Der TCP-Handshake und das Leben einer Verbindung

Bevor dein Mac auch nur ein einziges Byte einer Webseitenanfrage sendet, hat er bereits drei kurze Nachrichten mit dem Server ausgetauscht. Dieser Austausch, der dreiteilige TCP-Handshake, verwandelt die Zuverlässigkeitsversprechen von TCP aus der vorherigen Lektion in eine tatsächliche, nachvollziehbare Verbindung zwischen zwei Maschinen.

Drei Nachrichten vor dem ersten Wort

RFC 9293, die aktuelle TCP-Spezifikation, beschreibt den Vorgang als einen synchronisierten Austausch: „Die Synchronisation erfordert, dass jede Seite ihre eigene anfängliche Sequenznummer sendet und eine Bestätigung dafür in einer Quittung vom entfernten TCP-Partner erhält.“

1. SYN. Das Gerät, das die Verbindung öffnet, sendet ein Segment mit gesetztem SYN-Flag, das eine Start-Sequenznummer trägt.
2. SYN-ACK. Die Gegenseite antwortet mit ihrem eigenen SYN sowie einer Bestätigung der ersten Nummer.
3. ACK. Das erste Gerät bestätigt diese Antwort. RFC 9293 merkt an, dass „weil die Schritte 2 und 3 in einer einzigen Nachricht kombiniert werden können, dies der dreiteilige (oder Drei-Nachrichten-) Handshake genannt wird.“ Sobald er abgeschlossen ist, zählen beide Seiten die Verbindung als ESTABLISHED und beginnen mit dem Austausch echter Daten.

Das Learning Center von Cloudflare gibt eine allgemeinverständliche Version derselben Idee, mit einer E-Mail als Beispiel: „Zunächst sendet die Quelle ein SYN-„Erstanfrage“-Paket an den Zielserver, um den Dialog zu beginnen. Dann sendet der Zielserver ein SYN-ACK-Paket, um dem Vorgang zuzustimmen. Zuletzt sendet die Quelle ein ACK-Paket an das Ziel, um den Vorgang zu bestätigen, wonach der Nachrichteninhalt gesendet werden kann.“

Eine Verbindung sauber beenden

Das Schließen erfolgt bedachter als das Öffnen. RFC 9293 erklärt, dass „die normale TCP-Schließfolge zuverlässig gepufferte Daten in beide Richtungen zustellt“, bevor die Verbindung endet: Jede Seite sendet ein FIN-Segment, sobald sie keine weiteren Daten zu senden hat, die andere Seite bestätigt es, und erst wenn beide Richtungen fertig sind, schließt die Verbindung vollständig. Es folgt eine kurze Wartezeit (TIME-WAIT), damit ein verirrtes, verspätetes Paket der alten Verbindung nicht mit einer neuen verwechselt werden kann.

Was eine Firewall in der Mitte sieht

Eine zustandsbehaftete (stateful) Firewall, wie sie in den meisten Routern und in macOS selbst eingebaut ist, muss nicht jedes Paket prüfen, um eine Entscheidung zu treffen. Cloudflares Erklärung zu Firewalls beschreibt es so: Sie „speichert Informationen über offene Verbindungen und nutzt diese Informationen, um ein- und ausgehenden Datenverkehr zu analysieren, statt jedes Paket einzeln zu prüfen.“ In der Praxis bedeutet das: Sie achtet auf das SYN, das eine Verbindung eröffnet, merkt sich, dass diese App eine Antwort erwartet, und lässt dann das passende SYN-ACK stillschweigend wieder herein; eine Antwort, die zu keinem ausgehenden SYN passt, wird verworfen. So kann eine Firewall auch eine normale Antwort von einem unaufgeforderten Verbindungsversuch aus dem Nichts unterscheiden – die Grundlage dafür, unerwünschten eingehenden Datenverkehr zu blockieren.

Nichts an diesem Austausch wird von TCP selbst verschlüsselt; SYN, SYN-ACK und ACK sind für alles, was den Netzwerkpfad beobachtet, einschließlich deines WLAN-Routers, in Klartext sichtbar. Was verborgen ist oder nicht, hängt von der Schicht über TCP ab, etwa TLS bei einer HTTPS-Seite, was der Kurs „Wie das Internet funktioniert“ separat behandelt.