網絡分流器－TCP報文重組和會話規則－網絡分流器

戎騰網絡網絡分流器又名核心網采集器，又分為固網采集器和移動信令采集器兩大類！網絡分流器是整個網絡安全前端網絡監控的重要基礎裝備！ 我們在網絡安全當中經常聽到旁路，鏡像，流量采集，DPI深度數據包檢測，五元組過濾等相關詞匯，今天網絡分流器為大家講講TCP報文重組和會話規則！

網絡分流器高密度兼顧10G和100G

一、基本概念

四元組：源IP地址、目的IP地址、源端口、目的端口。

五元組：源IP地址、目的IP地址、協議號、源端口、目的端口。

六元組：源MAC地址、源IP地址、源端口號、目的MAC地址、目的IP地址和目的IP地址。

七元組：源MAC地址、源IP地址、源端口號、目的MAC地址、目的IP地址和目的IP地址和協議號。

二、五元組確定一個會話還是四元組?

五元組通常是指由源IP地址，源端口，目的IP地址，目的端口和傳輸層協議號這五個量組成的一個集合。例如：192.168.0.1/10000/TCP/121.14.88.76/80就構成了一個五元組。其意義是，一個IP地址為192.168.1.1的終端通過端口10000，利用TCP協議，和IP地址為121.14.88.76，端口為80的終端進行連接通訊。

五元組能夠唯一確定一個會話。

在TCP會話重組時，使用序列號確定TCP報文順序可以解決數據報文不按順序到達及其重傳問題，并且利用二維鏈表對TCP會話就行還原。難點在于解決多連接問題、IP包亂序到達和TCP會話重傳的問題。

原因：TCP協議是TCP/IP協議族中一個重要組成部分，TCP數據流的重組是高層協議分析系統設計和實現的基礎。TCP協議是面向連接的可靠傳輸協議，而TCP下層的IP協議卻是面向報文的不可靠協議，這回帶來問題：IP不能保證TCP報文可靠的、順序的傳輸。為了解決這個問題，TCP采取滑動窗口機制、字節流編號機制和快速重傳算法機制等。這可以保證數據的可靠傳輸。

TCP會話(TCP_Session_IDT)可以通過四元組<源IP地址、目的IP地址、源端口號和目的端口號>唯一標識。

使用HASH表快速查找定位的特征，解決多個TCP會話同時處理的問題，快速處理多個會話問題。

在TCP頭中Sequence Number是判斷該數據包是否重傳和包亂序的重要參數。在TCP連接剛建立時，會為后續TCP傳輸設置一個初始的SequenceNumber，每傳送一個包含有效數據的TCP包，后續傳送的TCP數據包的Sequence Number會作響應的修改，如果前一個包長度為N，則這個包的Sequence Number為前一個包Sequence Number加N。它是為保證TCP數據包按序傳輸來設計的，可以有效的實現TCP數據的完整傳輸，特別是當數據傳輸出現錯誤時可以有效進行錯誤糾正。

TCP重組數據文件寫指針的SYN算法如下：

File_Init_Write_Pointer= Init_Sequence Number + 1;

File_write_Pointer= Current Sequence Number – File_init_Write_point;

檢查TCP會話中是否存在空洞，可以來確定會話重組成功、失敗和超時。

TCP建立連接需要3次握手，而終止一個連接需要4次握手。這是因為一個TCP連接時全雙工的，每個方向必須單獨的進行關閉。

規則1：六元組<源MAC地址、源IP地址、源端口號、目的MAC地址、目的IP地址和目的IP地址>，協議號是TCP，它應該是唯一的會話。

規則2：TCP頭中4元組 < s y n、 f i n、s e q、l e n >，它應該是唯一的，不唯一說明存在重傳情況。

網絡分流器