TCP 与 UDP：从三次握手到拥塞控制

0. 元信息

• 主题路径：docs/topics/network/subtopics/tcp-and-udp/
• 父主题：network
• 主分类：计算机基础
• 辅助分类：工程技术
• 适合对象：懂 IPv4/IPv6 报文、路由、ICMP，能用 tcpdump 抓包的学习者
• 建议周期：4～5 周（每周 6～8 小时，含抓包、命令实验、协议分析）
• 前置知识：tcp-ip-stack；会 ss、ip、ping 基本用法
• 最终目标：能读懂 TCP 头字段与三次握手/四次挥手、解释滑动窗口与四种拥塞控制算法、用 ss -tin / iperf3 / tcpdump -nn -S 排查延迟与吞吐问题、说出 UDP 与 QUIC 的取舍

1. 学习路线

传输层职责与端口
  → UDP 头与无连接语义
  → TCP 头字段
  → 三次握手与四次挥手
  → 状态机与 TIME_WAIT
  → 可靠传输：序列号、ACK、重传
  → 流量控制：滑动窗口与 rwnd
  → 拥塞控制：cwnd、慢启动、拥塞避免
  → 经典算法：Reno / Cubic / BBR
  → UDP 适用场景：DNS / VoIP / 实时游戏
  → QUIC 演进：解决队头阻塞、握手合并
  → Linux 调参与抓包综合排障

每一步都要抓一次包。TCP 字段多、背不下来，靠抓包对照才记得住。

2. 阶段周数分配

3. 九阶段表

阶段 9 真实场景：HTTP/3 在公网移动场景下比 HTTP/1.1 + TLS 1.3 over TCP 抗丢包能力强，能从 QUIC 抓包看 connection_id 验证连接迁移。

4. 第一周任务

Day 7 拆解

步骤 A —— 最小可用（60 分钟）

1. tcpdump -ni any -w /tmp/tcp.pcap -nn -S 'tcp and host <target>' 抓 60 秒；
2. curl http://<target>/ 触发完整连接；
3. 用 tcpdump -r /tmp/tcp.pcap -nn -S 列出所有包；
4. 把三次握手和四次挥手的 seq/ack/flags 标到 16 进制输出上。

步骤 B —— 补齐边界（30 分钟）

• 在抓包中找一段数据传输，对比每包的 seq 增量与 ACK 号；
• 故意 tc qdisc add 加 10% 丢包，看重传包（[TCP Retransmission] 或 fast retransmit）；
• 抓 ss -tin 输出与 pcap 对照，写到 notes/week1-day7.md。

进阶：稳定通过后，再叠加 tcpdump -nn -S 'tcp[tcpflags] & tcp-syn != 0' 单独看 SYN 包。

5. 阶段通用验收

1. 不看 RFC 也能画出 TCP 头 20 字节的字段分布；
2. 用自己的话解释「为什么三次握手」「为什么 TIME_WAIT 等 2MSL」；
3. 画一张图：建立连接 → 传输数据 → 关闭过程中 seq/ack/window 变化；
4. 测试异常：SYN 攻击、半打开、RST 强制关闭、零窗口、丢包触发重传；
5. 准备 3 组自定义数据并贴实际抓包（不同 RTT、不同丢包率、不同 cwnd 算法）；
6. 记录每次抓包的 BPF 过滤器和命令；
7. 能修改 sysctl 拥塞控制算法并验证切换。

6. 最终验收

• 独立完成：画 TCP 头、解释三次握手、识别 4 种拥塞控制算法、抓一次完整 TCP 生命周期；
• 至少完成 6 个实验（三次握手、四次挥手、滑动窗口、拥塞控制、UDP 抓包、QUIC 抓包）；
• 完成 1 个综合排障项目：模拟一条 RTT 升高 / 丢包率升高 / cwnd 卡住的链路，定位根因；
• 能用 15 分钟讲清楚 TCP 是怎么从「无连接不可靠的 IP」上做到「可靠字节流」的。

7. 综合项目

首选：TCP 链路质量诊断（必做：在两台 Linux 上用 tc netem 注入延迟 / 丢包 / 抖动，用 ss -tin / iperf3 / tcpdump 三件套定位）。

备选：

• 抓包分析 100 条 UDP/TCP 报文并分类；
• 用 iptables 模拟端口重置并验证 RST 行为；
• HTTP/3 over QUIC 抓包对比 HTTP/1.1 over TCP。

综合项目必做要求：

1. 场景描述：网络拓扑、预期行为、实际行为；
2. 工具选择理由：为什么用 ss -tin 而不是 netstat？为什么用 iperf3 而不是 curl？
3. 核心分析：每一次现象的判断依据与根因定位；
4. 复现脚本：可重复运行的 tc qdisc add / iperf3 / tcpdump 命令；
5. 边界测试：换丢包率、换 RTT、换 cwnd 算法都验证过；
6. 运行说明：环境依赖（iproute2、tcpdump、iperf3）、复现步骤；
7. README：项目介绍、目录结构、复盘；
8. 复盘记录：用时、难点、收获、下一步。

复盘项目交付物统一存到 notes/：

• notes/design.md：拓扑、命令、定位逻辑；
• notes/test.md：每组数据输入、期望、实际；
• notes/retrospective.md：踩过的坑与改进点。

本主题贡献

本主题沉淀 TCP 三次握手/四次挥手、滑动窗口与四大拥塞控制算法（Reno/Cubic/BBR），以及 QUIC over UDP 多路复用的工程化观测，所有结论以 tcpdump -nn -S + ss -tin + iperf3 为证据。

职责（3 项）

1. 抓 TCP 三次握手 SYN/SYN-ACK/ACK 序列、四次挥手 FIN/ACK、ISN 随机化与 TIME_WAIT 行为，能解释为什么 TIME_WAIT 等 2MSL 与 SO_REUSEADDR 的边界，以及 SYN flood 下 tcp_max_syn_backlog + syncookies 的边界；
2. 区分 rwnd（防接收方被淹）与 cwnd（防网络被淹），用 tc qdisc add 注入丢包验证 Reno/Cubic/BBR 在跨运营商链路的吞吐差异，能解释 BBR 基于带宽×RTT 模型而非丢包事件的抗丢包原理；
3. 抓 HTTP/3 over QUIC 的 Initial/Handshake 包、CRYPTO 帧与 connection_id，验证连接迁移（换 IP 不重连）与 0-RTT 重放风险，能区分 QUIC stream 隔离与 HTTP/2 单连接多 stream 在队头阻塞上的差异。

交付物（4 项）

1. 完整 TCP 生命周期 pcap（建立 → 数据 → 关闭），含 SYN、SYN-ACK、ACK、FIN 序列号与 flags 标注（-S 不加会看到相对值 0/1/2）；
2. ss -tin 输出（cwnd/rwnd/rtt/retrans/ssthresh）与 sysctl net.ipv4.tcp_congestion_control 切换记录（cubic ↔ bbr）；
3. iperf3 -P 4 -w 1M 同链路 Cubic vs BBR 30 秒吞吐对比报告，附 RTT/丢包率变量；
4. HTTP/3 over QUIC 抓包（curl --http3-only -v + SSLKEYLOGFILE 喂 Wireshark），含 connection_id 与 0-RTT Early Data 证据。

指标（3 项）

1. TIME_WAIT 比例 ≤ 30%（短连接服务开启 net.ipv4.tcp_tw_reuse 后）；
2. TCP 重传率 ≤ 0.5%（netstat -s / ss -tin retrans 采样）；
3. 拥塞控制切换后吞吐提升 ≥ 20%（BBR 相对 Cubic，跨运营商 1% 丢包链路）。

8. 推荐开源资料（按角色分工）

许可证提示：Wireshark 样例 pcap 是公开教学资源；iproute2 是 GPL-2.0。复制或参考命令前先确认许可证。

源码阅读时机：Linux TCP 实现源码（net/ipv4/tcp.c / tcp_input.c / tcp_output.c）放到「阶段 5（拥塞控制）」之后再读；RFC 原文从 Day 1 就开始对照，但不要试图一次通读——按当前阶段挑相关章节。

9. 学习资料汇聚（v0.3 自包含）

本节内容基于公开 RFC、Linux 手册与个人整理，标注「由本计划生成」处为计划自写。本节是子主题自包含的最后一节，不再依赖 notes/ 子目录。

9.1 背景与动机

• 1974 年 Vint Cerf 与 Bob Kahn 发表《A Protocol for Packet Network Intercommunication》，TCP 雏形。
• 1981 年 RFC 793 标准化 TCP，1983 年随 ARPANET 切换 TCP/IP 协议栈，全球互联网核心协议。
• 1988 年 Van Jacobson 发表拥塞避免论文，解决「TCP 雪崩致死」问题，奠定慢启动与拥塞避免算法。
• 1990 年代 UDP 被广泛用于 DNS（53/UDP）、NTP（123/UDP）、实时音视频等场景——这些场景要么短报文、要麼容忍丢包，对 TCP 的握手和重传太重。
• 2016 年后 Google 推出 QUIC（RFC 9000），在 UDP 之上重做可靠传输，解决 TCP+TLS 握手延迟与队头阻塞。
• 一句话总结：TCP 是「可靠的字节流」，UDP 是「不可靠的数据报」；QUIC 是在 UDP 上重做的「现代版 TCP」。选错协议 = 性能砍半，选对 = 免费拿到 10 倍吞吐。

9.2 概念地图

flowchart LR
  App[应用层] --> Socket
  Socket --> TCP[TCP]
  Socket --> UDP[UDP]
  Socket --> QUIC[QUIC / HTTP/3]
  TCP --> State[状态机]
  TCP --> Flow[流量控制 rwnd]
  TCP --> Cong[拥塞控制 cwnd]
  TCP --> Retrans[重传]
  Cong --> Reno[Reno]
  Cong --> Cubic[Cubic]
  Cong --> BBR[BBR]
  UDP --> DNS
  UDP --> RTP[实时音视频]
  QUIC --> Stream[多路复用流]
  QUIC --> 0RTT[0-RTT]
  QUIC --> Migration[连接迁移]
  TCP --> IP
  UDP --> IP
  QUIC --> IP

关系说明：

• TCP 是核心，向上接 Socket，向下交 IP；
• TCP 内部三件套：状态机、流量控制（rwnd）、拥塞控制（cwnd），重传受两者共同驱动；
• Reno 是经典教科书算法，Cubic 是 Linux 默认，BBR 是 Google 提出的基于模型的新一代；
• UDP 是「裸」的传输层，几乎不加东西；
• QUIC 建在 UDP 之上，引入多路复用流与 0-RTT 握手，解决 TCP+TLS 的队头阻塞与延迟。

9.3 基础知识讲解

经典论文 / 经典书籍 / 优秀博客 / 核心人物 / 开发方法 五大类，每类 ≥3 条。

经典论文 / RFC（必读）

经典书籍（系统化）

优秀博客（按问题查）

核心人物（知道谁定的规范）

开发方法（动手习惯）

缺失部分：tcpdump 的 -dd 输出语法、BPF 字面量在不同 libpcap 版本的差异。本计划不重写工具手册；查 man pcap-filter 即可。

9.4 经典问题与经典案例

9.5 学习难点

概念难点

思维难点

工程难点

9.6 技术标准与接口

9.6.1 Entity

9.6.2 Scope

• TCP：提供面向连接的可靠字节流；含流量控制、拥塞控制、错误检测与重传；
• UDP：提供无连接尽最大努力交付的数据报；不重传、不拥塞控制、不保证顺序；
• QUIC：在 UDP 之上重做 TCP+TLS 的能力，包含多路复用、0-RTT、连接迁移；
• iproute2 / iperf3：工具层，提供观测与测量；
• Linux kernel net stack：上述协议的具体实现。

不适用：实时流媒体裸协议（用 RTP/SRTP）、可靠消息队列（用 QUIC/AMQP）、应用层多路复用（用 HTTP/2、HTTP/3）。

9.6.3 Structure

TCP 头（20 字节，无选项）：

UDP 头（8 字节）：

TCP flags 关键字：

9.6.4 Ecosystem

• 内核实现：Linux kernel 的 net/ipv4/tcp.c / net/ipv4/tcp_input.c / net/ipv4/tcp_output.c / net/ipv4/udp.c；BBR 在 net/ipv4/tcp_bbr.c；Cubic 在 net/ipv4/tcp_cubic.c；
• 用户态工具：iproute2（ss、ip）、iperf3（打流）、tcpdump / wireshark（抓包）、tc（netem 注入）、nftables（防火墙）；
• QUIC 实现：Chromium’s net/quic、Cloudflare quiche、Microsoft msquic、Facebook mvfst、Nginx/OpenResty（HTTP/3）；
• 事实标准 vs 标准本身：
  • Linux 默认拥塞控制是 Cubic（net.ipv4.tcp_congestion_control 可改）；
  • tcpdump 默认不解密 QUIC，需要 Wireshark 配合 SSLKEYLOGFILE；
  • 大多数 Linux 发行版默认 tcp_fastopen 关闭，需要手动 sysctl 开启。

9.6.5 Depth Tiers

本计划目标：阶段 9 综合排障时达到 L3。

9.6.6 Source

• RFC Editor：所有 TCP/UDP/QUIC 原文（https://www.rfc-editor.org/）；
• IANA Protocol Numbers：协议号与端口号权威分配（https://www.iana.org/assignments/protocol-numbers/）；
• iperf3 官方主页（https://iperf.fr/）；
• Linux man 7 tcp / man 7 udp / man 8 ss / man 8 tcpdump；
• 引用版本快照日期：2026-07-30。

10. 常见误区

• 把 TCP 当成「保证 100% 到达」：TCP 不保证，分组重传仍可能因超时放弃；
• 抓包不指定接口：用 -i any 在多网卡主机上时间戳会乱；
• tcpdump 不加 -S：看到 seq=0/1/2 以为是串号；
• 以为 ss -t 就是 TCP 全信息：ss -tin 才有 cwnd/rtt/retrans；
• 改 sysctl 不 sysctl -p：编辑完没生效；
• 关闭 Nagle TCP_NODELAY 当成万能：会让小包增多，反而增加头部开销；
• 把 QUIC 当成「QUIC = HTTP/3」：QUIC 是传输协议，HTTP/3 是其上跑的 HTTP；
• 切换 BBR 不装模块：modprobe tcp_bbr 漏了会报 No such file or directory；
• BENCHMARK 噪声：单次 iperf3 跑 5 秒拿不到稳定值，要跑 30 秒以上；
• 用 time curl 测延迟：TCP 握手就 1 个 RTT，测延迟应用 curl -w '%{time_connect}'；
• 把 UDP 当成「更快的 TCP」：UDP 不可靠，需要应用层补足；
• 抓包只看 SYN 包就下结论：完整生命周期才能解释为什么 RST / FIN 出现。

11. 所有知识点分类（统一规则）

按本仓库统一分类规则（与父主题一致）：

1. 编程语言
2. 数据结构与算法
3. 计算机基础：网络协议、操作系统、组成原理
4. 工程技术
5. Web 与后端
6. 前端与客户端
7. 数据与人工智能
8. 项目与职业能力

本计划归属：计算机基础 主 + 工程技术 辅。