TCP Üçlü El Sıkışma - TCP Three Way Handshake - SİBER GÜVENLİK PORTALİ
Browse archives for Mayıs 12, 2015
Tagged with TCP Three Way Handshake, Tcpdump Tool, Wireshark Tool
Ağ üzerinde TCP bağlantısı kurulmasından sonra oturum işlemleri gerçekleşir. İstemci tarafından başlatılan bu TCP süreci üçlü el sıkışma (Three Way Handshake) olarak adlandırılır. Bu yazıda, TCP üçlü el sıkışma sürecinin adımları incelenecektir.
TCP üçlü el sıkışma adından da anlaşılacağı üzere, 3 adımdan oluşur. Hem son adım, hem de ilk adım hizmeti almak isteyen istemci tarafından gerçekleştirilir. Bu 3 adım gerçekleştikten sonra, sunucu taraf, hizmet vermeye başlar. TCP üçlü el sıkışmayı betimleyen bir şekil aşağıdaki gibidir. Bu şekilde, A istemci tarafı, B ise sunucu tarafı temsil eder.
Üçlü el sıkışmayı daha iyi anlamak için TCP başlığını (TCP Header) incelemek gerekebilir. TCP başlığı ise şu şekildedir:
TCP üçlü el sıkışma sürecinin adımlarını uygulamalı olarak görmek için Wireshark aracı kullanılabilir. 10.68.35.150 IP adresli istemci, 10.68.35.250 IP adresli web sunucusundan hizmet alması sırasında gerçekleşen TCP üçlü el sıkışma adımlarına ait Wireshark ekran görüntüleri aşağıdaki gibidir.
ip.addr==10.68.35.250 and tcp
Not: Sıra numaraları, anlaşılırlığı arttırmak ve sadeleştirme yapmak için, Wireshark varsayılan olarak 0’dan başlatılır. Bu sıra numaralarının orijinal değerleri için “Wireshark > Edit > Preferences… > Protokols > TCP” ekranında “Relative sequence numbers:” seçeneği devre dışı bırakılmalıdır.
TCP üçlü el sıkışmanın adımları Wireshark üzerinde aşağıdaki gibi izlenebilir.
İstemci tarafından hazırlanan ilk pakette, SYN bayrağının aktif edildiği ve rastgele bir sıra numarasının oluşturulduğu görülmektedir.
Sunucu tarafından hazırlanan ikinci pakette, SYN ve ACK bayraklarının aktif edildiği ve ACK numarasının, istemciye ait paketin sıra numarasının bir fazlası; sıra numarasının ise rastgele oluşturulduğu görülmektedir.
İstemci tarafından hazırlanan son pakette, ACK bayrağının aktif edildiği ve ACK numarasının, sunucuya ait paketin sıra numarasının bir fazlası; sıra numarasının ise sunucuya ait paketin ACK numarasına eşit olduğu görülmektedir.
Aynı iletişime ait sunucu tarafındaki trafik “tcpdump” komut satırı aracı ile izlendiğinde benzer adımların gerçekleştiği görülmektedir.
tcpdump -i eth0 -ttt -vv host 10.68.35.150 and tcp
Not: Tcpdump aracının çıktısında, bayraklardaki “.” ifadesi ACK bayrağının aktif olduğunu belirtir.
Gönder - Cevapla