1、TCP的状态FLAGS字段状态
- 在TCP层，有个FLAGS字段，这个字段有以下几个标识：SYN, FIN, ACK, PSH, RST, URG.
对于我们日常的分析有用的就是前面的五个字段：它们的含义是：
SYN表示建立连接，
FIN表示关闭连接，
ACK表示响应，
PSH表示有 DATA数据传输，
RST表示连接重置。
其中，ACK是可能与SYN，FIN等同时使用的，比如：SYN和ACK可能同时为1，它表示的就是建立连接之后的响应， 如果只是单个的一个SYN，它表示的只是建立连接。TCP的几次握手就是通过这样的ACK表现出来的。
但SYN与FIN是不会同时为1的，因为前者表示的是建立连接，而后者表示的是断开连接。
RST一般是在FIN之后才会出现为1的情况，表示的是连接重置。 一般地，当出现FIN包或RST包时，我们便认为客户端与服务器端断开了连接；而当出现SYN和SYN＋ACK包时，我们认为客户端与服务器建立了一个连接。
PSH为1的情况，一般只出现在 DATA内容不为0的包中，也就是说PSH为1表示的是有真正的TCP数据包内容被传递。
- TCP的连接建立和连接关闭，都是通过请求－响应的模式完成的。
概念补充-TCP三次握手：
TCP(Transmission Control Protocol)传输控制协议
TCP是主机对主机层的传输控制协议，提供可靠的连接服务，采用三次握手确认建立一个连接：
位码即tcp标志位，有6种标示：SYN(synchronous建立联机) ACK(acknowledgement 确认) PSH(push传送) FIN(finish结束) RST(reset重置) URG(urgent紧急)Sequence number(顺序号码) Acknowledge number(确认号码)
第一次握手：主机A发送位码为syn＝1，随机产生seq number=1234567的数据包到服务器，主机B由SYN=1知道，A要求建立联机；
第二次握手：主机B收到请求后要确认联机信息，向A发送ack number=(主机A的seq+1)，syn=1，ack=1，随机产生seq=7654321的包；
第三次握手：主机A收到后检查ack number是否正确，即第一次发送的seq number+1，以及位码ack是否为1，若正确，主机A会再发送ack number=(主机B的seq+1)，ack=1，主机B收到后确认seq值与ack=1则连接建立成功。
完成三次握手，主机A与主机B开始传送数据。
2、Wireshark TCP报文到达ACK确认机制
转载：https://blog.csdn.net/chenlycly/article/details/74028616
TCP数据包中的***（Sequence Number）不是以报文段来进行编号的，而是 将连接生存周期内传输的所有数据当作一个字节流，***就是整个字节流中每个字节的编号。一个TCP数据包中包含多个字节流的数据（即数据段），而且每个TCP数据包中的数据大小不一定相同。在建立TCP连接的三次握手过程中，通信双方各自已确定了初始的序号x和y，TCP每次传送的报文段中的序号字段值表示所要传送本报文中的第一个字节的序号。
TCP的报文到达确认（ACK），是对接收到的数据的最高***的确认，表示这前面的数据已经接收到，并向发送端返回一个下次接收时期望的TCP数据包的***（Ack Number） 。例如，主机A发送的当前数据序号是400，数据长度是100，则接收端收到后会返回一个确认号是500的确认号给主机A。
TCP提供的确认机制，可以在通信过程中可以不对每一个TCP数据包发出单独的确认包（Delayed ACK机制），而是在传送数据时，顺便把确认信息传出，这样可以大大提高网络的利用率和传输效率。同时，TCP的确认机制，也可以一次确认多个数据报，例如，接收方收到了201，301，401的数据报，则只需要对401的数据包进行确认即可，对401的数据包的确认也意味着401之前的所有数据包都已经确认，这样也可以提高系统的效率。
若发送方在规定时间内没有收到接收方的确认信息，就要将未被确认的数据包重新发送。接收方如果收到一个有差错的报文，则丢弃此报文，并不向发送方发送确认信息。因此，TCP报文的重传机制是由设置的超时定时器来决定的，在定时的时间内没有收到确认信息，则进行重传。这个定时的时间值的设定非常重要，太大会使包重传的延时比较大，太小则可能没有来得及收到对方的确认包发送方就再次重传，会使网络陷入无休止的重传过程中。接收方如果收到了重复的报文，将会丢弃重复的报文，但是必须发回确认信息，否则对方会再次发送。 丢包重传直到收到ACK报文或发送方达到配置的最大重传次数，最大重传次数取决于发送操作系统的配置值。默认情况下，Windows主机默认重传5次。大多数Linux系统默认最大15次。两种操作系统都可配置。
TCP协议应当保证数据报按序到达接收方。如果接收方收到的数据报文没有错误，只是未按序号，这种现象如何处理呢？TCP协议本身没有规定，而是由TCP协议的实现者自己去确定。通常有两种方法进行处理：一是对没有按序号到达的报文直接丢弃，二是将未按序号到达的数据包先放于缓冲区内，等待它前面的序号包到达后，再将它交给应用进程。后一种方法将会提高系统的效率。例如，发送方连续发送了每个报文中100个字节的TCP数据报，其序号分别是1，101，201，…,701。假如其它数据报都收到了，而201这个数据报没有收到，则接收端应当对1和101这两个数据报进行确认，并将数据递交给相关的应用进程，301至701这5个数据报则应当放于缓冲区，等到201这个数据报到达后，然后按序将201至701这些数据报递交给相关应用进程，并对701数据报进行确认，确保了应用进程级的TCP数据的按序到达。
3、TCP 抓包分析：
总结：
1、ACK包可以和其他包合在一起，比如ACK包可以携带数据
2、可以接收多个数据包后，一次性给一个应答，不用每个数据包一一对应给应答
3、在通信过程中，通过接收到的包的ack值可以判断是否是上一个本机发送包的应答包（ack值与上一个本机发送包的seq有关），seq值和ack值的确定规则如下：
三次握手：
第一次握手（发送）：seq为x（x为任意值），无视ack（因为是第一个包，不需要给其他包应答）
第二次握手（发送）：seq为y（y为任意值），ack等于接收包seq+1（即x+1）
第三次握手（发送）：seq等于上一个本机发送包seq+1（即x+1），也就是1，ack等于接收包seq+1（即y+1）
数据传输：
某主机发送的seq和ack是根据上一个接收包的seq、ack和len得到，具体为：seq=ack，ack=seq+len
提醒：如果某一主机连续发了4个包，后三个包的seq和ack和第一个包的一样
提醒：seq会单调增大
特别：如果握手完第一个数据包是客户端发送，第一个数据包的seq和ack和第三次握手的一样
四次挥手：
如果是服务器发起的挥手，挥手前最后一个包是服务器发送：
如果是客户端发起的挥手，挥手前最后一个包是客户端发送：
第一次挥手（发送）：seq为上一个本机发送包seq+len，ack为上一个本机发送包ack
第二个挥手（发送）：seq为本次接收包ack，ack为本次接收包seq+1
第三次挥手（发送）：和第二次挥手一样
第四次挥手（发送）：seq为本次接收包ack，ack为本次接收包seq+1
如果是服务器发起的挥手，挥手前最后一个包是客户端发送：
如果是客户端发起的挥手，挥手前最后一个包是服务器发送：
第一次挥手（发送）：seq为本次接收包ack，ack为本次接收包seq+len
第二个挥手（发送）：seq为本次接收包ack，ack为本次接收包seq+1
第三次挥手（发送）：和第二次挥手一样
第四次挥手（发送）：seq为本次接收包ack，ack为本次接收包seq+1