atmos/kernel/net/

tcp.rs

use alloc::string::String;
use alloc::vec::Vec;

pub fn tcp_socket_lines() -> Vec<String> {
    let mut lines = Vec::new();
    unsafe {
        for i in 0..super::TCP_SOCKET_TABLE_SIZE {
            let s = &super::TCP_SOCKETS[i];
            if !s.valid {
                continue;
            }
            lines.push(alloc::format!(
                "lport={} -> {}:{} state={} snd_nxt={} rcv_nxt={} rx_buf={}",
                s.local_port,
                super::format_ipv4(s.remote_ip),
                s.remote_port,
                tcp_state_name(s.state),
                s.snd_nxt,
                s.rcv_nxt,
                s.rx_buffer.len()
            ));
        }
    }
    lines
}

pub fn tcp_connect_real(remote_ip: [u8; 4], remote_port: u16) -> Result<u16, &'static str> {
    let _p = crate::os_lib::web_engine::perf::start();
    let r = tcp_connect_real_measured(remote_ip, remote_port);
    crate::os_lib::web_engine::perf::add(
        crate::os_lib::web_engine::perf::Slot::TcpConnect,
        _p,
    );
    r
}

fn tcp_connect_real_measured(remote_ip: [u8; 4], remote_port: u16) -> Result<u16, &'static str> {
    if remote_port == 0 {
        return Err("invalid remote port");
    }

    let local_port = {
        let _lock = super::NET_LOCK.lock();
        unsafe {
            // 【2026-08-31 バグ修正】候補ポートが既存の生きたソケットと
            // 衝突していないかを確認してから払い出す（`spec/TODO.md` の
            // 「エフェメラルポート未検証の設計ギャップ」参照）。
            let picked = super::tcp_state::next_ephemeral_port(
                super::TCP_EPHEMERAL_PORT,
                |port| {
                    (0..super::TCP_SOCKET_TABLE_SIZE)
                        .any(|i| super::TCP_SOCKETS[i].valid && super::TCP_SOCKETS[i].local_port == port)
                },
            );
            // `None` はテーブルが空いているのに全ポートが使用中という
            // 呼び出し側の不整合を意味する。実際には起こらないはずだが、
            // 取りこぼすより「衝突未確認のまま払い出す」従来動作へ
            // フォールバックする（接続自体は試みる。ソケット確保の段で
            // テーブル満杯なら別途エラーになる）。
            let p = picked.unwrap_or(super::TCP_EPHEMERAL_PORT);
            super::TCP_EPHEMERAL_PORT = p.wrapping_add(1);
            if super::TCP_EPHEMERAL_PORT < 40000 {
                super::TCP_EPHEMERAL_PORT = 40000;
            }
            p
        }
    };

    let idx = {
        let _lock = super::NET_LOCK.lock();
        tcp_alloc_socket(local_port, remote_ip, remote_port)?
    };

    let mut syn_pkt = [0u8; 128];
    let syn_len = {
        let _lock = super::NET_LOCK.lock();
        unsafe {
            super::TCP_SOCKETS[idx].state = super::TcpState::SynSent;
            super::TCP_SOCKETS[idx].snd_nxt = 1000;
        }
        build_tcp_ipv4(
            super::status().ip,
            local_port,
            remote_ip,
            remote_port,
            1000,
            0,
            0x02, // SYN
            &[],
            &mut syn_pkt,
        )?
    };
    let my_ip = super::status().ip;
    crate::info!(
        "TCP CONNECT: {}.{}.{}.{} -> {}.{}.{}.{}:{} (SYN, src_ip valid={})",
        my_ip[0],
        my_ip[1],
        my_ip[2],
        my_ip[3],
        remote_ip[0],
        remote_ip[1],
        remote_ip[2],
        remote_ip[3],
        remote_port,
        my_ip != [0, 0, 0, 0]
    );
    // 【2026-07-28】SYN の送出失敗を握り潰すと、1 バイトも送れていないのに
    // 6 秒待ってから "tcp connect timeout" になり、本当の原因（送信キュー満杯・
    // ARP 未解決・パケット長超過）が呼び出し側に一切伝わらなかった。
    // 初回 SYN が送れないなら接続は成立しえないので、スロットを解放して
    // ただちにエラーを返す。
    if let Err(e) = super::arp::transmit_nic_ipv4_packet(&syn_pkt[..syn_len]) {
        crate::warn!("[NET] TCP CONNECT: SYN transmit failed: {}", e);
        let _lock = super::NET_LOCK.lock();
        unsafe {
            super::TCP_SOCKETS[idx] = super::TcpSocket::empty();
            // スロット解放時は順序外バッファも必ず捨てる。残すと次に同じ
            // スロットを使う別接続へ他人のデータが混入する。
            REASSEMBLERS[idx].clear();
        }
        return Err(e);
    }

    // 【2026-07-25】QEMU/SLIRP経由で実インターネット上のホスト
    // （fonts.gstatic.com/cdnjs.cloudflare.com等）へ接続する場合、
    // 3秒では正当なコネクションでも確立前にタイムアウトすることが
    // 実機ログで頻発していた（"tcp connect timeout"）。SYN再送は
    // 引き続き500ms間隔で行うため、単に猶予を延ばすだけの低リスクな
    // 変更として6秒に緩和する。
    let start_time = crate::kernel::timer::get_system_time_ms();
    let mut last_retx = start_time;
    while crate::kernel::timer::get_system_time_ms() - start_time < 6000 {
        let state = {
            let _lock = super::NET_LOCK.lock();
            unsafe { super::TCP_SOCKETS[idx].state }
        };
        if state == super::TcpState::Established {
            crate::info!("[NET] TCP CONNECT: established on local_port={}", local_port);
            return Ok(local_port);
        }
        if state == super::TcpState::Closed {
            // 【2026-07-25 バグ修正】この分岐は直下のタイムアウト分岐と異なり
            // `TCP_SOCKETS[idx] = TcpSocket::empty()`を呼ばずに即returnしていた
            // ため、RST受信（接続拒否）のたびにソケットスロットが恒久的に
            // リークしていた（`tcp_alloc_socket`は`valid`フラグでしか空き
            // スロットを判定しないため）。`TCP_SOCKET_TABLE_SIZE`は32のみで、
            // 同一ブート内で接続を重ねるほど失敗しやすくなる既知の現象
            // （spec/TODO.md記載）の一因である可能性が高い。
            let _lock = super::NET_LOCK.lock();
            unsafe {
                super::TCP_SOCKETS[idx] = super::TcpSocket::empty();
            // スロット解放時は順序外バッファも必ず捨てる。残すと次に同じ
            // スロットを使う別接続へ他人のデータが混入する。
            REASSEMBLERS[idx].clear();
            }
            return Err("tcp connection refused (RST received)");
        }
        let now = crate::kernel::timer::get_system_time_ms();
        if now - last_retx >= 500 {
            // 再送の失敗は致命ではない（次の再送で回復しうる）が、黙って
            // 捨てると「再送しているのに届かない」のか「そもそも送れて
            // いない」のか区別できなくなるため必ず記録する。
            if let Err(e) = super::arp::transmit_nic_ipv4_packet(&syn_pkt[..syn_len]) {
                crate::warn!("[NET] TCP CONNECT: SYN retransmit failed: {}", e);
            }
            last_retx = now;
        }
        // フリーズ対策: スリープで完全に待つのではなく sleep(1) で
        // パケット回収を待ちつつ、他タスクへ CPU を完全に譲る。
        crate::kernel::scheduler::sleep(1);
    }

    {
        let _lock = super::NET_LOCK.lock();
        unsafe {
            super::TCP_SOCKETS[idx] = super::TcpSocket::empty();
            // スロット解放時は順序外バッファも必ず捨てる。残すと次に同じ
            // スロットを使う別接続へ他人のデータが混入する。
            REASSEMBLERS[idx].clear();
        }
    }
    // 【2026-07-29診断】実サイトで「HTML は取れたのに直後の CSS 取得だけ
    // SYN 無応答」になる件の切り分け。SYN 再送回数・宛先・使用ポート・
    // ARP 解決状況を実測する（推測で直さないため）。
    crate::warn!(
        "[NET][SYNDIAG] connect timeout dst={}.{}.{}.{}:{} local_port={}",
        remote_ip[0], remote_ip[1], remote_ip[2], remote_ip[3],
        remote_port,
        local_port
    );
    Err("tcp connect timeout")
}

pub fn tcp_send_real(local_port: u16, data: &[u8]) -> Result<(), &'static str> {
    let _lock = super::NET_LOCK.lock();
    let idx = tcp_find_socket_by_local(local_port).ok_or("socket not found")?;
    let (remote_ip, remote_port, seq, ack) = unsafe {
        let s = &super::TCP_SOCKETS[idx];
        if s.state != super::TcpState::Established {
            return Err("socket not established");
        }
        (s.remote_ip, s.remote_port, s.snd_nxt, s.rcv_nxt)
    };

    let mut pkt = alloc::vec![0u8; 128 + data.len()];
    let pkt_len = build_tcp_ipv4(
        super::status().ip,
        local_port,
        remote_ip,
        remote_port,
        seq,
        ack,
        0x18,
        data,
        &mut pkt,
    )?;
    // 【2026-07-28 重大】ここで送信結果を捨てていたため、送信に失敗しても
    // `snd_nxt` だけが進み、**相手が受け取っていないバイト列を送信済みとして
    // 扱う**状態になっていた。以後こちらのシーケンス番号は永久にずれ、
    // 相手からは無応答に見える（TLS 復号エラー・接続タイムアウトの一因）。
    // 送れなかったならシーケンス番号を進めず、そのままエラーを返す。
    if let Err(e) = super::arp::transmit_nic_ipv4_packet(&pkt[..pkt_len]) {
        crate::warn!(
            "[NET] TCP SEND failed on local_port={} len={}: {}",
            local_port,
            data.len(),
            e
        );
        return Err(e);
    }
    unsafe {
        super::TCP_SOCKETS[idx].snd_nxt = super::TCP_SOCKETS[idx]
            .snd_nxt
            .wrapping_add(data.len() as u32);
    }
    Ok(())
}

/// 【2026-07-24追加】`tcp_send_real`が呼ばれる度に無条件で`snd_nxt`を進めて
/// しまうため、同一データを"再送"する目的で`tcp_send_real`を再度呼ぶと、
/// 実際には既に進んだ（誤った）シーケンス番号で送信してしまい、相手側の
/// TCP/TLSストリームを破壊するバグを発見した（`kernel/tls.rs`の
/// `TcpIoWrapper`書き込み再送機構で使用）。この関数は`snd_nxt`を一切
/// 変更せず、呼び出し元が明示的に指定した`seq`のみで再送パケットを
/// 組み立てて送出する（正しいTCP再送のセマンティクス）。
pub fn tcp_retransmit_real(local_port: u16, data: &[u8], seq: u32) -> Result<(), &'static str> {
    let _lock = super::NET_LOCK.lock();
    let idx = tcp_find_socket_by_local(local_port).ok_or("socket not found")?;
    let (remote_ip, remote_port, ack) = unsafe {
        let s = &super::TCP_SOCKETS[idx];
        if s.state != super::TcpState::Established {
            return Err("socket not established");
        }
        (s.remote_ip, s.remote_port, s.rcv_nxt)
    };

    let mut pkt = alloc::vec![0u8; 128 + data.len()];
    let pkt_len = build_tcp_ipv4(
        super::status().ip,
        local_port,
        remote_ip,
        remote_port,
        seq,
        ack,
        0x18,
        data,
        &mut pkt,
    )?;
    // 再送も送出できなければ「再送した」と言ってはいけない。
    if let Err(e) = super::arp::transmit_nic_ipv4_packet(&pkt[..pkt_len]) {
        crate::warn!(
            "[NET] TCP RETRANSMIT failed on local_port={} seq={}: {}",
            local_port,
            seq,
            e
        );
        return Err(e);
    }
    Ok(())
}

/// 現在の`snd_nxt`（次に使われる送信シーケンス番号）を取得する。再送時に
/// 「このデータを送った時点でのシーケンス番号」を正しく再利用するため、
/// 呼び出し側が`tcp_send_real`の直前に取得しておく用途。
pub fn tcp_current_snd_seq(local_port: u16) -> Option<u32> {
    let _lock = super::NET_LOCK.lock();
    unsafe {
        tcp_find_socket_by_local(local_port).map(|idx| super::TCP_SOCKETS[idx].snd_nxt)
    }
}

pub fn tcp_recv_real(
    local_port: u16,
    timeout_iters: usize,
) -> Result<alloc::vec::Vec<u8>, &'static str> {
    let idx = tcp_find_socket_by_local(local_port).ok_or("socket not found")?;

    let max_timeout_ms = if timeout_iters <= 1 {
        0
    } else {
        (timeout_iters as u32 * 5).min(5000)
    };

    let start_time = crate::kernel::timer::get_system_time_ms();
    loop {
        // 【2026-08-05 計測】受信は割り込みではなくここのポーリングで駆動される。
        // 回数を数えれば「待っている」のか「処理が重い」のかが決まる。
        // 目的: 取得が律速である理由の特定。破棄条件: 特定でき次第削除。
        RECV_POLLS.fetch_add(1, core::sync::atomic::Ordering::Relaxed);
        crate::kernel::usb::poll_ethernet_data_plane_only();

        let buf_opt = {
            let _lock = super::NET_LOCK.lock();
            unsafe {
                if !super::TCP_SOCKETS[idx].rx_buffer.is_empty()
                    || super::TCP_SOCKETS[idx].state == super::TcpState::CloseWait
                    || super::TCP_SOCKETS[idx].fin_received
                {
                    // 【2026-08-05】`clone()` してから `clear()` していた。
                    // 中身は**そのまま呼び出し元へ渡すだけ**なので、
                    // 複製する必要がない。受信バッファは大きく育ちうる
                    // （3.7MB の取得中は数十 KB になる）ため、
                    // 読むたびに全体を memcpy していたことになる。
                    // `take` なら所有権を移すだけで O(1)。
                    // 【2026-08-05 検証済み】容量を引き継ぐ案は**10 倍悪化した**。
                    //
                    // 「`take` は容量まで持ち去るので、次の周期で 0 から
                    // 再び育ち再確保が起きる」と考えて
                    // `mem::replace(.., Vec::with_capacity(前回の容量))` を試したが、
                    //
                    // ```text
                    // take:              tcp_proc_us =  3.66 秒
                    // with_capacity 版:  tcp_proc_us = 36.22 秒
                    // ```
                    //
                    // 読むたびに最大 64KB を先行確保するため、ヒープが荒れて
                    // 確保そのものが重くなる。**先行確保は空振りが多いと逆効果**。
                    // 育つに任せる方が速い。
                    Some(core::mem::take(&mut super::TCP_SOCKETS[idx].rx_buffer))
                } else {
                    None
                }
            }
        };

        if let Some(buf) = buf_opt {
            return Ok(buf);
        }

        if max_timeout_ms == 0
            || crate::kernel::timer::get_system_time_ms() - start_time >= max_timeout_ms as u64
        {
            break;
        }
        // フリーズ対策: スリープで完全に待つのではなく sleep(1) で
        // パケット回収を待ちつつ、他タスクへ CPU を完全に譲る。
        crate::kernel::scheduler::sleep(1);
    }

    Ok(alloc::vec::Vec::new())
}

/// 受信バッファに何か（1バイトでも）届いているかを、消費せずに確認する。
/// 送信直後にごく短時間だけ様子を見て「応答が全く来ていない＝パケット
/// ロストの疑い」を判定するための軽量ヘルパー（2026-07-24）。
/// 応答の最初の 1 バイトが届くまで待つ（上限つき）。
///
/// 【2026-08-05】各所に「送信したのでサーバ処理を待つ」という
/// `sleep(50)`（500ms 固定）が 6 箇所あった。だが
///
/// - `sleep(n)` は「ちょうど n」ではなく「最低でも n」で、
///   実測では 3.7 倍かかる（`spec/resource_loading.md` R-14）。
///   500ms のつもりが約 1.85 秒
/// - 直後の受信ループがどのみち待つので、この待ちは**純粋な上乗せ**
///
/// 上限は同じままに、**届いたら即座に返る**形にする。
/// 待ちを実経過で数えるのが要点（指定値の足し算では上限が効かない）。
///
/// 計算量: **O(待った tick 数)**。
pub fn wait_for_first_byte(local_port: u16, max_ticks: usize) {
    let _p = crate::os_lib::web_engine::perf::start();
    wait_for_first_byte_inner(local_port, max_ticks);
    crate::os_lib::web_engine::perf::add(
        crate::os_lib::web_engine::perf::Slot::FirstByte,
        _p,
    );
}

fn wait_for_first_byte_inner(local_port: u16, max_ticks: usize) {
    let start = crate::kernel::timer::get_ticks();
    while crate::kernel::timer::get_ticks().wrapping_sub(start) < max_ticks {
        crate::kernel::usb::poll_ethernet_data_plane_only();
        if tcp_recv_peek_nonempty(local_port) || tcp_is_socket_closed(local_port) {
            return;
        }
        crate::kernel::scheduler::sleep(1);
    }
}

pub fn tcp_recv_peek_nonempty(local_port: u16) -> bool {
    let _lock = super::NET_LOCK.lock();
    unsafe {
        if let Some(idx) = tcp_find_socket_by_local(local_port) {
            !super::TCP_SOCKETS[idx].rx_buffer.is_empty()
        } else {
            false
        }
    }
}

pub fn tcp_is_socket_closed(local_port: u16) -> bool {
    let _lock = super::NET_LOCK.lock();
    unsafe {
        if let Some(idx) = tcp_find_socket_by_local(local_port) {
            let s = &super::TCP_SOCKETS[idx];
            s.state == super::TcpState::CloseWait
                || s.state == super::TcpState::Closed
                || s.state == super::TcpState::TimeWait
                || s.fin_received
        } else {
            true
        }
    }
}

/// ソケットごとの順序外再構成バッファ（`spec/tcp_receive.md`）。
/// `TCP_SOCKETS` と添字を共有する。
static mut REASSEMBLERS: [super::reassembly::Reassembler; super::TCP_SOCKET_TABLE_SIZE] =
    [const { super::reassembly::Reassembler::new_const() }; super::TCP_SOCKET_TABLE_SIZE];

/// 【2026-07-29診断】受信セグメントの受理／棄却カウンタ。
pub static SEG_ACCEPTED: core::sync::atomic::AtomicU32 = core::sync::atomic::AtomicU32::new(0);
pub static SEG_DROPPED: core::sync::atomic::AtomicU32 = core::sync::atomic::AtomicU32::new(0);

/// `tcp_recv_real` がイーサネット受信をポーリングした回数（診断用）。
///
/// 【2026-08-05】受信は割り込み駆動ではなくここのポーリングで進む。
/// 「待っているのか、処理が重いのか」はこの回数で切り分く。
pub static RECV_POLLS: core::sync::atomic::AtomicU32 = core::sync::atomic::AtomicU32::new(0);

// 【2026-08-05】TCP 受信処理の内訳計装は目的を果たしたので撤去した（L-4）。
// 得られた事実（3.7MB 取得中、13862 セグメント）:
//   tcp_lock_us =  0.08 秒  ← NET_LOCK の取得待ちは律速ではない
//   tcp_proc_us =  3.22 秒  ← ロック保持中の処理が支配的（1 セグメント 232µs）
//   tcp_tx_us   =  0.39 秒  ← ACK のキュー投入は軽い
// ここから `TCP_SOCKETS[idx].clone()` を 2 箇所（受信処理と ACK 組み立て）
// 見つけて除去した。計装自体も `get_system_time_us` の除算を
// 1 パケット 6 回呼ぶため熱経路のコストになるので残さない。
/// 【2026-08-05 検証済み・入れていない】ロック無しの「読むべきものがある」印。
///
/// `tcp_recv_real` は毎回 `NET_LOCK` を取って受信バッファが空かを見ており、
/// 3.7MB の取得中に 12000 回以上通る。受信処理も同じロックを取るため
/// 競合していると考え、ソケットごとの `AtomicBool` で先に判定する案を試した。
///
/// 結果、`sec_ingest_us` は 5.02 → 5.17 秒で**変わらなかった**。
/// NET_LOCK の競合は律速ではない。新しい同期機構は入れない。
pub fn tcp_close_real(local_port: u16) -> Result<(), &'static str> {
    let idx = {
        let _lock = super::NET_LOCK.lock();
        tcp_find_socket_by_local(local_port).ok_or("socket not found")?
    };

    let (remote_ip, remote_port, seq, ack) = {
        let _lock = super::NET_LOCK.lock();
        unsafe {
            let s = &super::TCP_SOCKETS[idx];
            if s.state != super::TcpState::Established && s.state != super::TcpState::CloseWait {
                // 【2026-07-24重大バグ発見・修正】以前はここで即座に`Err`を返して
                // いたため、相手が先にFINを送ってきた（`FinWait1`/`Closed`等へ
                // 既に遷移済みの）ソケットに対して呼び出し元が`tcp_close_real`を
                // 呼ぶと、下方の`TCP_SOCKETS[idx] = TcpSocket::empty()`に一切
                // 到達できず、**そのソケットスロットが二度と再利用されないまま
                // 永久にリークする**重大なバグだった（`TCP_SOCKET_TABLE_SIZE`は
                // 8のみのため、失敗した接続が数回続くだけで新規接続が丸ごと
                // 「tcp socket table full」で失敗するようになる）。相手がFINを
                // 送信済み等、こちら側から丁寧にクローズシーケンスを行う意味が
                // 既に無い状態では、グレースフルクローズをスキップして即座に
                // スロットを解放する。
                super::TCP_SOCKETS[idx] = super::TcpSocket::empty();
            // スロット解放時は順序外バッファも必ず捨てる。残すと次に同じ
            // スロットを使う別接続へ他人のデータが混入する。
            REASSEMBLERS[idx].clear();
                return Ok(());
            }
            (s.remote_ip, s.remote_port, s.snd_nxt, s.rcv_nxt)
        }
    };

    {
        let _lock = super::NET_LOCK.lock();
        unsafe {
            super::TCP_SOCKETS[idx].state = super::TcpState::FinWait1;
            super::TCP_SOCKETS[idx].snd_nxt = super::TCP_SOCKETS[idx].snd_nxt.wrapping_add(1);
        }
    }

    let mut fin_pkt = [0u8; 128];
    let len = build_tcp_ipv4(
        super::status().ip,
        local_port,
        remote_ip,
        remote_port,
        seq,
        ack,
        0x11, // FIN-ACK
        &[],
        &mut fin_pkt,
    )?;
    // FIN が送れなくても後続のスロット解放処理は必要なので即 return はしないが、
    // 「切断を通知できていない」事実は必ず残す（相手側にはハーフオープンな
    // 接続が残り、次の接続で不可解な RST を受ける原因になる）。
    if let Err(e) = super::arp::transmit_nic_ipv4_packet(&fin_pkt[..len]) {
        crate::warn!(
            "[NET] TCP CLOSE: FIN transmit failed on local_port={}: {}",
            local_port,
            e
        );
    }

    {
        let _lock = super::NET_LOCK.lock();
        unsafe {
            super::NET_STATE.tx_packets = super::NET_STATE.tx_packets.saturating_add(1);
        }
    }

    let start_time = crate::kernel::timer::get_system_time_ms();
    while crate::kernel::timer::get_system_time_ms() - start_time < 3000 {
        crate::kernel::usb::poll_ethernet_data_plane_only();

        let state = {
            let _lock = super::NET_LOCK.lock();
            unsafe { super::TCP_SOCKETS[idx].state }
        };

        if state == super::TcpState::TimeWait || state == super::TcpState::Closed {
            break;
        }
        // フリーズ対策: スリープで完全に待つのではなく yield_now() で
        // パケット回収を高頻度で継続しつつ、他タスクへ CPU を譲る。
        crate::kernel::scheduler::yield_now();
    }

    {
        let _lock = super::NET_LOCK.lock();
        unsafe {
            super::TCP_SOCKETS[idx] = super::TcpSocket::empty();
            // スロット解放時は順序外バッファも必ず捨てる。残すと次に同じ
            // スロットを使う別接続へ他人のデータが混入する。
            REASSEMBLERS[idx].clear();
        }
    }

    Ok(())
}

pub(crate) fn parse_tcp_ipv4_packet(packet: &[u8]) -> Result<(), &'static str> {
    // 【2026-07-25】長さ検証より先に `packet[0]` を読んでいたため、空スライスで
    // 呼ぶとインデックス範囲外でパニック（＝カーネルクラッシュ）していた。
    // 現在の唯一の呼び出し元 `parse_ipv4_packet` は事前に 20 バイト以上を保証
    // しているので実害は出ていないが、境界検証を関数自身の責務として持たせる。
    if packet.len() < 20 {
        return Err("tcp packet too short");
    }
    let ihl = ((packet[0] & 0x0F) as usize) * 4;
    if ihl < 20 || packet.len() < ihl + 20 {
        return Err("tcp packet too short");
    }

    let total_len = (((packet[2] as u16) << 8) | packet[3] as u16) as usize;
    if total_len < ihl + 20 || total_len > packet.len() {
        return Err("invalid ipv4 total length");
    }

    let tcp = &packet[ihl..total_len];
    let src_port = ((tcp[0] as u16) << 8) | tcp[1] as u16;
    let dst_port = ((tcp[2] as u16) << 8) | tcp[3] as u16;
    let seq =
        ((tcp[4] as u32) << 24) | ((tcp[5] as u32) << 16) | ((tcp[6] as u32) << 8) | tcp[7] as u32;
    let ack = ((tcp[8] as u32) << 24)
        | ((tcp[9] as u32) << 16)
        | ((tcp[10] as u32) << 8)
        | tcp[11] as u32;
    let data_offset = ((tcp[12] >> 4) as usize) * 4;
    if data_offset < 20 || data_offset > tcp.len() {
        return Err("invalid tcp data offset");
    }

    let flags = tcp[13];
    let payload_len = tcp.len() - data_offset;
    let src_ip = [packet[12], packet[13], packet[14], packet[15]];

    if dst_port > 1024 {
        crate::debug!(
            "TCP RX: src_port={} dst_port={} flags=0x{:02x} payload_len={}",
            src_port,
            dst_port,
            flags,
            payload_len
        );
    }

    // ACK は「ロック内で組み立て、ロック解放後に送信」する。送信経路は ARP
    // キャッシュミス時に最大 2 秒ブロックし、その間 `poll_ethernet_data_plane_only()`
    // 経由で本関数が再入されうるため、`NET_LOCK` を保持したまま送信しては
    // ならない（詳細は `build_tcp_ack_packet` のコメント参照）。
    let mut ack_pkt = [0u8; 128];
    let mut ack_len = 0usize;

    {
        let _lock = super::NET_LOCK.lock();
        let idx = tcp_find_socket(dst_port, src_ip, src_port).ok_or("tcp socket not found")?;

        unsafe {
            // 【2026-08-05】ここは `TCP_SOCKETS[idx].clone()` して、
            // 書き換えてから丸ごと代入で書き戻していた。
            //
            // `TcpSocket` は `rx_buffer: Vec<u8>` を内包するので、
            // **セグメントが 1 個届くたびに受信バッファ全体を複製**していた。
            // バッファは読み手が引き取るまで育つため、
            // 「溜まっているほど 1 セグメントが高くつく」という
            // 二次的な悪化になっていた。
            //
            // 実測: `ingest_nic_ethernet_frame` に 1 フレームあたり 789µs
            // かかっており、フレーム処理時間の 95% を占めていた
            // （3.7MB の取得で合計 10.7 秒）。
            //
            // その場で書き換えれば複製は要らない。
            // 計算量は O(受信バッファ長) から O(1) へ。
            let s = &mut super::TCP_SOCKETS[idx];

            // 状態遷移の判断そのものは純粋モジュール `tcp_state` へ委譲する
            // （ホスト側ユニットテストで異常系まで検証済み。`tests/src/test_tcp_state.rs`）。
            // ここはグローバル状態・rx_buffer という副作用のみを担当する。
            let mut rs = super::tcp_state::RecvState {
                state: s.state,
                snd_nxt: s.snd_nxt,
                rcv_nxt: s.rcv_nxt,
                fin_received: s.fin_received,
            };
            let seg = super::tcp_state::Segment {
                seq,
                ack,
                flags,
                payload_len: payload_len as u32,
            };
            let prev_fin = rs.fin_received;
            let outcome = super::tcp_state::on_segment(&mut rs, &seg);
            // 【2026-07-29診断】受信が途中で止まる件。届いたセグメントのうち
            // ペイロードを受理した数／順序外等で捨てた数を数える。
            if payload_len > 0 {
                if outcome.accept_payload {
                    SEG_ACCEPTED.fetch_add(1, core::sync::atomic::Ordering::Relaxed);
                } else {
                    SEG_DROPPED.fetch_add(1, core::sync::atomic::Ordering::Relaxed);
                }
            }

            if outcome.accept_payload {
                s.rx_buffer.extend_from_slice(&tcp[data_offset..]);
                // 【2026-07-29】欠落が埋まったので、保持していた順序外セグメントの
                // うち連続する分をまとめて取り込む（`spec/tcp_receive.md` 優先度1）。
                let reasm = &mut REASSEMBLERS[idx];
                reasm.drop_before(rs.rcv_nxt);
                let (new_nxt, more) = reasm.pop_contiguous(rs.rcv_nxt);
                if !more.is_empty() {
                    s.rx_buffer.extend_from_slice(&more);
                    rs.rcv_nxt = new_nxt;
                }
            } else if payload_len > 0
                && (flags & super::tcp_state::FLAG_SYN) == 0
                && rs.state == super::TcpState::Established
            {
                // 順序外セグメント。RFC 9293 は破棄を許容するが、捨てると
                // 1 個の欠落で以降を全部落として受信が停止する（実測で確認）。
                // 保持しておき、欠落が再送で埋まった瞬間に繋げる。
                let _ = REASSEMBLERS[idx].insert(seq, &tcp[data_offset..]);
            }
            if (flags & super::tcp_state::FLAG_FIN) != 0 && !prev_fin {
                crate::warn!(
                    "[NET][DIAG] FIN seg on local_port={} state={} accepted={} rx_buffer_len={}",
                    s.local_port,
                    tcp_state_name(s.state),
                    rs.fin_received,
                    s.rx_buffer.len()
                );
            }

            s.state = rs.state;
            s.snd_nxt = rs.snd_nxt;
            s.rcv_nxt = rs.rcv_nxt;
            s.fin_received = rs.fin_received;

            if outcome.send_ack {
                if let Ok(n) = build_tcp_ack_packet(idx, &mut ack_pkt) {
                    ack_len = n;
                }
            }

            super::NET_STATE.rx_packets = super::NET_STATE.rx_packets.saturating_add(1);
        }
    } // ← ここで NET_LOCK を解放してから送信する

    if ack_len > 0 {
        // ACK が送れないと相手は再送を続け、こちらからは「応答が来ない」ように
        // 見える。受信処理からは呼び出し側へ返す先が無いため、ここでは必ず
        // ログへ残す（黙って捨てない）。
        if let Err(e) = super::arp::transmit_nic_ipv4_packet(&ack_pkt[..ack_len]) {
            crate::warn!("[NET] TCP: ACK transmit failed: {}", e);
        }
    }

    Ok(())
}

/// 指定ソケットへの ACK パケットを **組み立てるだけ** で、送信はしない。
///
/// 【2026-07-26 重要】以前はこの関数が `transmit_nic_ipv4_packet()` まで
/// 行っており、しかも呼び出し元 `parse_tcp_ipv4_packet` が `NET_LOCK` を
/// 保持したまま呼んでいた。送信経路は ARP キャッシュミス時に
/// `build_usb_ethernet_ipv4_frame` 内で**最大 2 秒ブロッキング**する
/// ARP 解決ループへ入り、そのループは内部で
/// `poll_ethernet_data_plane_only()` を回す。ポーリングは受信パケットを
/// `parse_tcp_ipv4_packet` / `parse_udp_ipv4_packet` へ流し、これらは
/// いずれも `NET_LOCK` を取得しようとするため、再入不可の `spin::Mutex`
/// に対する**自己デッドロック**になりうる。デッドロックに至らなくとも、
/// 2 秒間 `NET_LOCK` を占有すると DNS 応答待ちループ
/// （`udp_recv_matching` も同じロックを取る）が自分のキューを確認できず、
/// `dns response timeout` が誘発される。
/// そのため組み立てと送信を分離し、送信はロック解放後に行う。
fn build_tcp_ack_packet(idx: usize, out: &mut [u8]) -> Result<usize, &'static str> {
    unsafe {
        // 【2026-08-05】ここも `clone()` していた。
        //
        // `parse_tcp_ipv4_packet` と同じ形の問題で、`TcpSocket` は
        // `rx_buffer: Vec<u8>` を内包するため、**ACK を 1 本組むたびに
        // 受信バッファ全体を複製**していた。ACK は受信セグメントごとに
        // 送るので、3.7MB の取得では 13000 回以上通る。
        //
        // 読みたいのはポート・IP・シーケンス番号の 5 つだけ。参照で足りる。
        let s = &super::TCP_SOCKETS[idx];
        build_tcp_ipv4(
            super::status().ip,
            s.local_port,
            s.remote_ip,
            s.remote_port,
            s.snd_nxt,
            s.rcv_nxt,
            0x10, // ACK
            &[],
            out,
        )
    }
}

fn tcp_alloc_socket(
    local_port: u16,
    remote_ip: [u8; 4],
    remote_port: u16,
) -> Result<usize, &'static str> {
    unsafe {
        // 空きスロットの選定は純粋モジュールへ委譲（満杯時の挙動は
        // `tests/src/test_tcp_state.rs` で決定論的に検証済み）。
        let idx = super::tcp_state::find_free_slot(super::TCP_SOCKET_TABLE_SIZE, |i| {
            super::TCP_SOCKETS[i].valid
        })?;
        // 新規割り当て時にも順序外バッファを初期化する（前の接続の残骸混入防止）。
        REASSEMBLERS[idx].clear();
        super::TCP_SOCKETS[idx] = super::TcpSocket {
            valid: true,
            local_port,
            remote_ip,
            remote_port,
            state: super::TcpState::Closed,
            snd_nxt: 0,
            rcv_nxt: 0,
            rx_buffer: alloc::vec::Vec::new(),
            fin_received: false,
        };
        Ok(idx)
    }
}

/// 【試験用】空いているスロットをすべて占有し、占有した数を返す。
///
/// 「テーブルが満杯なら `tcp_connect_real` が `Err("tcp socket table full")`
/// を返す」ことを**決定論的に**確かめるために使う。
///
/// これが無かった頃、試験は 40 本の OS スレッドを一斉に起動して
/// 「SYN タイムアウト（6 秒）で先行分が抜ける前に全員が揃う」ことに賭けていた。
/// ホスト負荷が高いと起動が遅れて満杯を観測できず、偽陰性で落ちていた。
/// 確かめたい性質は満杯時の戻り値であって、スレッドが競争に勝てるかではない。
#[cfg(test)]
pub fn tcp_fill_socket_table_for_test() -> usize {
    let _lock = super::NET_LOCK.lock();
    let mut occupied = 0usize;
    unsafe {
        for i in 0..super::TCP_SOCKET_TABLE_SIZE {
            if super::TCP_SOCKETS[i].valid {
                continue;
            }
            super::TCP_SOCKETS[i] = super::TcpSocket {
                valid: true,
                // 実在しない宛先。パケットは送らないので応答も来ない。
                local_port: 40000 + i as u16,
                remote_ip: [203, 0, 113, 1],
                remote_port: 9,
                state: super::TcpState::Closed,
                snd_nxt: 0,
                rcv_nxt: 0,
                rx_buffer: alloc::vec::Vec::new(),
                fin_received: false,
            };
            occupied += 1;
        }
    }
    occupied
}

/// 【試験用】ソケットテーブルを丸ごと空に戻す。
///
/// `tcp_fill_socket_table_for_test` と対で使い、
/// グローバル状態を後続の試験へ持ち越さない。
#[cfg(test)]
pub fn tcp_clear_socket_table_for_test() {
    let _lock = super::NET_LOCK.lock();
    unsafe {
        for i in 0..super::TCP_SOCKET_TABLE_SIZE {
            super::TCP_SOCKETS[i] = super::TcpSocket::empty();
        }
    }
}

fn tcp_find_socket(local_port: u16, remote_ip: [u8; 4], remote_port: u16) -> Option<usize> {
    unsafe {
        for i in 0..super::TCP_SOCKET_TABLE_SIZE {
            let s = &super::TCP_SOCKETS[i];
            if !s.valid {
                continue;
            }
            if s.local_port == local_port
                && s.remote_port == remote_port
                && s.remote_ip == remote_ip
            {
                return Some(i);
            }
        }
    }
    None
}

pub(crate) fn tcp_find_socket_by_local(local_port: u16) -> Option<usize> {
    unsafe {
        for i in 0..super::TCP_SOCKET_TABLE_SIZE {
            if super::TCP_SOCKETS[i].valid && super::TCP_SOCKETS[i].local_port == local_port {
                return Some(i);
            }
        }
    }
    None
}

fn build_tcp_ipv4(
    src_ip: [u8; 4],
    src_port: u16,
    dst_ip: [u8; 4],
    dst_port: u16,
    seq: u32,
    ack: u32,
    flags: u8,
    payload: &[u8],
    out: &mut [u8],
) -> Result<usize, &'static str> {
    let mut opt_len = 0;
    if (flags & 0x02) != 0 {
        opt_len = 4;
    }
    let tcp_hdr_len = 20usize + opt_len;
    let tcp_len = tcp_hdr_len + payload.len();
    let total_len = 20usize + tcp_len;
    if total_len > out.len() {
        return Err("buffer too small");
    }

    out[0] = 0x45;
    out[1] = 0;
    out[2] = ((total_len >> 8) & 0xFF) as u8;
    out[3] = (total_len & 0xFF) as u8;
    out[4] = 0x61;
    out[5] = 0x22;
    out[6] = 0;
    out[7] = 0;
    out[8] = 64;
    out[9] = 6;
    out[10] = 0;
    out[11] = 0;
    out[12..16].copy_from_slice(&src_ip);
    out[16..20].copy_from_slice(&dst_ip);

    let ip_checksum = super::ipv4_header_checksum(&out[0..20]);
    out[10] = (ip_checksum >> 8) as u8;
    out[11] = ip_checksum as u8;

    out[20] = (src_port >> 8) as u8;
    out[21] = src_port as u8;
    out[22] = (dst_port >> 8) as u8;
    out[23] = dst_port as u8;
    out[24] = (seq >> 24) as u8;
    out[25] = (seq >> 16) as u8;
    out[26] = (seq >> 8) as u8;
    out[27] = seq as u8;
    out[28] = (ack >> 24) as u8;
    out[29] = (ack >> 16) as u8;
    out[30] = (ack >> 8) as u8;
    out[31] = ack as u8;
    out[32] = ((tcp_hdr_len / 4) << 4) as u8;
    out[33] = flags;
    // 【2026-07-24】受信ウィンドウサイズを`0xFFFF`（65535バイト）へ拡大する
    // 変更を試みたが、それ以降メインHTML取得自体の成功率が悪化したように
    // 見えたため（一度に大量のデータが届くことでこの簡易TCPスタックの
    // 受信処理が追いつかなくなる可能性）、元の値（2880）へ差し戻した。
    // 「より慎重な検証（中間的なサイズでの比較等）が必要」と残されていた。
    //
    // 【2026-07-29】測定基盤（`tls.rs` の `stats`）ができ、成功率を
    // 段階別に数値化できるようになったので中間値で再挑戦する。
    // 2880（≒2 MSS）は小さすぎ、49KB の応答に 17 往復以上を要して
    // 損失機会を増やしていた。順序外再構成バッファ（`net/reassembly.rs`）も
    // 入ったので、一度に多く届いても取りこぼしにくくなっている。
    // 8192 バイト（≒5.6 MSS）から試す。効果は STATS の
    // truncated 件数で比較すること（単発の観測で判断しない）。
    //
    // 【2026-08-05】画像取得の内訳を測ったところ、3.7MB の JPEG で
    // 取得 3746 tick に対しデコードは 950 tick だった（`[IMGPERF]`）。
    // **律速は取得側**で、デコードを速くしても意味が無い。
    //
    // 実効 100KB/s 程度。ウィンドウ 8192 バイトだと「飛ばせる量」が
    // 帯域遅延積で頭打ちになる（RTT 80ms なら 8192/0.08 ≒ 100KB/s で、
    // 実測とちょうど一致する）。ウィンドウが律速そのもの。
    //
    // 【2026-08-05 検証済み・変更せず】32768（0x8000）へ拡大して測ったが、
    // 3.7MB の取得は 3746 → 3906 tick で**改善しなかった**（誤差範囲）。
    // 成功率は 16/16・truncated=0 で悪化もしていない。
    //
    // つまりウィンドウは律速ではない。飛ばせる量ではなく、
    // **こちらの受信処理速度**が上限を決めている。
    // 根拠の無い変更は入れないので 8192 のまま残す。
    out[34] = 0x20;
    out[35] = 0x00;
    out[36] = 0x00;
    out[37] = 0x00;
    out[38] = 0x00;
    out[39] = 0x00;

    let mut payload_start = 40;
    if opt_len > 0 {
        out[40] = 2;
        out[41] = 4;
        out[42] = 0x05;
        out[43] = 0xB4;
        payload_start += 4;
    }
    let payload_end = payload_start + payload.len();
    out[payload_start..payload_end].copy_from_slice(payload);

    let mut tcp_csum_buf = alloc::vec![0u8; 12 + tcp_len];
    tcp_csum_buf[0..4].copy_from_slice(&src_ip);
    tcp_csum_buf[4..8].copy_from_slice(&dst_ip);
    tcp_csum_buf[8] = 0;
    tcp_csum_buf[9] = 6;
    tcp_csum_buf[10] = ((tcp_len >> 8) & 0xFF) as u8;
    tcp_csum_buf[11] = (tcp_len & 0xFF) as u8;
    tcp_csum_buf[12..12 + tcp_len].copy_from_slice(&out[20..total_len]);

    let csum = super::ipv4_header_checksum(&tcp_csum_buf);
    out[36] = (csum >> 8) as u8;
    out[37] = csum as u8;

    let sent = super::arp::transmit_nic_ipv4_packet(&out[..total_len])?;
    Ok(sent)
}

fn tcp_state_name(state: super::TcpState) -> &'static str {
    super::tcp_state::tcp_state_name(state)
}