L’handshake TCP e la vita di una connessione

Prima che il tuo Mac invii un solo byte della richiesta di una pagina web, ha già scambiato tre brevi messaggi con il server. Quello scambio, l’handshake TCP a tre vie, è ciò che trasforma le promesse di affidabilità di TCP dalla lezione precedente in una connessione reale e tracciabile tra due macchine.

Tre messaggi prima della prima parola

RFC 9293, l’attuale specifica TCP, descrive il processo come uno scambio sincronizzato: “la sincronizzazione richiede che ciascuna parte invii il proprio numero di sequenza iniziale e ne riceva una conferma tramite riconoscimento dal peer TCP remoto.”

1. SYN. Il dispositivo che apre la connessione invia un segmento con il flag SYN impostato, portando un numero di sequenza iniziale.
2. SYN-ACK. L’altra parte risponde con il proprio SYN, più un riconoscimento del primo numero.
3. ACK. Il primo dispositivo riconosce quella risposta. RFC 9293 nota che “poiché i passaggi 2 e 3 possono essere combinati in un singolo messaggio, questo si chiama handshake a tre vie (o a tre messaggi).” Una volta completato, entrambe le parti considerano la connessione ESTABLISHED e iniziano a inviare dati reali.

Il Centro di apprendimento di Cloudflare offre una versione in linguaggio semplice della stessa idea, usando un’email come esempio: “prima, la sorgente invia un pacchetto SYN di ‘richiesta iniziale’ al server di destinazione per avviare il dialogo. Poi il server di destinazione invia un pacchetto SYN-ACK per accettare il processo. Infine, la sorgente invia un pacchetto ACK alla destinazione per confermare il processo, dopo di che il contenuto del messaggio può essere inviato.”

Terminare una connessione in modo pulito

La chiusura è più deliberata dell’apertura. RFC 9293 spiega che “la normale sequenza di chiusura TCP consegna in modo affidabile i dati in buffer in entrambe le direzioni” prima che la connessione termini: ciascuna parte invia un segmento FIN una volta che non ha più dati da inviare, l’altra parte lo riconosce, e solo una volta che entrambe le direzioni hanno finito la connessione si chiude completamente. Segue un breve periodo di attesa (TIME-WAIT), così che un pacchetto ritardato e vagante della vecchia connessione non possa essere scambiato per parte di una nuova.

Cosa vede un firewall nel mezzo

Un firewall con stato, il tipo integrato nella maggior parte dei router e in macOS stesso, non ha bisogno di ispezionare ogni pacchetto per prendere una decisione. La spiegazione di Cloudflare sui firewall lo descrive così: “salva le informazioni relative alle connessioni aperte e usa queste informazioni per analizzare il traffico in entrata e in uscita, invece di ispezionare ogni pacchetto.” Nella pratica, questo significa che osserva il SYN che apre una connessione, ricorda che questa app ha chiesto una risposta, e poi lascia rientrare silenziosamente il SYN-ACK corrispondente; una risposta che non corrisponde a nessun SYN in uscita viene scartata. È anche così che un firewall può distinguere una risposta normale da un tentativo di connessione non richiesto che arriva dal nulla, il che è la base per bloccare il traffico in entrata indesiderato.

Nulla di questo scambio è cifrato da TCP stesso; SYN, SYN-ACK e ACK sono visibili in forma semplice a chiunque osservi il percorso di rete, incluso il tuo router Wi-Fi. Cosa sia nascosto o meno dipende dal livello sopra TCP, come TLS per un sito HTTPS, trattato separatamente nel corso su come funziona internet.