服务器rsyslogd发生故障时，rsyslogd客户端未关闭TCP连接

如何解决服务器rsyslogd发生故障时，rsyslogd客户端未关闭TCP连接

我已经在远程服务器上配置了rsyslogd，以使用TCP协议从带有rsyslogd的客户端计算机发送日志。在客户端和服务器上配置并重新启动rsyslogd守护程序后，我能够将数据包发送到服务器，并且一切正常。但是稍后，当我在服务器上重新启动rsyslogd时，客户端仍会将数据包发送到旧的TCP连接。因此，客户端重试了16次，但无法发送数据包。重试发送下一个数据包后，客户端将创建一个新连接，并且此后的通信正常。

当我使用tcpdump在服务器上重新启动rsyslogd时，我捕获了数据包，我们可以看到服务器向客户端发送了flag [F]并且客户端也对其进行了确认。但是，当我们发送下一个数据包时，它并没有建立新的连接。

在服务器上重新启动rsyslog： 服务器端tcpdump：

* 09：54：50.012933 IP x.x.x.101.514> y.y.y.167.37141：标志[F。]，seq 1，ack 31，win 229，长度0

09：54：50.013050 IP y.y.y.167.37141> x.x.x.101.514：标记[。]，确认2， 赢115，长度为0 *

对于从客户端发送的下一个数据包，服务器发送标志[R]，但客户端会继续重试16次：

来自服务器的tcpdump：

* 03：55：11.811611 IP y.y.y.167.37141> x.x.x.101.514：标志[P。]，seq 31：61，ack 2，win 115，长度30

03：55：11.811647 IP x.x.x.101.514> y.y.y.167.37141：标志[R]，顺序 1863584583，获胜0，长度0

03：55：12.014158 IP y.y.y.167.37141> x.x.x.101.514：标志[P.]，顺序 31：61，ack 2，获胜115，长度30

03：55：12.014189 IP x.x.x.101.514> y.y.y.167.37141：标志[R]，顺序 1863584583，获胜0，长度0 *

同时在客户端上，我们看不到来自服务器的响应：

09：55：11.811077 IP y.y.y.167.37141> x.x.x.101.514：标志[P.]，顺序 31：61，ack 2，获胜115，长度30

09：55：12.013639 IP y.y.y.167.37141> x.x.x.101.514：标志[P.]，顺序 31：61，ack 2，获胜115，长度30

09：55：12.421627 IP y.y.y.167.37141> x.x.x.101.514：标志[P.]，顺序 31：61，ack 2，获胜115，长度30

现在，如果我们发送一个新的数据包，则在16次重试（大约13分钟）后，它可以正确发送。 在这里，我们看到正在创建一个新会话：

* 10：16：43.873325 IP yyy167。 39859 > xxx101.514：标志[S]，seq 1000783963，获胜14600，选项[mss 1460，nop，wscale 7]，长度0

10：16：43.873658 IP x.x.x.101.514> y.y.y.167。 39859 ：标志[S.]， seq 231452091，ack 1000783964，win 29200，options [mss 1460，nop，wscale 7]，长度为0

10：16：43.873740 IP y.y.y.167.39859> x.x.x.101.514：标志[。]，确认1， 赢115，长度为0

10：16：43.873904 IP y.y.y.167.39859> x.x.x.101.514：标志[P.]，顺序 1：31，ack 1，获胜115，时长30

10：16：43.874084 IP x.x.x.101.514> y.y.y.167.39859：标记[。]，确认号31， 赢得229，长度为0 *

有人遇到这样的问题吗？任何人都可以说出为什么客户端发送标志[F]时服务器没有关闭连接。服务器发送标志[F]时，rsyslogd中是否有任何配置参数可创建新会话？

解决方法

为什么客户端在收到FIN并ACK编辑完数据后才发送数据？
TCP连接终止是一个4 way handshake，这意味着一旦客户端从服务器接收到FIN，它便会对其进行确认并将所有剩余数据发送到服务器，然后再发送另一个FIN到服务器并等待ACK完成握手并完全关闭连接。

您提供的日志显示，服务器重新启动时连接为half-open（在完全关闭之前应该没有完成的连接）。这就是为什么客户端在完成握手之前发送剩余数据的原因。

突然终止的正确方法是什么？
当某个端点即将突然终止连接时，尽管已经有一些数据在传输，它应该发送RST数据包而不是FIN。

为什么客户端未收到重启后服务器发送的RST数据包？
由于早已收到FIN个数据包，连接已半打开，因此它必须已被丢弃，或者它必须已被客户端防火墙丢弃，可能存在TCP Reset attack