Cloudflare、推測をやめて計測へ——HelloRetryRequestを52%から3.7%に削減

TLDR;

1. TLSハンドシェイクには、一般的にサポートされているアルゴリズムを発見するステップが含まれており、最初の推測がうまくいかない場合、追加のラウンドトリップが発生する可能性がある。これはステートレスを保つためのプロトコルの一部だ

2. Cloudflareは毎日すべてのオリジンをスキャンし、サポートされているアルゴリズムの結果を保存して、可能なラウンドトリップ時間を節約している

記事に欠けている点

- 彼らは*可能なラウンドトリップ遅延を節約しているが、今やすべての接続に追加される絶対的なルックアップ遅延については共有していない

純粋な疑問：なぜ彼らはこれをすでにやっていなかったのか？クリティカルパス上の明らかな低く垂れ下がった果実のように思えるので、私が想像する以上に何かあるのだろう。

http2、特にhttp3（主流になるまで何年かかったことか）以来、Cloudflareのような仲介業者が最新のプロトコルや暗号スイートなどをすべて貪り食う一方で、オープンソースが遅れを取っているのを見て悲しくなった。その分離は何年にも達し、Cloudflareが実装した新しいセキュリティ対策が独立したサーバー運営者に利用可能になるまでには何年もの隔たりがある。はるかに多くのリソースを持ち、そこに到達する最も簡単な方法であり続けるインセンティブがはるかに大きい存在と戦っているため、最新の状態を保つことはますます難しくなっている。Cloudflareを使えば、最新のHTTPサーバープロトコルとバージョン、最新のすべての暗号TLSなどすべてが手に入るが、その代わりに彼らがあなたのトラフィックをMitMすることを許すことになる。私自身も彼らに頼ってきた。なぜなら、最近ではそういったものを自分で手に入れる方法がまったくないからだ。h2oは何年もの間、唯一容易に入手できるhttp3ソフトウェアだった。

この記事を読んで2つのことが頭に浮かんだ：

1) 彼らは接続で15ms節約したので、その後、実際のウェブサイトのコンテンツに到達する前に、彼らの迷惑なナグ画面で20秒待つことができる。

2) 月曜日には、LLMのスクレイピングがあなたのウェブサーバーに強迫的に負荷をかけていると文句を言い、自分たちをインターネットの守護者ソリューションとして提供する。そして火曜日には、あなたのサーバーへの最初の接続で数マイクロ秒を節約するために、強迫的に無駄なリクエストをあなたのサーバーに送る。

「TLS 1.3対応の各オリジンに対して、一連の軽量なTLSハンドシェイクを実行し、それぞれが正確に1つの鍵合意グループ（X25519、P-256、P-384、P-521、またはX25519MLKEM768）を提供します。[...] そして、アクティブスキャンは本番トラフィックパス外で行われるため、実際のトラフィックが依存する前に、オリジンとその間のネットワークの両方がより強力な鍵合意での接続を処理できることを確認します。