tcpdump抓包解释一次请求的过程

Flags中参数解释

Flags are some combination  of  S  (SYN),  F(FIN), P (PUSH), R (RST), U (URG), W (ECN CWR), E (ECN-Echo) or `.' (ACK), or `none' if no flags are set.

抓取主机192.168.0.104和主机180.101.49.11的通信

[root@ecs-1c9f-0004 network-scripts]# tcpdump host 192.168.0.104 and 180.101.49.11
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes

基础：主机向180.101.49.11发送请求 curl 180.101.49.11
逐行解析

第一次握手

Flags [S]：发送syn请求

10:26:11.350025 IP ecs-1c9f-0004.51786 > 180.101.49.11.http: Flags [S], seq 458741837, win 29200, options [mss 1460,sackOK,TS val 82802261 ecr 0,nop,wscale 7], length 0

第二次握手

Flags [S.]：目标地址回复确认 S -> syn, . -> ack

10:26:11.362155 IP 180.101.49.11.http > ecs-1c9f-0004.51786: Flags [S.], seq 4283621899, ack 458741838, win 8192, options [mss 1452,sackOK,nop,nop,nop,nop,nop,nop,nop,nop,nop,nop,nop,wscale 5], length 0

第三次握手

Flags [.]：主机再次向目标地址发送确认 . -> ack

10:26:11.362196 IP ecs-1c9f-0004.51786 > 180.101.49.11.http: Flags [.], ack 1, win 229, length 0

三次握手完成后开始发送数据包

Flags [P.]首先主机向目标地址发送数据包并携带ack，目标地址携带ack响应。同样的目标地址和主机通信时也会以同样的方式，先发送请求，然后主机响应ack确认。

10:26:11.362252 IP ecs-1c9f-0004.51786 > 180.101.49.11.http: Flags [P.], seq 1:78, ack 1, win 229, length 77: HTTP: GET / HTTP/1.1
10:26:11.374481 IP 180.101.49.11.http > ecs-1c9f-0004.51786: Flags [.], ack 78, win 908, length 0
10:26:11.375616 IP 180.101.49.11.http > ecs-1c9f-0004.51786: Flags [P.], seq 1453:2869, ack 78, win 908, length 1416: HTTP
10:26:11.375653 IP ecs-1c9f-0004.51786 > 180.101.49.11.http: Flags [.], ack 2869, win 274, length 0

建立通信的基础：路由寻址，以下演示：ping www.baidu.com
路由表：

[root@standby01 ~]# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         192.168.99.1    0.0.0.0         UG    100    0        0 eth0
192.168.99.0    0.0.0.0         255.255.255.0   U     100    0        0 eth0
192.168.122.0   0.0.0.0         255.255.255.0   U     0      0        0 virbr0

问题一：在DNS解析后拿到目标地址IP之后目标地址和主机如何建立通信，然后再发送数据包？

路由表中进行路由判定，eg：目标地址：172.17.1.5 主机路由表如上图所示。判定过程为：第一步目标ip和网络掩码 Genmask列中的地址做与运算，得到Destination中对应的值 172.17.1.5 和 255.255.255.0 得到的与运算结果还是自己172.17.1.5，所以上面表格中的第二行淘汰了，看第一行判定： 0.0.0.0 与 172.17.1.5做运算结果得到0.0.0.0符合，也就是这个位置中的Gateway就是目标地址的下一跳

问题二： 0.0.0.0为什么就判定成功了？

网络中0.0.0.0的IP地址表示整个网络，即网络中的所有主机 这里又关联到一个数据链路层和网络层的东西ARP,在上述请求中如果目标地址在ARP缓存中没有找到地址的话，就会将当前的ip广播到本地网络上的所有主机。源主机A的IP地址和MAC地址都包括在ARP请求中。本地网络上的每台主机都接收到ARP请求并且检查是否与自己的IP地址匹配。如果主机发现请求的IP地址与自己的IP地址不匹配，它将丢弃ARP请求。

问题三：下一跳?

这个词就是网络中寻址的关键词，全球建立的网络连接就是基于下一跳，通过这种方式实现基础通信，比如在购买云服务器的时候（华为云）就有个下一跳查看.