次握手中，有一种很重要的工作那就是进行MSS协商。连接的双方都在SYN报文中增加MSS选项，其选项值表示本端
最大能接收的段大小，即对端最大能发送的段大小。连接的双方取本端发送的MSS值和接收对端的MSS值的较小者作为本连接最大传输段大小。
发送SYN报文时的MSS选项值的计算方法如下。
l非直连网络中：mss=默认值536。l直连网络中：mss=对端ip地址对应的出口的MTU-20字节ip头-20字节tcp头。
一般来说如果出口配置的某些应用影响了接口的mtu，那么该应用会相应的设置mtu，如隧道口，vpn口等。
到这里得到的rmss值就是要发送的syn报文mss选项的值。举例：一般情况下在直连网络中建立bgp邻居，那么该连接的发送的mss为1500–20–20–20 = 1440。
ip tcp mss命令的作用是限制即将建立的TCP连接的MSS的最大值。任何新建立的连接协商的MSS值不能超过配置的值。
使用no ip tcp mss命令取消此限制。
启用PMTU发现功能
TCP的路径最大传输单元（PMTU）发现功能是按RFC1191实现的，这个功能可以提高网络带宽的利用率。当用户使用TCP来批量传输大块数据时，该功能可以使传输性能得到明显提升。
按RFC1191的描述，TCP在发现PMTU后，隔一段时间可以使用更大的MSS来探测新的PMTU。这个时间间隔就是使用参数age-timer来指定。当设备发现的PMTU比TCP连接两端协商出来的MSS小时，设备就会按上述配置时间间隔，去尝试发现更大的PMTU。直到PMTU达到MSS的值，或者用户停止这个定时器，这个探测过程才会停止。停止这个定时器，使用age-timer infinite参数。
使用no ip tcp path-mtu-discovery命令关闭PMTU发现功能。
设置接口收发SYN报文的MSS选项值
当客户端发起一个TCP连接时，它通过TCP SYN报文中的MSS选项字段协商TCP报文数据载荷的最大值，客户端SYN报文的MSS值表示后续服务器端发送TCP报文数据载荷的最大值，反之同理。
如右图的拓扑，PC用http访问服务器可能会出现无法访问的情况。因为PC与服务器端建立的连接MSS协商的都会是1460，但1460的MSS无法通过R1和R2，R1和R2用隧道相连，MTU小于1500。
这时可以通过在R2的（1）口和（2）口上配置如下命令，修改SYN报文中的MSS选项值。从而修改经过（1）口和（2）口的TCP连接协商的MSS值。
使用no ip tcp adjust-mss命令取消此项设置，则接口收发SYN报文时，不会修改报文的MSS选项值。
在接口上配置本命令会使得该接口接收或发送SYN报文的MSS选项都被改为接口上配置的MSS值。建议出口和入口配置相同的值。如果SYN报文的入口和出口配置了不同的MSS值，经过该设备后，SYN报文的MSS选项被改为这两个口配置值的较小者。
