【実務・中級編】 TCPフラグ制御(SYN, ACK, FIN, RST, PSH, URG)の役割 – ネットワーク基礎とWebセキュリティ実践ガイド

TCPフラグを制する者は通信を制す：現場のエンジニアが知っておくべき「パケットの裏側」

エンジニアの皆さん、こんにちは。現場で「なぜか繋がらない」「特定のAPIだけタイムアウトする」といったトラブルに遭遇したとき、ログの海に溺れそうになったことはありませんか？

アプリケーション層のコードばかり見ていると忘れがちですが、我々が扱うHTTPやgRPCといったWeb APIは、その足元で常にTCPという「交渉人」が必死にパケットのやり取りを調整しています。今日は、その交渉人であるTCPが、パケットのヘッダーに隠した「6つのフラグ（SYN, ACK, FIN, RST, PSH, URG）」が、実務でどう機能しているのか、泥臭いトラブルシューティングの視点から紐解いていきましょう。

—

1. TCPフラグという「通信の作法」

TCPはコネクション型プロトコルです。「信頼性」を担保するために、通信の開始から終了まで、双方の合意形成をフラグで行います。まずは、この6つのフラグがどのような「感情」や「目的」を運んでいるのかを整理します。

SYN (Synchronize): 「同期しようぜ」。コネクションを確立したいときの最初の挨拶。
ACK (Acknowledgment): 「受け取ったよ」。相手のパケットへの応答。これがないとTCPは成立しません。
FIN (Finish): 「もう送るものはないよ」。お互いに納得して通信を終了するための合図。
RST (Reset): 「強制終了！」。予期せぬ通信や、拒絶したい相手を即座に断つための破壊的な信号。
PSH (Push): 「バッファリングせずに即座に処理してくれ」。アプリ層にデータをすぐに渡せという命令。
URG (Urgent): 「緊急だ」。優先的に処理すべきデータがあることを知らせる（最近はあまり使われませんが、仕組みとしては重要です）。

—

2. 現場で遭遇する「パケットの挙動」を追う

例えば、皆さんが curl コマンドを叩いた瞬間、裏では何が起きているでしょうか。

# curlでWebサーバーにアクセスする際のパケットの流れを覗く
curl -v http://example.com

このコマンドが実行されると、まず 3-way Handshake が始まります。

1. Client -> Server (SYN): 「通信始めたい」
2. Server -> Client (SYN, ACK): 「いいよ、こちらも準備OKだ」
3. Client -> Server (ACK): 「了解、じゃあ始めるよ」

このシーケンスが完了して初めて、HTTPのリクエストが流れます。もしここで RST が返ってくるとしたら、それは「ポートが開いていない」か「ファイアウォール（WAF等）が通信を遮断した」という明確な拒絶のサインです。

トラブルシューティングのTips：RST はなぜ飛んでくる？

ロードバランサーやプロキシ越しの環境で、「Connection Reset by Peer」というエラーをよく見ませんか？これは、サーバー側が FIN を送る前に、何らかの理由でセッションを強制終了しているケースです。

原因1: アイドルタイムアウト（サーバーが接続を切った）。
原因2: WAFが攻撃パターンを検知して通信を強制断した。

そんな時は tcpdump でフラグを確認しましょう。

# 特定のIPとポートの通信をキャプチャし、フラグを可視化する
sudo tcpdump -i eth0 host 192.168.1.10 and port 80 -nn -v

出力結果の中に [R.] とあれば、それは RST と ACK が同時に立っているパケットです。「通信が強制切断された」という動かぬ証拠になります。

—

3. 実務で知っておくべき「PSHフラグ」の役割

実はWeb API設計において、PSH フラグを意識することはパフォーマンスに直結します。

TCPは本来、効率のためにデータをある程度溜め込んでから送信（バッファリング）します。しかし、リアルタイム性が求められるAPIでは、溜め込まれると困りますよね。そこで登場するのが PSH フラグです。

Pythonの socket プログラムで、この挙動を明示的に制御する例を見てみましょう。

import socket

# TCPソケットを作成
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect(("example.com", 80))

# Nagleアルゴリズムを無効化（即時送信を優先する設定）
# これにより、小分けのパケットでも即座に送信（PSHフラグが立ちやすくなる）
s.setsockopt(socket.IPPROTO_TCP, socket.TCP_NODELAY, 1)

# データを送信
s.sendall(b"GET / HTTP/1.1\r\nHost: example.com\r\n\r\n")

TCP_NODELAY を有効にすることで、小さなリクエストを待機させず、すぐに送出させます。高頻度なAPI通信を行うマイクロサービス間通信では、この設定がレイテンシ短縮の鍵となります。

—

4. 最後に：ゼロトラスト時代におけるパケット制御の重要性

ゼロトラストアーキテクチャにおいては、「境界の内側は安全」という神話は通用しません。すべてのパケットは疑われる対象です。

ファイアウォールやIDS/IPSの設定ファイル（例えば iptables や nftables）を設計する際も、単に「ポートを開ける」だけではなく、不正なフラグの組み合わせ（例えば SYN と FIN が同時に立っている不正なパケット）を破棄するような設定を心掛けるべきです。

# 不正なフラグの組み合わせを持つパケットをドロップする例 (iptables)
# SYNとFINが同時に立っているパケットを遮断
sudo iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP

教科書的な知識は「知っている」だけで終わらせず、パケットが今まさにこの瞬間、ネットワークカードを通り抜けている姿をイメージしてください。フラグの一つ一つが、通信相手との対話そのものなのですから。

皆さんのインフラが、今日も安定して稼働することを願っています。それでは、また現場でお会いしましょう。