简要介绍一下TCP/IP的内部结构，为讨论与互联网有关的安全问题打下基础。TCP/IP协议组之所以流行，部分原因是因为它可以用在各种各样的信道和底层协议（例如T1和X.25、以太网以及RS-232串行接口）之上。确切地说，TCP/IP协议是一组包括TCP协议和IP协议，UDP（User Datagram Protocol）协议、ICMP（Internet Control Message Protocol）协议和其他一些协议的协议组。
TCP/IP整体构架概述
TCP/IP协议并不完全符合OSI的七层参考模型。传统的开放式系统互连参考模型，是一种通信协议的7层抽象的参考模型,其中每一层执行某一特定任务。该模型的目的是使各种硬件在相同的层次上相互通信。这7层是:物理层、数据链路层、网路层、传输层、话路层、表示层和应用层。而TCP/IP通讯协议采用了4层的层级结构，每一层都呼叫它的下一层所提供的网络来完成自己的需求。这4层分别为：
应用层：应用程序间沟通的层，如简单电子邮件传输（SMTP）、文件传输协议（FTP）、网络远程访问协议（Telnet）等。
传输层：在此层中，它提供了节点间的数据传送服务，如传输控制协议（TCP）、用户数据报协议（UDP）等，TCP和UDP给数据包加入传输数据并把它传输到下一层中，这一层负责传送数据，并且确定数据已被送达并接收。
互连网络层：负责提供基本的数据封包传送功能，让每一块数据包都能够到达目的主机（但不检查是否被正确接收），如网际协议（IP）。
网络接口层：对实际的网络媒体的管理，定义如何使用实际网络（如Ethernet、Serial Line等）来传送数据。
TCP/IP中的协议
以下简单介绍TCP/IP中的协议都具备什么样的功能，都是如何工作的：
1.IP
网际协议IP是TCP/IP的心脏，也是网络层中最重要的协议。
IP层接收由更低层（网络接口层例如以太网设备驱动程序）发来的数据包，并把该数据包发送到更高层---TCP或UDP层；相反，IP层也把从TCP或UDP层接收来的数据包传送到更低层。IP数据包是不可靠的，因为IP并没有做任何事情来确认数据包是按顺序发送的或者没有被破坏。IP数据包中含有发送它的主机的地址（源地址）和接收它的主机的地址（目的地址）。
高层的TCP和UDP服务在接收数据包时，通常假设包中的源地址是有效的。也可以这样说，IP地址形成了许多服务的认证基础，这些服务相信数据包是从一个有效的主机发送来的。IP确认包含一个选项，叫作IP source routing，可以用来指定一条源地址和目的地址之间的直接路径。对于一些TCP和UDP的服务来说，使用了该选项的IP包好像是从路径上的最后一个系统传递过来的，而不是来自于它的真实地点。这个选项是为了测试而存在的，说明了它可以被用来欺骗系统来进行平常是被禁止的连接。那么，许多依靠IP源地址做确认的服务将产生问题并且会被非法入侵。
2.TCP
如果IP数据包中有已经封好的TCP数据包，那么IP将把它们向‘上’传送到TCP层。TCP将包排序并进行错误检查，同时实现虚电路间的连接。TCP数据包中包括序号和确认，所以未按照顺序收到的包可以被排序，而损坏的包可以被重传。
TCP将它的信息送到更高层的应用程序，例如Telnet的服务程序和客户程序。应用程序轮流将信息送回TCP层，TCP层便将它们向下传送到IP层，设备驱动程序和物理介质，最后到接收方。
面向连接的服务（例如Telnet、FTP、rlogin、X Windows和SMTP）需要高度的可靠性，所以它们使用了TCP。DNS在某些情况下使用TCP（发送和接收域名数据库），但使用UDP传送有关单个主机的信息。
3.UDP
UDP与TCP位于同一层，但对于数据包的顺序错误或重发。因此，UDP不被应用于那些使用虚电路的面向连接的服务，UDP主要用于那些面向查询---应答的服务，例如NFS。相对于FTP或Telnet，这些服务需要交换的信息量较小。使用UDP的服务包括NTP（网落时间协议）和DNS（DNS也使用TCP）。
欺骗UDP包比欺骗TCP包更容易，因为UDP没有建立初始化连接（也可以称为握手）（因为在两个系统间没有虚电路），也就是说，与UDP相关的服务面临着更大的危险。
4.ICMP
ICMP与IP位于同一层，它被用来传送IP的的控制信息。它主要是用来提供有关通向目的地址的路径信息。ICMP的‘Redirect’信息通知主机通向其他系统的更准确的路径，而‘Unreachable’信息则指出路径有问题。另外，如果路径不可用了，ICMP可以使TCP连接‘体面地’终止。PING是最常用的基于ICMP的服务。
5. TCP和UDP的端口结构
TCP和UDP服务通常有一个客户/服务器的关系，例如，一个Telnet服务进程开始在系统上处于空闲状态，等待着连接。用户使用Telnet客户程序与服务进程建立一个连接。客户程序向服务进程写入信息，服务进程读出信息并发出响应，客户程序读出响应并向用户报告。因而，这个连接是双工的，可以用来进行读写。
两个系统间的多重Telnet连接是如何相互确认并协调一致呢？TCP或UDP连接唯一地使用每个信息中的如下四项进行确认：
源IP地址发送包的IP地址。
目的IP地址接收包的IP地址。
源端口 源系统上的连接的端口。
目的端口 目的系统上的连接的端口。
端口是一个软件结构，被客户程序或服务进程用来发送和接收信息。一个端口对应一个16比特的数。服务进程通常使用一个固定的端口，例如，SMTP使用25、windows使用6000。这些端口号是‘广为人知’的，因为在建立与特定的主机或服务的连接时，需要这些地址和目的地址进行通讯。
相信大家都听说过TCP/IP这个词，这个词好像无处不在，时时都会在你面前跳出来。那TCP/IP到底是什么意思呢？
TCP/IP其实是两个网络基础协议：IP协议、TCP协议名称的组合。下面我们分别来看看这两个无处不在的协议。
IP协议
IP（Internet Protocol）协议的英文名直译就是：因特网协议。从这个名称我们就可以知道IP协议的重要性。在现实生活中，我们进行货物运输时都是把货物包装成一个个的纸箱或者是集装箱之后才进行运输，在网络世界中各种信息也是通过类似的方式进行传输的。IP协议规定了数据传输时的基本单元和格式。如果比作货物运输，IP协议规定了货物打包时的包装箱尺寸和包装的程序。除了这些以外，IP协议还定义了数据包的递交办法和路由选择。同样用货物运输做比喻，IP协议规定了货物的运输方法和运输路线。
TCP协议
我们已经知道了IP协议很重要，IP协议已经规定了数据传输的主要内容，那TCP（Transmission Control Protocol）协议是做什么的呢？不知大家发现没有，在IP协议中定义的传输是单向的，也就是说发出去的货物对方有没有收到我们是不知道的。就好像8毛钱一份的平信一样。那对于重要的信件我们要寄挂号信怎么办呢？TCP协议就是帮我们寄“挂号信”的。TCP协议提供了可靠的面向对象的数据流传输服务的规则和约定。简单的说在TCP模式中，对方发一个数据包给你，你要发一个确认数据包给对方。通过这种确认来提供可靠性。
TCP/IP（Transmission ControlProtocol/Internet Protocol的简写，中文译名为传输控制协议/互联网络协议）协议是Internet最基本的协议，简单地说，就是由底层的IP协议和TCP协议组成的。TCP/IP协议的开发工作始于70年代，是用于互联网的第一套协议。
1.1 TCP/IP参考模型 （5层模型）
TCP/IP协议的开发研制人员将Internet分为五个层次，以便于理解，它也称为互联网分层模型或互联网分层参考模型，如下表：
应用层（第五层）
传输层（第四层）主机到主机层（TCP）
互联网层（第三层）又称网络层（IP）
数据链路层（第二层）又称网络接口层
物理层（第一层、最底层）
物理层：
对应于网络的基本硬件，这也是Internet物理构成，即我们可以看得见的硬设备，如PC机、互连网服务器、网络设备等，必须对这些硬设备的电气特性作一个规范，使这些设备都能够互相连接并兼容使用。
网络接口层：它定义了将资料组成正确帧的规程和在网络中传输帧的规程，帧是指一串资料，它是资料在网络中传输的单位。
互联网层：本层定义了互联网中传输的“信息包”格式，以及从一个用户通过一个或多个路由器到最终目标的"信息包"转发机制。
传输层：为两个用户进程之间建立、管理和拆除可靠而又有效的端到端连接。
应用层：它定义了应用程序使用互联网的规程。
1. 2 网间协议IP
Internet 上使用的一个关键的底层协议是网际协议，通常称IP协议。我们利用一个共同遵守的通信协议，从而使Internet 成为一个允许连接不同类型的计算机和不同操作系统的网络。要使两台计算机彼此之间进行通信，必须使两台计算机使用同一种"语言"。通信协议正像两台计算机交换信息所使用的共同语言，它规定了通信双方在通信中所应共同遵守的约定。
计算机的通信协议精确地定义了计算机在彼此通信过程的所有细节。例如，每台计算机发送的信息格式和含义，在什么情况下应发送规定的特殊信息，以及接收方的计算机应做出哪些应答等等。
网际协议IP协议提供了能适应各种各样网络硬件的灵活性，对底层网络硬件几乎没有任何要求，任何一个网络只要可以从一个地点向另一个地点传送二进制数据，就可以使用IP协议加入 Internet 了。
如果希望能在 Internet 上进行交流和通信，则每台连上 Internet 的计算机都必须遵守IP协议。为此使用 Internet 的每台计算机都必须运行IP软件，以便时刻准备发送或接收信息。
IP协议对于网络通信有着重要的意义：网络中的计算机通过安装IP软件，使许许多多的局域网络构成了一个庞大而又严密的通信系统。从而使 Internet看起来好像是真实存在的，但实际上它是一种并不存在的虚拟网络，只不过是利用IP协议把全世界上所有愿意接入 Internet 的计算机局域网络连接起来，使得它们彼此之间都能够通信。
1.3 传输控制协议TCP
尽管计算机通过安装IP软件，从而保证了计算机之间可以发送和接收资料，但IP协议还不能解决资料分组在传输过程中可能出现的问题。因此，若要解决可能出现的问题，连上 Internet 的计算机还需要安装TCP协议来提供可靠的并且无差错的通信服务。
TCP协议被称作一种端对端协议。为了实现这种端到端的可靠传输，TCP协议必须规定传输层的连接建立与拆除的方式、数据传输格式、确认的方式、目标应用进程的识别以及差错控制和流量控制机制等。与所有网络协议类似，TCP将自己所要实现的功能集中体现在TCP的协议数据单元中。
1.4 TCP连接的建立和拆除
TCP连接包括建立连接、数据传输和拆除连接三个过程。TCP通过TCP端口提供连接服务，最后通过连接服务来接收和发送数据。TCP连接的申请、打开和关闭必须遵守TCP协议的规定。TCP使用三次握手协议来建立连接。连接可以由任何一方发起，也可以由双方同时发起。一旦一台主机上的TCP软件已经主动发起连接请求，运行在另一台主机上的TCP软件就被动地等待握手。下面给出了三次握手建立TCP连接的简单示意图。
1.建立连接
在源主机想和目的主机通信时，目的主机必须同意，否则TCP连接无法建立。为了确保TCP连接的成功建立，TCP采用了一种称为三次握手的方式，三次握手方式使得“序号／确认号”系统能够正常工作，从而使它们的序号达成同步。如果三次握手成功，则连接建立成功，可以开始传送数据信息。
其三次握手分别为：
第一步：源主机A的TCP向主机B发出连接请求报文段，其首部中的SYN(同步)标志位应置为1，表示想与目标主机B进行通信，并发送一个同步序列号X(例：SEQ=100)进行同步，表明在后面传送数据时的第一个数据字节的序号是X＋1（即101）。
第二步：目标主机B的TCP收到连接请求报文段后，如同意，则发回确认。在确认报中应将ACK位和SYN位置1。确认号应为X＋1(图15.5中为101)，同时也为自己选择一个序号Y。
第三步：源主机A的TCP收到目标主机B的确认后要向目标主机B给出确认，其ACK置1，确认号为Y＋1，而自己的序号为X＋1。TCP的标准规定，SYN置1的报文段要消耗掉一个序号。
运行客户进程的源主机A的TCP通知上层应用进程，连接已经建立。当源主机A向目标主机B发送第一个数据报文段时，其序号仍为X＋1，因为前一个确认报文段并不消耗序号。
当运行服务进程的目标主机B的TCP收到源主机A的确认后，也通知其上层应用进程，连接已经建立。至此建立了一个全双工的连接。
2.传送数据
位于TCP／IP分层模型的较上层的应用程序传输数据流给TCP。TCP接收到字节流并且把它们分解成段。假如数据流不能被分成一段，那么每一个其它段都被分给一个序列号。在目的主机端．这个序列号用来把接收到的段重新排序成原来的数据流。
(1)主机A使用滑动窗口发送全部的四个段到主机B。这是第一步。不幸的是，只有段l03、105和106成功地到达了生机B。
(2)因为段103和104是连续的，所以主机B返回一个确认给主机A，通知主机A它只成功地接收到了第103段，在它的确认中主机B使用它期待得到的下一个序列号作为确认(参看③通过给出序列号104)。
(3)主机A接到主机B的报文后，重新发送段104、105和106(参看④)。虽然主机B已经成功地收到了段105和106，但是根据协议规定，也必须重新发送。
(4)当主机2成功地收到这些段以后．主机B返回一个确认给主机A(参看⑥)，并根据序列号把它们重组成原来的数流。把它传输到高层应用程序。
3. 关闭连接
一个TCP连接建立之后，即可发送数据，一旦数据发送结束，就需要关闭连接。由于TCP连接是一个全双工的数据通道，一个连接的关闭必须由通信双方共同完成。当通信的一方没有数据需要发送给对方时，可以使用FIN段向对方发送关闭连接请求。这时，它虽然不再发送数据，但并不排斥在这个连接上继续接收数据。只有当通信的对方也递交了关闭连接的请求后，这个TCP连接才会完全关闭。
在关闭连接时，既可以由一方发起而另一方响应，也可以双方同时发起。无论怎样，收到关闭连接请求的一方必须使用ACK段给予确认。实际上，TCP连接的关闭过程也是一个三次握手的过程。
在关闭连接之前，为了确保数据正确传递完毕，仍然需要采用“三次握手”的方式来关闭连接，如图所示。
其三次握手分别为：
第一步：源主机A的应用进程先向其TCP发出连接释放请求，并且不再发送数据。TCP通知对方要释放从A到B这个方向的连接，将发往主机B的TCP报文段首部的终止比特FIN置1，其序号X等于前面已传送过的数据的最后一个字节的序号加1。
第二步：目标主机B的TCP收到释放连接通知后即发出确认，其序号为Y，确认号为X＋1，同时通知高层应用进程，如图15.7中的箭头①。这样，从A到B的连接就释放了，连接处于半关闭状态，相当于主机A向主机B说：“我已经没有数据要发送了。但如果还发送数据，我仍接收。”此后，主机B不再接收主机A发来的数据。但若主机B还有一些数据要发送主机A，则可以继续发送。主机A只要正确收到数据，仍应向主机B发送确认。
第三步：若主机B不再向主机A发送数据，其应用进程就通知TCP释放连接，如图15.7中的箭头②。主机B发出的连接释放报文段必须将终止比特FIN和确认比特ACK置1，并使其序号仍为Y，但还必须重复上次已发送过的ACK＝X＋1。主机A必须对此发出确认，将ACK置1，ACK＝Y＋1，而自己的序号是X＋1。这样才把从B到A的反方向的连接释放掉。主机A的TCP再向其应用进程报告，整个连接已经全部释放。
1.5 TCP流量控制与拥塞控制
TCP初始连接一旦建立，两端就能够使用全双工通信交换数据段，并缓存所发送和接收的报文段。缓存所发送的报文段是为了重传的需要，以防止报文段不能到达或不能按顺序到达接收端引起的差错。
1.流量控制
TCP采用大小可变的滑动窗口机制实现流量控制功能。窗口的大小是字节。在TCP报文段首部的窗口字段写入的数值就是当前给对方设置发送窗口的数据的上限。
在数据传输过程中，TCP提供了一种基于滑动窗口协议的流量控制机制，用接收端接收能力（缓冲区的容量）的大小来控制发送端发送的数据量。
在建立连接时，通信双方使用SYN报文段或ACK报文段中的窗口字段捎带着各自的接收窗口尺寸，即通知对方从而确定对方发送窗口的上限。在数据传输过程中，发送方按接收方通知的窗口尺寸和序号发送一定量的数据，接收方根据接收缓冲区的使用情况动态调整接收窗口尺寸，并在发送TCP报文段或确认段时稍带新的窗口尺寸和确认号通知发送方。
如下面的图所示。设主机A向主机B发送数据。双方确定的的窗口值是400。设一个报文段为100字节长，序号的初始值为1（即SEQ＝1）。在图15.8中，主机B进行了三次流量控制。第一次将窗口减小为300字节，第二次将窗口又减为200字节，最后一次减至零，即不允许对方再发送数据了。这种暂停状态将持续到主机B重新发出一个新的窗口值为止。
2.拥塞控制
采用滑动窗口机制还可对网络进行拥塞控制，将网络中的分组（TCP报文段作为其数据部分）数量维持在一定的数量之下，当超过该数值时，网络的性能会急剧恶化。传输层的拥塞控制有慢开始（Slow-Start）、拥塞避免（Congestion Avoidance）、快重传（Fast Retransmit）和快恢复（Fast Recovery）四种算法。
(1)慢开始和拥塞避免
在以太网的环境下，当发送端不知道对方窗口大小的时候，便直接向网络发送多个报文段，直至收到对方通告的的窗口大小为止。但如果在发送方和接收方有多个路由器和较慢的链路时，就可能出现一些问题，一些中间路由器必须缓存分组，并有可能耗尽存储空间，这样就会严重降低TCP连接的吞吐量。这时采用了一种称为慢启动的算法，慢启动为发送方的TCP增加一个拥塞窗口（发送端根据自己估计的网络拥塞程度而设置的窗口值，是来自发送端的流量控制），当与另一个网络的主机建立TCP连接时，拥塞窗口被初始化为1个报文段（即另一端通告的报文段大小），每收到一个ACK，拥塞窗口就增加一个报文段（以字节为单位）。发送端取拥塞窗口与通告窗口中的最小值作为发送上限。拥塞窗口是发送方使用的流量控制，而通告窗口则是接收方使用的流量控制。开始时发送一个报文段，然后等待ACK。当收到该ACK时，拥塞窗口从1增加为2，即可发送两个报文段。当收到这两个报文段的ACK时，拥塞窗口就增加为4。这是一种指数增加的关系。在某些互联网的中间某些点上可能达到了互联网的容量，于是中间路由器开始丢弃分组，这就通知发送方它的拥塞窗口开得过大。
(2) 慢开始和拥塞避免
为了解决一条TCP连接会因等待重传计时器的超时而空闲较长的时间，可以采用快重传和快恢复的拥塞控制算法。
1.6 重发机制
重发机制是TCP中最重要的、最复杂的问题之一。TCP每发送一个报文段，就设置一次定时器。只要定时器设置的重发时间到而还没有收到确认，就要重发这一报文段。大家知道，TCP是在一个互连网的环境下工作。发送的报文段可能只经过一个高速率的局域网，但也可能是经过多个低速率的广域网。报文段的端到端的时延会相差很多倍。那么，定时器的重发时间究竟应设置为多大？
TCP采用了一种自适应算法。这种算法记录每一个报文段发出的时间，以及收到相应的确认报文段的时间。这两个时间之差就是报文段的往返时延。将各个报文段的往返时延样本加权平均，就得出报文段的平均往返时延T。