三次握手出现syn->aync,ack->rst诡异的包

thedaydreamer

Nginx做反向代理（70.210，系统为centos6.0，内核版本为2.6.32）
后端服务（70.47，系统为ubuntu12.04，内核版本为3.11.0）
两台机器上抓包，均能看到该现象。
1、排除掉iptables（已卸载模块）的原因
2、从包上看，第二次握手syn,ack好像没有异常
3、查看内核2.6.32代码，从tcp_rcv_synsent_state_process函数看，
第二次握手有ack标记，进入代码块：if (th->ack)

1. 
   
2.                 /* rfc793:
   
3.                  * "If the state is SYN-SENT then
   
4.                  *    first check the ACK bit
   
5.                  *      If the ACK bit is set
   
6.                  *          If SEG.ACK =< ISS, or SEG.ACK > SND.NXT, send
   
7.                  *        a reset (unless the RST bit is set, if so drop
   
8.                  *        the segment and return)"
   
9.                  *
   
10.                  *  We do not send data with SYN, so that RFC-correct
    
11.                  *  test reduces to:
    
12.                  */
    
13. [color=Red]                /*1、已经发过SYN*/[/color]
    
14.                 if (TCP_SKB_CB(skb)->ack_seq != tp->snd_nxt)
    
15.                         goto reset_and_undo;
    
16. [color=Red]                /*从包上看，没有tsecr*/[/color]
    
17.                 if (tp->rx_opt.saw_tstamp && tp->rx_opt.rcv_tsecr &&
    
18.                     !between(tp->rx_opt.rcv_tsecr, tp->retrans_stamp,
    
19.                              tcp_time_stamp)) {
    
20.                         NET_INC_STATS_BH(sock_net(sk), LINUX_MIB_PAWSACTIVEREJECTED);
    
21.                         goto reset_and_undo;
    
22.                 }
    
23.                
    
24.                 /* Now ACK is acceptable.
    
25.                  *
    
26.                  * "If the RST bit is set
    
27.                  *    If the ACK was acceptable then signal the user "error:
    
28.                  *    connection reset", drop the segment, enter CLOSED state,
    
29.                  *    delete TCB, and return."
    
30.                  */
    
31. [color=Red]                /*没有该标记*/[/color]
    
32.                 if (th->rst) {
    
33.                         tcp_reset(sk);
    
34.                         goto discard;
    
35.                 }
    
36. 
    
37.                 /* rfc793:
    
38.                  *   "fifth, if neither of the SYN or RST bits is set then
    
39.                  *    drop the segment and return."
    
40.                  *
    
41.                  *    See note below!
    
42.                  *                                        --ANK(990513)
    
43.                  */
    
44. [color=Red]                /*存在SYN标记*/[/color]
    
45.                 if (!th->syn)
    
46.                         goto discard_and_undo;
    
47.                
    
48. [color=Red]                /*上面的检查流程都通过了，下面再做其他处理就返回0了*/[/color]
    
49.                 /* Ok.. it's good. Set up sequence numbers and
    
50.                  * move to established.
    
51.                  */

复制代码

求助各位，这种状况什么原因发出RST？

lims_xlh

有可能第二个包超时了吧

lims_xlh

建议从47 和 210两方抓包分析

gaojl0728

回复 1# thedaydreamer


    看TCP 窗口没有问题,  那就有可能是timestmap的问题了， 截图是什么工具显示的？wireshark?

thedaydreamer

两边都抓过，一样的表现。回复 3# lims_xlh


   

thedaydreamer

回复 4# gaojl0728
wireshark不显示TSval？
47上的timestamp也是关闭的