Pregunta sencilla, posiblemente, para los expertos.
¿Alguno de los campos del paquete IP-TCP y/o IP-UDP se utiliza de manera exclusiva para determinar que el paquete es un paquete de respuesta a una petición anterior, y no una petición entrante?
Veo en un simple PING y wget a google el siguiente trafico:
10.0.2.15 172.217.17.14 ICMP 74 Echo (ping) request id=0x0001, seq=2/512, ttl=128 (reply in 321)
172.217.17.14 10.0.2.15 ICMP 74 Echo (ping) reply id=0x0001, seq=2/512, ttl=115 (request in 320)
10.0.2.15 172.217.17.14 TCP 66 50307 → 80 [SYN] Seq=0 Win=64240 Len=0 MSS=1460 WS=256 SACK_PERM=1
172.217.17.14 10.0.2.15 TCP 60 80 → 50307 [SYN, ACK] Seq=0 Ack=1 Win=65535 Len=0 MSS=1460
10.0.2.15 172.217.17.14 TCP 54 50307 → 80 [ACK] Seq=1 Ack=1 Win=64240 Len=0
10.0.2.15 172.217.17.14 HTTP 152 GET / HTTP/1.0
172.217.17.14 10.0.2.15 TCP 60 80 → 50307 [ACK] Seq=1 Ack=99 Win=65535 Len=0
172.217.17.14 10.0.2.15 HTTP 606 HTTP/1.0 301 Moved Permanently (text/html)
10.0.2.15 172.217.17.14 TCP 54 50307 → 80 [ACK] Seq=99 Ack=553 Win=63688 Len=0
10.0.2.15 172.217.17.14 TCP 54 50307 → 80 [RST, ACK] Seq=99 Ack=553 Win=0 Len=0
En este caso, todos los paquetes de respuesta, tanto el ICMP como los TCP que vuelven de google a la maquina local vienen con el flag ACK marcado a on, pero también algunos de salida van marcados igualmente
Un rato de navegación, sigo viendo el mismo patrón (wireshark)
Por tanto deduzco, que todos los paquetes de respuesta el ICMP y TCP al menos vienen marcados con ACK = 1, aunque la respuesta salga de la maquina local al server, como respuesta a su respuesta.
¿Es este campo utilizado de manera estándar por los routers para identificar el trafico "entrante", del trafico "respuesta a uno saliente anterior"?
¿Se mantendría en UDP?
¿Sería esto suficiente para identificar 100% un paquete entrante como respuesta, o sería necesario mantener una listado de todas las peticiones pendientes (IP+protocolo+puerto) para asegurar que una petición es quien dice ser?