4. 网络协议与网络故障排查：TCP/IP、DNS、HTTP、抓包分析

📌 问题1：请详细描述TCP三次握手和四次挥手的过程，并说明为什么需要三次握手？

回答框架

1. 三次握手：① 客户端发送 SYN (seq=x) → ② 服务端回复 SYN+ACK (seq=y, ack=x+1) → ③ 客户端发送 ACK (seq=x+1, ack=y+1)。
2. 四次挥手：① 客户端发送 FIN (seq=u) → ② 服务端回复 ACK (ack=u+1) → ③ 服务端发送 FIN (seq=v) → ④ 客户端回复 ACK (ack=v+1)。
3. 三次理由：防止已失效的 SYN 请求突然到达导致重复连接；通过 ISN 协商和序列号确认实现可靠同步。

简短示例

# tcpdump 抓三次握手（精简）
$ tcpdump -i eth0 -nn 'tcp port 443 and (tcp[tcpflags] & (tcp-syn|tcp-ack) != 0)'
# 输出形如：
# SYN: 10.0.0.1:54321 > 10.0.0.2:443 Flags [S], seq 123
# SYN-ACK: 10.0.0.2:443 > 10.0.0.1:54321 Flags [S.], seq 456, ack 124
# ACK: 10.0.0.1:54321 > 10.0.0.2:443 Flags [.], ack 457

追问（面试官可能连续深挖）

• 为什么 TIME_WAIT 状态需要 2MSL？
• 大量 CLOSE_WAIT 如何排查？用哪个命令查看？
• 如果第三次握手 ACK 丢了会怎样？

避坑指南

📌 问题2：请说明DNS解析的完整过程，以及常见的DNS故障排查方法。

回答框架

简短示例

# 使用 dig 追踪递归过程
$ dig +trace example.com
# 输出显示：从 . 到 com. 到 example.com. 的 RTT 和 NS 记录

# 排查 DNS 延迟
$ time nslookup example.com

追问

• DNS 劫持与 DNS 缓存中毒的区别？如何用 DNSSEC 防护？
• 给你一个域名 ping 通但 nslookup 失败，可能原因是什么？
• 如何用 tcpdump 过滤 DNS 查询？tcpdump -i any port 53 -nn

避坑指南

📌 问题3：如何使用 tcpdump 抓包分析 HTTP 请求？请给出一次完整排查案例。

回答框架

1. 明确目标：抓取指定端口的 HTTP 交互（通常 80 或 8080）。
2. 选择过滤：tcpdump -i eth0 -nn 'tcp port 80 and (tcp[tcpflags] & (tcp-syn) != 0)' 仅看握手；或 port 80 and tcp[((tcp[12]&0xf0)>>2):4] = 0x474554 过滤 GET 请求。
3. 保存并分析：-w http.pcap → 用 Wireshark 或 tshark 解析。
4. 关注重点：请求行、响应状态码、Content-Length、Keep-Alive 头部、传输时间。

简短示例

# 抓取完整 HTTP 请求/响应并只显示协议层信息
$ tcpdump -i eth0 -nn -A 'tcp port 80'
# -A 以 ASCII 显示 payload（慎用于 HTTPS 场景）
# 推荐：只抓握手和首部
$ tcpdump -i eth0 -nn 'tcp port 80 and (tcp[13] = 0x18)'  # PS+ACK 包含数据

追问

• 如何用 tcpdump 判断 HTTP 慢请求是服务端处理慢还是网络延迟？
• Retransmission 和 Duplicate ACK 如何定位丢包？
• HTTPS 下如何抓包？需要如何解密？

避坑指南