TCP 헤더·상태·흐름 제어와 재전송

01바이트 스트림과 연결을 구별하기

• 바이트 스트림TCP는 두 응용 프로그램 사이에 순서 있는 바이트 스트림을 제공한다. 송신 응용이 100바이트씩 두 번 기록해도 수신 응용은 200바이트를 한 번에 읽거나 여러 번 나누어 읽을 수 있다.

  • TCP 세그먼트 경계는 응용 메시지 경계가 아니므로 HTTP 길이, 구분자, 별도 길이 필드처럼 응용이 자신의 메시지 형식을 정의해야 한다.
• 연결 식별연결은 출발지 IP·포트와 목적지 IP·포트의 조합으로 구별한다. 프로토콜까지 포함하면 흔히 5-tuple이라고 부른다.

  • 서버의 LISTEN 소켓과 접속 후 생성된 연결은 다른 상태이며 같은 서버 포트도 여러 상대와 동시에 통신할 수 있다.
  • 운영체제는 연결 제어 정보, 송수신 버퍼, 순서 번호, 윈도, 타이머를 관리한다.
  • 암호화와 사용자 인증은 TCP 자체 기능이 아니며 TLS·SSH 같은 상위 프로토콜이 제공한다.

02고정 헤더를 비트 단위로 읽기

• 고정 헤더TCP 헤더의 최소 크기는 20바이트다. 출발지·목적지 포트는 각 16비트, Sequence와 Acknowledgment Number는 각 32비트다.

  • Data Offset 4비트는 32비트 워드 개수로 헤더 길이를 표현한다.
  • 값 5는 20바이트, 8은 32바이트이며 페이로드 시작 위치는 이 값으로 결정된다.
  • IPv4 IHL과 TCP Data Offset은 서로 다른 헤더 길이이므로 함께 읽어야 한다.
• Window·체크섬·옵션Window는 16비트이며 수신 측의 광고 윈도다. Checksum 16비트는 TCP 헤더·데이터와 IP 주소 등을 담은 의사 헤더를 포함해 검사한다.

  • 의사 헤더는 계산용 정보이지 TCP 앞에 실제 추가되는 별도 헤더가 아니다.
  • Urgent Pointer는 URG가 유효할 때 긴급 데이터 경계 해석에 사용하며 데이터 우선순위 큐를 만드는 필드가 아니다.
  • 옵션이 늘면 Data Offset도 늘어나고 32비트 경계에 맞춰 패딩한다.

03SYN·ACK·FIN·RST와 PSH의 의미

• 제어 플래그SYN은 초기 순서 번호를 교환하고 FIN은 해당 송신 방향에 더 보낼 데이터가 없음을 알린다. ACK 플래그는 Acknowledgment Number가 유효함을 뜻한다.

  • RST는 존재하지 않는 연결에 대한 응답이나 연결 중단 등에 쓰인다.
  • ACK만 켜진 세그먼트도 데이터를 담을 수 있으므로 flags만 보고 ‘순수 ACK’라고 단정하지 않고 TCP payload 길이를 함께 읽는다.
• PSH의 범위PSH는 송신 측이 해당 지점까지의 데이터를 전달하도록 표시하는 기능이다. PSH가 없다고 반드시 버퍼가 가득 찰 때까지 기다리거나, PSH가 있다고 즉시 화면 출력·응용 실행이 보장되는 것은 아니다.

  • FIN에 PSH가 함께 관찰되어도 ‘연결 정리를 급히 시키기 위한 PSH’로 해석할 수 없다.
  • ECE·CWR는 ECN 협상과 혼잡 통지에 관련되며 구현이 사용하는 확장과 협상 상태를 함께 해석한다.

043-way handshake의 메시지와 상태

• 순서 공간SYN은 데이터가 없어도 순서 공간 1을 소비한다. 따라서 ISN 1000의 확인은 ACK 1001, ISN 5000의 확인은 ACK 5001이다.
• 상대 번호 표시Wireshark는 첫 SYN을 Seq=0으로 정규화할 수 있다. raw 초기 번호와 상대 번호를 다른 연결로 오해하지 않는다.
• 누락을 읽는 방법SYN+ACK 송신과 마지막 ACK 수신은 서로 다른 증거다. 역방향 ACL·비대칭 경로를 고려하고 SYN 재전송의 초기 번호와 응답의 도착 위치를 연결한다.

1. 클라이언트 SYN클라이언트가 Seq=1000인 SYN을 보낸다. 상태는 SYN_SENT가 된다.
2. 서버 SYN+ACKLISTEN 서버는 Seq=5000, ACK=1001인 SYN+ACK을 보낸다. 서버는 SYN_RECEIVED가 된다.
3. 클라이언트 ACK클라이언트가 ACK=5001을 보내고 ESTABLISHED로 전환한다. 아직 서버가 이 ACK를 받았다는 뜻은 아니다.
4. 서버 연결 확정서버가 마지막 ACK를 수신하면 ESTABLISHED로 전환한다. 양쪽의 순서 번호를 확인한 연결에서 바이트를 교환한다.

수업 원본 자료

SYN+ACK 플래그의 실제 비트

원본 크기로 보기 ↗

이 자료에서 읽어낼 것

1. 0x012는 SYN 0x002와 ACK 0x010을 함께 설정한 값이다.
2. PSH·RST·FIN이 해제되어 있어도 ACK 번호는 유효하다. 이 화면만으로 세 번째 ACK의 도착까지 증명하지는 않는다.

05누적 ACK와 송수신 버퍼의 상태

• 송수신 상태 변수SND.UNA는 아직 확인되지 않은 가장 오래된 송신 바이트, SND.NXT는 다음에 보낼 바이트, RCV.NXT는 다음에 연속 수신하기를 기대하는 바이트 위치를 뜻한다. 송신자는 아직 확인받지 못한 데이터를 재전송할 수 있도록 보관한다.

  • 수신자는 순서가 뒤바뀐 데이터를 잠시 저장할 수 있지만 중간에 구멍이 남아 있으면 누적 ACK는 그 구멍의 시작을 가리킨다.
• Seq·Len·ACK 계산Seq=4132, Len=100인 데이터는 4132~4231을 차지한다. 이 범위까지 연속 수신하면 다음 ACK는 4232다.

  • 실습 캡처의 SSH 사례에서 ACK=4132가 계속 관찰되었다면 수신자는 아직 4132부터의 연속 데이터를 확인하지 못한 것이다.
  • 단, 하나의 ACK만으로 해당 세그먼트의 손실을 확정할 수 없다.
  • ACK가 먼저 생성됐거나 패킷 순서가 바뀌었을 수 있으므로 시간, 뒤따르는 중복 ACK, 재전송 데이터를 함께 읽는다.
• 지연 ACK·피기백ACK를 역방향 데이터에 실어 보내는 것을 piggybacking이라고 한다. Delayed ACK는 ACK 전송을 잠시 지연하는 별도 정책이며 두 개념은 관련되지만 같은 기능이 아니다.

  • ACK 자체가 사라져도 이후 더 큰 누적 ACK가 이전 바이트까지 확인할 수 있다.
  • 따라서 모든 ACK 손실이 반드시 같은 데이터 재전송으로 이어지지는 않는다.

수업 원본 자료

송신 데이터의 다음 순서 번호

원본 크기로 보기 ↗

이 자료에서 읽어낼 것

1. Next Sequence 4232에서 Sequence 4132를 빼면 이 세그먼트가 차지한 데이터 범위는 100바이트다.
2. 상대 방향 데이터에 대한 ACK 1924는 자기 송신 Seq와 별개인 역방향 수신 상태다.

수업 원본 자료

수신자가 아직 기대하는 위치

원본 크기로 보기 ↗

이 자료에서 읽어낼 것

1. Acknowledgment 4132는 그 번호부터의 연속 수신을 아직 확인하지 못했음을 뜻한다.
2. Sequence와 Next Sequence가 모두1924여서 이 화면의 세그먼트에는 순서 공간을 소비하는 데이터가 없다. ACK 플래그만으로 데이터 유무를 추론한 것이 아니다.

수업 원본 자료

같은 바이트 범위가 다시 보임

원본 크기로 보기 ↗

이 자료에서 읽어낼 것

1. Seq 4132~4231 범위가 다시 나타나 원문의 재전송 설명과 맞는다.
2. 이 잘린 화면에는 시간·분석 라벨이 없으므로 단독으로 손실 지점이나 재전송 원인까지 확정하지 않는다.

06MSS·Window Scale·SACK·Timestamp 옵션

• MSSMSS 옵션은 길이 4바이트이며 보통 SYN에서 자신이 수신할 TCP 데이터의 최대 세그먼트 크기를 알린다. Ethernet MTU 1500에 IPv4 헤더 20과 TCP 기본 헤더 20을 가정하면 기본 계산은 1460이다.

  • IP/TCP 옵션, 터널 오버헤드, 경로 MTU가 달라지면 실제 데이터 크기도 조정된다.
  • MSS는 IP 패킷 전체 크기나 한 번에 보낼 총 데이터 양이 아니다.
• Window ScaleWindow Scale 옵션은 3바이트이며 SYN 교환에서 협상한 shift로 이후 Window 필드를 확장한다. 예를 들어 shift=7이고 Window=1000이면 광고 윈도는 128000바이트로 해석한다.

  • SYN 자체의 Window에는 이 배율을 적용하지 않는다.
  • 양 방향의 shift가 다를 수 있으므로 송신 방향을 바꿀 때 같은 배율을 무조건 사용하지 않는다.
• SACK·TimestampSACK Permitted는 2바이트 옵션이며 SACK 지원 의사를 SYN에서 알린다. 실제 SACK 옵션은 종류·길이 2바이트와 각 수신 블록의 좌우 경계 8바이트를 사용하므로 크기는 2+8N이다.

  • 누적 ACK가 구멍을 가리키는 동안 SACK은 그 뒤에 이미 받은 범위를 알려 불필요한 재전송을 줄인다.
  • Timestamp는 10바이트로 TSval과 TSecr를 담고 RTT 측정·오래된 세그먼트 판별 등에 쓰인다.
  • NOP와 EOL은 각각 1바이트이며 옵션 정렬과 종료에 관련된다.

07흐름 제어와 혼잡 제어는 제한하는 대상이 다르다

• 수신 윈도우수신자가 광고하는 rwnd는 수신 버퍼에 받아들일 여유를 반영한다. 송신자 내부의 cwnd는 네트워크 혼잡을 제어하는 상태다.

  • 송신 중이지만 확인받지 못한 데이터는 대체로 두 제한 중 작은 값 안에 있어야 한다.
  • 상대가 큰 Window를 주어도 cwnd가 작으면 전송량이 작고, 네트워크가 한가해도 수신 응용이 읽지 않아 rwnd가 0이면 새 데이터 전송이 제약된다.
• 혼잡 윈도우Zero Window가 나타나면 수신 버퍼·응용 처리 지연이 핵심이다. 송신자는 윈도가 다시 열리는지 알아내기 위한 persist 동작을 수행한다.

  • Window Update를 캡처에서 놓치면 상대가 계속 막힌 것처럼 보일 수 있다.
  • 이 현상은 패킷 손실을 혼잡으로 판단해 cwnd를 줄이는 동작과 구별된다.
• 혼잡 제어 단계전통적인 혼잡 제어 설명에서 slow start는 ACK를 받으며 cwnd를 빠르게 증가시키고, ssthresh 이후 congestion avoidance는 더 완만하게 증가시킨다. 타임아웃이나 손실 신호는 전송량 감소의 계기가 된다.

  • Reno 계열의 이 설명을 모든 현재 TCP 알고리즘의 정확한 성장 공식으로 일반화하지 않는다.
  • 운영체제별 CUBIC 등 실제 알고리즘과 초기 윈도 정책에 따라 수치가 달라진다.

09RTO와 빠른 재전송이 손실에 대응하는 방식

• RTO·빠른 재전송RTO는 단순히 고정된 1초 타이머가 아니다. 표준 알고리즘은 평활 RTT인 SRTT와 변동 폭 RTTVAR를 유지하고, SRTT+max(시계 정밀도,4×RTTVAR)를 기초로 기다릴 시간을 계산한다.

  • 타임아웃이 나면 가장 오래된 미확인 데이터를 재전송하고 RTO를 배수로 늘려 반복 전송이 혼잡을 악화시키지 않도록 한다.
  • 정확한 최솟값 등은 구현 정책을 구별한다.
• RTT 추정의 조건이미 재전송한 데이터의 ACK는 최초 전송과 재전송 중 어느 것의 응답인지 모호하다. Karn 알고리즘은 이런 애매한 RTT 표본을 배제하며 Timestamp처럼 모호성을 제거할 수 있는 경우를 구분한다.

  • 빠른 재전송은 전통적인 알고리즘에서 세 개의 중복 ACK를 손실 신호로 삼는다.
  • 여기서 세 개는 첫 ACK를 포함한 총 세 개라는 뜻이 아니다.
  • SACK, 재정렬, 현대 손실 검출이 개입하면 캡처에 나타나는 조건이 달라질 수 있다.

11정상 종료·반폐쇄·TIME_WAIT

• 반폐쇄FIN은 한 방향의 송신 종료이므로 반대 방향 데이터는 계속 올 수 있다. FIN도 순서 공간 1을 소비한다.
• 종료 분기FIN과 ACK가 한 세그먼트에 합쳐져 항상 네 패킷으로 보이지는 않는다. 양쪽이 거의 동시에 닫으면 CLOSING 같은 다른 상태 경로도 가능하다.
• TIME_WAIT의 역할최종 ACK 재전송과 오래된 세그먼트 처리에 필요한 상태다. 표준 설명은 2×MSL을 사용하지만 실제 OS의 시간을 모든 장비에 고정 적용하지 않는다.
• CLOSE_WAIT 누적상대가 종료한 연결을 로컬 응용이 아직 닫지 않은 상태인지 살핀다.

1. 능동 종료의 FIN먼저 닫는 쪽이 FIN을 보내고 FIN_WAIT_1이 된다.
2. FIN 확인상대가 FIN을 ACK하면 능동 종료자는 FIN_WAIT_2로 이동한다. 상대는 CLOSE_WAIT에서 응용의 남은 송신·종료를 기다린다.
3. 상대의 FIN상대 응용도 종료하면 FIN을 보내고 LAST_ACK이 된다.
4. 최종 ACK와 종료먼저 닫은 쪽은 상대 FIN에 ACK하고 TIME_WAIT을 거친다. 상대는 최종 ACK를 받으면 종료한다.

12SSH 캡처를 다시 계산하는 방법

• SSH 캡처 계산TCP 캡처에서는 SYN의 raw 번호, 데이터의 Seq/ACK, PSH+ACK, 재전송과 FIN의 순서 공간 소비를 연결한다. 학습할 핵심은 플래그 이름 암기보다 ‘이번 세그먼트의 Seq+데이터 길이+SYN/FIN 소비량’과 다음 ACK가 맞는지를 계산하는 것이다.

  • ACK 플래그가 있어도 데이터가 포함될 수 있으며 PSH만으로 응용 출력 시점을 확정할 수 없다.
• 조회 예시아래는 실제 장치 출력이 아니라 번호 계산을 재현한 예시다. 재전송으로 보이는 같은 범위가 왜 다시 왔는지 판단할 때는 캡처 위치와 양방향 수집 누락도 고려한다.

  • 호스트 송신 캡처의 잘못된 체크섬 표시는 NIC가 나중에 계산하는 offload 결과일 수 있고, 큰 TCP 조각도 segmentation offload 전에 관찰한 데이터일 수 있다.

방향    Seq   Ack   Len  Flags
C → S   1000  0     0    SYN
S → C   5000  1001  0    SYN,ACK
C → S   1001  5001  100  ACK
S → C   5001  1101  0    ACK
C → S   1101  5001  0    FIN,ACK
S → C   5001  1102  0    ACK

Wireshark 표시 필터:
tcp.stream eq 0
tcp.analysis.retransmission || tcp.analysis.duplicate_ack
tcp.window_size == 0

계산용 합성 흐름과 조회 필터. stream 번호는 현재 캡처에 맞춰 선택한다.