监控用tcp还是udp(监控TCP/IP)

TCP：传输控制协议 （TCP：Transmission Control Protocol）传输控制协议 TCP 是 TCP/IP 协议栈中的传输层协议，它通过序列确认以及包重发机制，提供可靠的数据流发送和到应用程序的虚拟连接服务。与 IP 协议相结合， TCP 组成了因特网协议的核心。由于大多数网络应用程序都在同一台机器上运行，计算机上必须能够确保目的地机器上的软件程序能从源地址机器处获得数据包，以及源计算机能收到正确的回复。这是通过使用 TCP 的“端口号”完成的。网络 IP 地址和端口号结合成为唯一的标识 , 我们称之为“套接字”或“端点”。 TCP 在端点间建立连接或虚拟电路进行可靠通信。TCP 服务提供了数据流传输、可靠性、有效流控制、全双工操作和多路复用技术等。关于流数据传输 ,TCP 交付一个由序列号定义的无结构的字节流。 这个服务对应用程序有利，因为在送出到 TCP 之前应用程序不需要将数据划分成块， TCP 可以将字节整合成字段，然后传给 IP 进行发送。TCP 通过面向连接的、端到端的可靠数据报发送来保证可靠性。 TCP 在字节上加上一个递进的确认序列号来告诉接收者发送者期望收到的下一个字节。如果在规定时间内，没有收到关于这个包的确认响应，重新发送此包。 TCP 的可靠机制允许设备处理丢失、延时、重复及读错的包。超时机制允许设备监测丢失包并请求重发。TCP 提供了有效流控制。当向发送者返回确认响应时，接收 TCP 进程就会说明它能接收并保证缓存不会发生溢出的最高序列号。全双工操作： TCP 进程能够同时发送和接收包。TCP 中的多路技术：大量同时发生的上层会话能在单个连接上时进行多路复用。UDP：用户数据报协议（UDP：User Datagram Protocol）用户数据报协议（UDP）是 ISO 参考模型中一种无连接的传输层协议，提供面向事务的简单不可靠信息传送服务。 UDP 协议基本上是 IP 协议与上层协议的接口。 UDP 协议适用端口分辨运行在同一台设备上的多个应用程序。由于大多数网络应用程序都在同一台机器上运行，计算机上必须能够确保目的地机器上的软件程序能从源地址机器处获得数据包，以及源计算机能收到正确的回复。这是通过使用 UDP 的“端口号”完成的。例如，如果一个工作站希望在工作站 128.1.123.1 上使用域名服务系统，它就会给数据包一个目的地址 128.1.123.1 ，并在 UDP 头插入目标端口号 53 。源端口号标识了请求域名服务的本地机的应用程序，同时需要将所有由目的站生成的响应包都指定到源主机的这个端口上。 UDP 端口的详细介绍可以参照相关文章。与 TCP 不同， UDP 并不提供对 IP 协议的可靠机制、流控制以及错误恢复功能等。由于 UDP 比较简单， UDP 头包含很少的字节，比 TCP 负载消耗少。 UDP 适用于不需要 TCP 可靠机制的情形，比如，当高层协议或应用程序提供错误和流控制功能的时候。 UDP 是传输层协议，服务于很多知名应用层协议，包括网络文件系统（NFS）、简单网络管理协议（SNMP）、域名系统（DNS）以及简单文件传输系统（TFTP）。

TCP协议与UDP协议的区别首先咱们弄清楚，TCP协议和UCP协议与TCP/IP协议的联系，很多人犯糊涂了，一直都是说TCP/IP协议与UDP协议的区别，我觉得这是没有从本质上弄清楚网络通信！TCP/IP协议是一个协议簇。里面包括很多协议的。UDP只是其中的一个。之所以命名为TCP/IP协议，因为TCP,IP协议是两个很重要的协议，就用他两命名了。TCP/IP协议集包括应用层,传输层，网络层，网络访问层。其中应用层包括:超文本传输协议(HTTP):万维网的基本协议.文件传输(TFTP简单文件传输协议):远程登录(Telnet),提供远程访问其它主机功能,它允许用户登录internet主机,并在这台主机上执行命令.网络管理(SNMP简单网络管理协议),该协议提供了监控网络设备的方法,以及配置管理,统计信息收集,性能管理及安全管理等.域名系统(DNS),该系统用于在internet中将域名及其公共广播的网络节点转换成IP地址.其次网络层包括:Internet协议(IP)Internet控制信息协议(ICMP)地址解析协议(ARP)反向地址解析协议(RARP)最后说网络访问层:网络访问层又称作主机到网络层(host-to-network).网络访问层的功能包括IP地址与物理地址硬件的映射,以及将IP封装成帧.基于不同硬件类型的网络接口,网络访问层定义了和物理介质的连接.当然我这里说得不够完善，TCP/IP协议本来就是一门学问，每一个分支都是一个很复杂的流程，但我相信每位学习软件开发的同学都有必要去仔细了解一番。下面我着重讲解一下TCP协议和UDP协议的区别。TCP（Transmission Control Protocol，传输控制协议）是面向连接的协议，也就是说，在收发数据前，必须和对方建立可靠的连接。一个TCP连接必须要经过三次“对话”才能建立起来，其中的过程非常复杂，只简单的描述下这三次对话的简单过程：主机A向主机B发出连接请求数据包：“我想给你发数据，可以吗？”，这是第一次对话；主机B向主机A发送同意连接和要求同步（同步就是两台主机一个在发送，一个在接收，协调工作）的数据包：“可以，你什么时候发？”，这是第二次对话；主机A再发出一个数据包确认主机B的要求同步：“我现在就发，你接着吧！”，这是第三次对话。三次“对话”的目的是使数据包的发送和接收同步，经过三次“对话”之后，主机A才向主机B正式发送数据。详细点说就是：（文章部分转载http://zhangjiangxing-gmail-com.iteye.com，主要是这个人讲解得很到位，的确很容易使人理解！）TCP三次握手过程1 主机A通过向主机B 发送一个含有同步序列号的标志位的数据段给主机B ,向主机B 请求建立连接,通过这个数据段,主机A告诉主机B 两件事:我想要和你通信;你可以用哪个序列号作为起始数据段来回应我.2 主机B 收到主机A的请求后,用一个带有确认应答(ACK)和同步序列号(SYN)标志位的数据段响应主机A,也告诉主机A两件事:我已经收到你的请求了,你可以传输数据了;你要用哪佧序列号作为起始数据段来回应我3 主机A收到这个数据段后,再发送一个确认应答,确认已收到主机B 的数据段:"我已收到回复,我现在要开始传输实际数据了这样3次握手就完成了,主机A和主机B 就可以传输数据了.3次握手的特点没有应用层的数据SYN这个标志位只有在TCP建产连接时才会被置1握手完成后SYN标志位被置0TCP建立连接要进行3次握手,而断开连接要进行4次1 当主机A完成数据传输后,将控制位FIN置1,提出停止TCP连接的请求2  主机B收到FIN后对其作出响应,确认这一方向上的TCP连接将关闭,将ACK置13 由B 端再提出反方向的关闭请求,将FIN置14 主机A对主机B的请求进行确认,将ACK置1,双方向的关闭结束.由TCP的三次握手和四次断开可以看出,TCP使用面向连接的通信方式,大大提高了数据通信的可靠性,使发送数据端和接收端在数据正式传输前就有了交互,为数据正式传输打下了可靠的基础名词解释ACK  TCP报头的控制位之一,对数据进行确认.确认由目的端发出,用它来告诉发送端这个序列号之前的数据段都收到了.比如,确认号为X,则表示前X-1个数据段都收到了,只有当ACK=1时,确认号才有效,当ACK=0时,确认号无效,这时会要求重传数据,保证数据的完整性.SYN  同步序列号,TCP建立连接时将这个位置1FIN  发送端完成发送任务位,当TCP完成数据传输需要断开时,提出断开连接的一方将这位置1TCP的包头结构：源端口 16位目标端口 16位序列号 32位回应序号 32位TCP头长度 4位reserved 6位控制代码 6位窗口大小 16位偏移量 16位校验和 16位选项  32位(可选)这样我们得出了TCP包头的最小长度，为20字节。UDP（User Data Protocol，用户数据报协议）（1） UDP是一个非连接的协议，传输数据之前源端和终端不建立连接，当它想传送时就简单地去抓取来自应用程序的数据，并尽可能快地把它扔到网络上。在发送端，UDP传送数据的速度仅仅是受应用程序生成数据的速度、计算机的能力和传输带宽的限制；在接收端，UDP把每个消息段放在队列中，应用程序每次从队列中读一个消息段。（2） 由于传输数据不建立连接，因此也就不需要维护连接状态，包括收发状态等，因此一台服务机可同时向多个客户机传输相同的消息。（3） UDP信息包的标题很短，只有8个字节，相对于TCP的20个字节信息包的额外开销很小。（4） 吞吐量不受拥挤控制算法的调节，只受应用软件生成数据的速率、传输带宽、源端和终端主机性能的限制。（5）UDP使用尽最大努力交付，即不保证可靠交付，因此主机不需要维持复杂的链接状态表（这里面有许多参数）。（6）UDP是面向报文的。发送方的UDP对应用程序交下来的报文，在添加首部后就向下交付给IP层。既不拆分，也不合并，而是保留这些报文的边界，因此，应用程序需要选择合适的报文大小。我们经常使用“ping”命令来测试两台主机之间TCP/IP通信是否正常，其实“ping”命令的原理就是向对方主机发送UDP数据包，然后对方主机确认收到数据包，如果数据包是否到达的消息及时反馈回来，那么网络就是通的。UDP的包头结构：源端口 16位目的端口 16位长度 16位校验和 16位小结TCP与UDP的区别：1.基于连接与无连接；2.对系统资源的要求（TCP较多，UDP少）；3.UDP程序结构较简单；4.流模式与数据报模式 ；5.TCP保证数据正确性，UDP可能丢包，TCP保证数据顺序，UDP不保证。

1、DNS端口号是域名系统 (Domain Name System) 的缩写，该系统用于命名组织到域层次结构中的计算机和网络服务。在Internet上域名与IP地址之间是一一对应的，域名虽然便于人们记忆，但机器之间只能互相认识IP地址，它们之间的转换工作称为域名解析，域名解析需要由专门的域名解析服务器来完成。 2、DNS协议运行在UDP协议之上，使用端口号53。
DNS协议都是走UDP的，建议设置的时候选择协议为UDP
TCP的53号端口
之前你应该问过吧，是TCP。 为什么不是UDP呢，因为DNS解析的协议是TCP协议，非UDP协议。

计算机“端口”是英文port的义译，可以认为是计算机与外界通讯交流的出口。其中硬件领域的端口又称接口，如：USB端口、串行端口等。软件领域的端口一般指网络中面向连接服务和无连接服务的通信协议端口，是一种抽象的软件结构，包括一些数据结构和I/O（基本输入输出）缓冲区。 可以先了解面向连接和无连接协议（Connection－Oriented and Connectionless Protocols）面向连接和无连接协议（Connection－Oriented and Connectionless Protocols） 通信协议要么是面向连接的，要么是无连接的。这依赖于信息发送方是否需要与接收方联系并通过联系来维持一个对话（面向连接的），还是没有任何预先联系就发送消息（无连接的）且希望接收方能顺序接收所有内容。这些方法揭示了网络上实现通信的两种途径。 在面向连接的方法中，网络负责顺序发送报文分组并且以一种可靠的方法检测丢失和冲突。这种方法被“可靠的”传输服务使用。 在无连接的方法中，网络只需要将报文分组发送到接收点，检错与流控由发送方和接收方处理。这种方法被称作“最佳工作（best－effort）”或“无应答（unacknowledged）”的传输协议所使用。 假定你想给你在另一个城市的朋友发送一系列信件，信件类似于通过计算机网络发送的数据分组。有两种发送方法，一种方法是把信件交给一位可信的朋友，由他私人传送，之后再向你证实已经发送。在这种方法中，你在传送的两端都保持着联系，你的朋友提供了面向连接的服务。另外一种是，你在信封上注明地址并将它们投进邮局，你并没有得到保证说每封信都会达到目的地，如果都到达了，它们可能在不同的时间到达并且不是连续的，这就象一个无连接服务。 面向连接服务的主要特点有：面向连接服务要经过三个阶段：数据传数前，先建立连接，连接建立后再传输数据，数据传送完后，释放连接。面向连接服务，可确保数据传送的次序和传输的可靠性。无连接服务的特点是：无连接服务只有传输数据阶段。消除了除数据通信外的其它开销。只要发送实体是活跃的，无须接收实体也是活跃的。它的优点是灵活方便、迅速，特别适合于传送少量零星的报文，但无连接服务不能防止报文的丢失、重复或失序。 区分“面向连接服务”和“无连接服务”的概念，特别简单、形象的例子是：打电话和写信。两个人如果要通电话，必须先建立连接——拨号，等待应答后才能相互传递信息，最后还要释放连接——挂电话。写信就没有那么复杂了，地址姓名填好以后直接往邮筒一扔，收信人就能收到。TCP/IP协议在网络层是无连接的（数据包只管往网上发，如何传输和到达以及是否到达由网络设备来管理）。而“端口”，是传输层的内容，是面向连接的。协议里面低于1024的端口都有确切的定义，它们对应着因特网上常见的一些服务。这些常见的服务可以划分为使用TCP端口（面向连接如打电话）和使用UDP端口（无连接如写信）两种。 面向连接的通信（Connection－Oriented Communication） 在面向连接方法中，在两个端点之间建立了一条数据通信信道（电路）。这条信道提供了一条在网络上顺序发送报文分组的预定义路径，这个连接类似于语音电话。发送方与接收方保持联系以协调会话和报文分组接收或失败的信号。但这并不意味着面向连接的信道比无连接的信道使用了更多的带宽，两种方法都只在报文分组传输时才使用带宽。 为面向连接的会话建立的通信信道自然是逻辑的，常被称作虚电路（virtual circuit），它关心的是端点。与在网络上寻求一条实际的物理路径相比，这条信道更关心的是保持两个端点的联系。在有多条到达目的地路径的网络中，物理路径在会话期间随着数据模式的改变而改变，但是端点（和中间节点）一直保持对路径进行跟踪，图C－26所示为多路复用电路中的逻辑路径。 一台计算机上的应用程序启动与另一台计算机的面向连接的会话，它通过访问基本的通信协议来请求这样的对话。在传输控制协议／因特网协议（TCP／IP）组中，TCP提供面向连接的服务，而IP（较低层的协议）提供传输服务。在NetWare SPX／IPX协议组中，SPX提供面向连接的服务。 因为报文分组是通过虚电路传输的，所以并不需要使用全分组地址，这是由于网络已经知道了发送方与接收方的地址。网络路径上的每个节点都保持跟踪虚电路和需要交换分组的端口。顺序编号用来保证分组的顺序流动。虚电路需要一个建立过程，但电路一旦建立，它就为长时间的处理提供一条有效的路径，如由管理程序对网络站点的连续监控和许多大文件的传送。与此相比，无连接方法是设计用于突发的、暂时的通信，这种方法中如用虚电路建立就不是很有效的。 面向连接的会话的建立过程如下： 1．源应用程序请求一个面向连接的通信会话。 2．建立会话（需要一段时间，是选用无连接的协议的一个原因）。 3．在逻辑连接上开始数据传输。 4．传输结束时，信道解除连接。 在分组交换远程通信网络中，有些信道永不断连。两点之间建立的一条永久信道称为永久虚电路（PVC）（Permanent virtual circuits（PVCs））。PVC类似于专用电话线。 面向连接的协议大部分位于与开放系统互连（OSI）协议模型相当的运输层协议中。通用的面向连接的协议包括Internet和UNIX环境下的TCP（传输控制协议）、Novell的顺序分组交换（SPX）、IBM／Microsoft的NetBIOS和OSI的连接模型网络协议（CMNP）。 无连接通信（Connectionless Communication） 在无连接方法中，网络除了把分组传送到目的地以外不需做任何事情，如果分组丢失了，接收方必须检测出错误并请求重发；如果分组因采用不同的路径而没有按序到达，接收方必须将它们重新排序。无连接的协议有TCP／IP协议组的IP部分，NetWare的SPX／IPX协议的IPX部分和OSI的无连接网络协议（CLNP）。这些协议在与OSI协议模型相当的网络层中。 在无连接的通信会话中，每个数据分组是一个在网络上传输的独立单元，称作数据报。发送方和接收方之间没有初始协商，发送方仅仅向网络上发送数据报，每个分组含有源地址和目的地址。 该方法中没有接收方发来的分组接收或未接收的应答，也没有流控制，所以分组可能不按次序到达，接收方必须对它们重新排序。如果接收到有错误的分组，则将它删掉。当重新整理分组时，就会发现被删掉的包并请求重发。 使用无连接的协议有许多好处。就性能来说，无连接策略通常更好，因为大多数网络上只有相对少的错误，所以被破坏的或丢失的分组很少，端点不需很多时间来重发。 协议的比较（Comparing the Protocols） 面向连接的服务更适于需要稳定数据流的应用，例如，与Novell NetWare一起提供的远程监控程序使用的是面向连接的协议SPX。面向连接的服务可靠性也更高，并能更有效从问题中恢复。 虽然无连接的服务中每个分组有更多的额外开销，而面向连接的服务在端点上需要更多的处理来建立和保持连接。但是额外开销有时没有被证实，例如与局域网用户和服务器交互有关的短暂突发传输。 网络中可以被命名和寻址的通信端口是操作系统的一种可分配资源。由网络OSI（开放系统互联参考模型，Open System Interconnection Reference Model）七层协议可知，传输层与网络层最大的区别是传输层提供进程通信能力， 网络通信的最终地址不仅包括主机地址，还包括可描述进程的某种标识。所以TCP/IP协议提出的协议端口，可以认为是网络通信进程的一种标识符。 应用程序（调入内存运行后一般称为：进程）通过系统调用与某端口建立连接（binding，绑定）后，传输层传给该端口的数据都被相应的进程所接收，相应进程发给传输层的数据都从该端口输出。在TCP/IP协议的实现中，端口操作类似于一般的I/O操作，进程获取一个端口，相当于获取本地唯一的I/O文件，可以用一般的读写方式访问。 类似于文件描述符，每个端口都拥有一个叫端口号的整数描述符，用来区别不同的端口。由于TCP/IP传输层的TCP和UDP两个协议是两个完全独立的软件模块，因此各自的端口号也相互独立。如TCP有一个255号端口，UDP也可以有一个255号端口，两者并不冲突。 端口号有两种基本分配方式：第一种叫全局分配这是一种集中分配方式，由一个公认权威的中央机构根据用户需要进行统一分配，并将结果公布于众，第二种是本地分配，又称动态连接，即进程需要访问传输层服务时，向本地操作系统提出申请，操作系统返回本地唯一的端口号，进程再通过合适的系统调用，将自己和该端口连接起来（binding，绑定）。TCP/IP端口号的分配综合了以上两种方式，将端口号分为两部分，少量的作为保留端口，以全局方式分配给服务进程。每一个标准服务器都拥有一个全局公认的端口叫周知口，即使在不同的机器上，其端口号也相同。剩余的为自由端口，以本地方式进行分配。TCP和UDP规定，小于256的端口才能作为保留端口。 按端口号可分为3大类：（1）公认端口（Well Known Ports）：从0到1023，它们紧密绑定（binding）于一些服务。通常这些端口的通讯明确表明了某种服务的协议。例如：80端口实际上总是HTTP通讯。 （2）注册端口（Registered Ports）：从1024到49151。它们松散地绑定于一些服务。也就是说有许多服务绑定于这些端口，这些端口同样用于许多其它目的。例如：许多系统处理动态端口从1024左右开始。 （3）动态和/或私有端口（Dynamic and/or Private Ports）：从49152到65535。理论上，不应为服务分配这些端口。实际上，机器通常从1024起分配动态端口。但也有例外：SUN的RPC端口从32768开始。 系统管理员可以“重定向”端口：一种常见的技术是把一个端口重定向到另一个地址。例如默认的HTTP端口是80，不少人将它重定向到另一个端口，如8080。如果是这样改了，要访问本文就应改用这个地址 http://wwd.3322.net:8080/net/port.htm （当然，这仅仅是理论上的举例）。实现重定向是为了隐藏公认的默认端口，降低受破坏率。这样如果有人要对一个公认的默认端口进行攻击则必须先进行端口扫描。大多数端口重定向与原端口有相似之处，例如多数HTTP端口由80变化而来：81，88，8000，8080，8888。同样POP的端口原来在110，也常被重定向到1100。也有不少情况是选取统计上有特别意义的数，象1234，23456，34567等。许多人有其它原因选择奇怪的数，42，69，666，31337。近来，越来越多的远程控制木马( Remote Access Trojans, RATs )采用相同的默认端口。如NetBus的默认端口是12345。Blake R. Swopes指出使用重定向端口还有一个原因，在UNIX系统上，如果你想侦听1024以下的端口需要有root权限。如果你没有root权限而又想开web服务，你就需要将其安装在较高的端口。此外，一些ISP的防火墙将阻挡低端口的通讯，这样的话即使你拥有整个机器你还是得重定向端口。
TCP端口在3层,UDP不是四层就是7层 TCP和UDP的协议也不相同,TCP比UDP安全
TCP---传输控制协议,提供的是面向连接、可靠的字节流服务。当客户和服务器彼此交换数据前，必须先在双方之间建立一个TCP连接，之后才能传输数据。TCP提供超时重发，丢弃重复数据，检验数据，流量控制等功能，保证数据能从一端传到另一端。 UDP---用户数据报协议，是一个简单的面向数据报的运输层协议。UDP不提供可靠性，它只是把应用程序传给IP层的数据报发送出去，但是并不能保证它们能到达目的地。由于UDP在传输数据报前不用在客户和服务器之间建立一个连接，且没有超时重发等机制，故而传输速度很快。 用TCP还是UDP，那要看你的程序注重哪一个方面？可靠还是快速？
TCP---传输控制协议,提供的是面向连接、可靠的字节流服务。当客户和服务器彼此交换数据前，必须先在双方之间建立一个TCP连接，之后才能传输数据。TCP提供超时重发，丢弃重复数据，检验数据，流量控制等功能，保证数据能从一端传到另一端。 UDP---用户数据报协议，是一个简单的面向数据报的运输层协议。UDP不提供可靠性，它只是把应用程序传给IP层的数据报发送出去，但是并不能保证它们能到达目的地。由于UDP在传输数据报前不用在客户和服务器之间建立一个连接，且没有超时重发等机制，故而传输速度很快。 用TCP还是UDP，那要看你的程序注重哪一个方面？可靠还是快速？

有可能，现在国家需要监控网络。 TCP：是传输控制协议（Transmission Control Protocol）的缩写。 TCP是一种面向连接的、可靠的、基于字节流的运输层（Transport layer）通信协议。UDP 协议：是用户数据报协议的缩写（User Datagram Protocol），在网络中它与TCP协议一样用于处理数据包，是一种无连接的协议。不保证传输数据的可靠性。 IP 协议：是网络互连协议（Internet Protocol）的缩写。它提供了能适应各种网络硬件的灵活性，对底层网络硬件几乎没任何要求，任何一个网络只要能够从一个地点向另一个地点传送二进制数据，即可使用IP协议加入互联网络了。