TCP, UDP et ports : la couche transport

La couche transport relie deux programmes, et pas seulement deux machines : le numéro de port (de 0 à 65 535) désigne le programme destinataire, TCP garantit une livraison complète et dans l'ordre grâce à une connexion établie en trois temps, et UDP envoie sans connexion ni garantie, plus vite. Ce chapitre explique les ports, le fonctionnement de TCP et d'UDP, leurs différences, les ports à connaître et les commandes pour voir les connexions d'une machine.

Les ports : à quel programme parler

Une adresse IP désigne une machine (plus exactement une interface). Mais sur un même serveur tournent souvent plusieurs services : un site web, un serveur SSH, une base de données. Le port dit à quel programme remettre les données. Si l'adresse IP est l'adresse d'un immeuble, le port est le numéro de l'appartement.

Un port est un nombre de 16 bits, de 0 à 65 535. L'IANA en distingue trois plages :

Quand ton navigateur se connecte à un serveur web, le serveur écoute sur le port 443 ; ton système choisit pour toi un port source éphémère, par exemple 51544. Windows prend ses ports éphémères dans la plage de l'IANA ; Linux, par défaut, entre 32768 et 60999. Les réponses du serveur reviennent vers ce port, ce qui permet d'avoir plusieurs onglets ouverts vers le même site.

Une connexion est identifiée par cinq valeurs : protocole, adresse IP source, port source, adresse IP destination, port destination. Le couple « adresse IP + port » s'appelle un socket et se note 192.168.10.70:51544 (en IPv6, l'adresse est entre crochets : [2001:db8::10]:443).

TCP : la livraison garantie

TCP (Transmission Control Protocol) est un protocole orienté connexion et fiable. Avant d'envoyer des données, le client et le serveur établissent une connexion ; ensuite, TCP garantit que tout arrive, une seule fois, dans l'ordre.

La poignée de main en trois temps

1. SYN : le client demande une connexion et annonce son numéro de séquence initial (ici 1000).
2. SYN-ACK : le serveur accepte, annonce son propre numéro (5000) et accuse réception du SYN : ack = 1001, c'est-à-dire « j'attends maintenant ton octet numéro 1001 ».
3. ACK : le client accuse réception du SYN du serveur (ack = 5001). La connexion est établie.

Si le port est fermé, le serveur répond au SYN par un segment RST (reset) : la connexion est refusée immédiatement. Si un pare-feu bloque silencieusement le port, le client ne reçoit rien et attend jusqu'à l'expiration du délai. Cette différence, « refusé » contre « délai dépassé », est précieuse pour dépanner.

Numéros de séquence et accusés de réception

TCP numérote chaque octet envoyé. Le destinataire répond par un ACK qui indique le prochain octet attendu. Si le client envoie 200 octets à partir du numéro 1001, le serveur répond ack = 1201. Un segment qui ne reçoit pas d'accusé dans le délai prévu est retransmis. Les numéros permettent aussi de remettre dans l'ordre des segments arrivés dans le désordre et d'éliminer les doublons.

Fenêtre et congestion

Le destinataire annonce une fenêtre : la quantité de données qu'il peut recevoir avant d'avoir à accuser réception. C'est le contrôle de flux : un serveur rapide ne noie pas un client lent. TCP adapte aussi son rythme à l'état du réseau : il accélère tant que tout passe et ralentit dès qu'il détecte des pertes. C'est le contrôle de congestion, qui évite qu'Internet s'effondre sous la charge.

Les drapeaux et la fermeture

L'en-tête TCP (20 octets au minimum) contient les ports, les numéros de séquence et d'accusé, la fenêtre, une somme de contrôle et des drapeaux : SYN (ouverture), ACK (accusé de réception), FIN (fin d'envoi), RST (réinitialisation brutale), PSH (transmettre sans attendre) et URG (données urgentes).

La fermeture normale se fait dans chaque sens : chaque côté envoie un FIN et reçoit un ACK. Une connexion passe par plusieurs états, que tu verras avec netstat ou ss : LISTEN (un serveur attend), ESTABLISHED (connexion ouverte), TIME_WAIT (connexion fermée depuis peu, en attente avant oubli), SYN_SENT (le client attend une réponse à son SYN, souvent le signe d'un port filtré).

UDP : envoyer sans attendre

UDP (User Datagram Protocol) est sans connexion et sans garantie. Il ajoute aux données un en-tête de 8 octets seulement (port source, port destination, longueur, somme de contrôle) et envoie. Pas de poignée de main, pas d'accusé, pas de retransmission, pas de remise en ordre.

C'est un avantage quand :

• la rapidité compte plus que la perfection : voix sur IP, visioconférence, jeux en ligne. Un paquet de voix qui arrive en retard ne sert plus à rien ; mieux vaut le perdre que l'attendre ;
• l'échange tient en une question et une réponse : une requête DNS, une demande DHCP, une synchronisation NTP. Établir une connexion coûterait plus cher que l'échange lui-même ;
• on envoie à plusieurs destinataires : broadcast et multicast n'existent qu'en UDP.

Si une application sur UDP a besoin de fiabilité, c'est elle qui la gère : le client DNS renvoie sa question s'il n'a pas de réponse au bout d'un moment.

QUIC et HTTP/3 : le web passe aussi par UDP

QUIC est un protocole de transport plus récent (RFC 9000, 2021), construit au-dessus d'UDP. Il apporte la fiabilité de TCP, le chiffrement de TLS 1.3 intégré et un établissement de connexion plus rapide. HTTP/3 l'utilise : une bonne partie du trafic web des grands sites passe désormais par le port UDP 443. Conséquence pratique : un pare-feu qui n'autorise que TCP 443 n'empêche pas la navigation (le navigateur se rabat sur HTTP/2 en TCP), mais une règle « HTTPS » doit aujourd'hui penser aux deux.

TCP ou UDP : le comparatif

Les ports à connaître

Voir et tester les ports

Exemple sur le serveur de gestion de Sorbier :

$ ss -tln
State   Recv-Q  Send-Q  Local Address:Port   Peer Address:Port
LISTEN  0       128           0.0.0.0:22          0.0.0.0:*
LISTEN  0       511           0.0.0.0:443         0.0.0.0:*
LISTEN  0       151         127.0.0.1:3306        0.0.0.0:*

Lecture : SSH (22) et HTTPS (443) écoutent sur toutes les interfaces (0.0.0.0) ; MySQL (3306) écoute seulement sur 127.0.0.1, la boucle locale. L'application web, qui tourne sur le même serveur, joint sa base ; une machine du réseau ne le peut pas, même sans pare-feu. C'est une bonne pratique.

Exercices

  Proto  Adresse locale         Adresse distante        État         PID
  TCP    0.0.0.0:3389           0.0.0.0:0               LISTENING    1132
  TCP    192.168.10.70:51544    198.51.100.80:443       ESTABLISHED  8420
  TCP    192.168.10.70:51602    192.168.10.178:445      ESTABLISHED  4
  TCP    192.168.10.70:51610    192.168.10.179:443      SYN_SENT     8420