El protocolo de enlace TCP y la vida de una conexión

Antes de que su Mac envíe un solo byte de una solicitud de página web, ya ha intercambiado tres mensajes cortos con el servidor. Ese intercambio, el protocolo de enlace de tres vías de TCP, es lo que convierte las promesas de confiabilidad de TCP de la lección anterior en una conexión real y rastreable entre dos máquinas.

Tres mensajes antes de la primera palabra.

RFC 9293, la especificación TCP actual, describe el proceso como un intercambio sincronizado: "la sincronización requiere que cada lado envíe su propio número de secuencia inicial y reciba una confirmación del mismo como reconocimiento del par TCP remoto".

1. SINC. El dispositivo que abre la conexión envía un segmento con el indicador SYN configurado, que lleva un número de secuencia inicial.
2. SINCRONIZACIÓN. La otra parte responde con su propio SYN, más un reconocimiento del primer número.
3. ACK. El primer dispositivo reconoce esa respuesta. RFC 9293 señala que "debido a que los pasos 2 y 3 se pueden combinar en un solo mensaje, esto se denomina protocolo de enlace de tres vías (o tres mensajes)". Una vez que se completa, ambas partes cuentan la conexión como ESTABLECIDA y comienzan a enviar datos reales.

El Centro de aprendizaje de Cloudflare ofrece una versión en lenguaje sencillo de la misma idea, utilizando un correo electrónico como ejemplo: "primero, la fuente envía un paquete SYN de 'solicitud inicial' al servidor de destino para iniciar el diálogo. Luego, el servidor de destino envía un paquete SYN-ACK para aceptar el proceso. Por último, la fuente envía un paquete ACK al destino para confirmar el proceso, después de lo cual se puede enviar el contenido del mensaje".

Finalizar una conexión limpiamente

Cerrar es más deliberado que abrir. RFC 9293 explica que "la secuencia normal de cierre de TCP entrega datos almacenados en el búfer de manera confiable en ambas direcciones" antes de que finalice la conexión: cada lado envía un segmento FIN una vez que no tiene más datos para enviar, el otro lado lo reconoce y solo una vez que ambas direcciones han finalizado la conexión se cierra por completo. Sigue un breve período de espera (TIME-WAIT), de modo que cualquier paquete perdido o retrasado de la conexión anterior no pueda confundirse con parte de una nueva.

Lo que ve un firewall en el medio

Un firewall con estado, del tipo integrado en la mayoría de los enrutadores y en el propio macOS, no necesita inspeccionar cada paquete para tomar una decisión. La explicación de Cloudflare sobre los firewalls lo describe de esta manera: "guarda información sobre las conexiones abiertas y utiliza esta información para analizar el tráfico entrante y saliente, en lugar de inspeccionar cada paquete". En la práctica, eso significa que busca el SYN que abre una conexión, recuerda que esta aplicación solicitó una respuesta y luego permite silenciosamente que vuelva a ingresar el SYN-ACK coincidente; se descarta una respuesta que no coincide con ningún SYN saliente. Así es también como un firewall puede distinguir una respuesta normal de un intento de conexión no solicitado que llega de la nada, que es la base para bloquear el tráfico entrante no deseado.

Ninguno de estos intercambios está cifrado por el propio TCP; SYN, SYN-ACK y ACK son visibles en forma simple para cualquier cosa que observe la ruta de la red, incluido su enrutador Wi-Fi. Lo que está oculto o no depende de la capa por encima de TCP, como TLS para un sitio HTTPS, que el curso sobre cómo funciona Internet cubre por separado.