O aperto de mão TCP e a vida de uma conexão

Antes de seu Mac enviar um único byte de um pedido de página web, ele já trocou três mensagens curtas com o servidor. Essa troca, o aperto de mão de três vias do TCP, é o que transforma as promessas de confiabilidade do TCP da aula anterior em uma conexão real e rastreável entre duas máquinas.

Três mensagens antes da primeira palavra

A RFC 9293, a especificação atual do TCP, descreve o processo como uma troca sincronizada: "a sincronização exige que cada lado envie seu próprio número de sequência inicial e receba uma confirmação dele em um reconhecimento do par TCP remoto".

1. SYN. O dispositivo que abre a conexão envia um segmento com a flag SYN ativada, carregando um número de sequência inicial.
2. SYN-ACK. O outro lado responde com seu próprio SYN, mais um reconhecimento do primeiro número.
3. ACK. O primeiro dispositivo reconhece essa resposta. A RFC 9293 observa que "porque os passos 2 e 3 podem ser combinados em uma única mensagem, isso é chamado de aperto de mão de três vias (ou três mensagens)". Uma vez completo, os dois lados contam a conexão como ESTABELECIDA e começam a enviar dados de fato.

O Learning Center da Cloudflare dá uma versão em linguagem simples da mesma ideia, usando um e-mail como exemplo: "primeiro, a origem envia um pacote SYN de 'pedido inicial' para o servidor de destino para começar o diálogo. Depois o servidor de destino envia um pacote SYN-ACK para concordar com o processo. Por fim, a origem envia um pacote ACK ao destino para confirmar o processo, depois do qual o conteúdo da mensagem pode ser enviado".

Encerrando uma conexão de forma limpa

Encerrar é mais deliberado do que abrir. A RFC 9293 explica que "a sequência normal de fechamento do TCP entrega de forma confiável os dados em buffer nas duas direções" antes de a conexão terminar: cada lado envia um segmento FIN assim que não tem mais dados para enviar, o outro lado o reconhece, e só quando as duas direções terminaram é que a conexão se fecha por completo. Um curto período de espera (TIME-WAIT) vem em seguida, para que qualquer pacote perdido e atrasado da conexão antiga não seja confundido com parte de uma nova.

O que um firewall no meio vê

Um firewall com estado, o tipo integrado na maioria dos roteadores e no próprio macOS, não precisa inspecionar cada pacote para tomar uma decisão. A explicação da Cloudflare sobre firewalls coloca assim: ele "guarda informações sobre conexões abertas e usa essas informações para analisar o tráfego de entrada e saída, em vez de inspecionar cada pacote". Na prática, isso significa que ele observa o SYN que abre uma conexão, lembra que esse aplicativo pediu uma resposta, e então silenciosamente permite que o SYN-ACK correspondente volte; uma resposta que não corresponde a nenhum SYN de saída é descartada. É assim também que um firewall consegue distinguir uma resposta normal de uma tentativa de conexão não solicitada chegando do nada, o que é a base do bloqueio de tráfego de entrada indesejado.

Nada nessa troca é criptografado pelo próprio TCP; SYN, SYN-ACK e ACK são visíveis em forma simples para qualquer coisa observando o caminho da rede, incluindo seu roteador Wi-Fi. O que fica escondido ou não depende da camada acima do TCP, como o TLS para um site HTTPS, o que o curso de como a internet funciona aborda separadamente.