Cloudflare ha reducido la frecuencia de 'HelloRetryRequests' —un paso en el saludo TLS 1.3 que puede añadir latencia— del 52% a solo el 3.7% para sus conexiones de origen. Este cambio es impulsado por el Automatic Key Exchange (AKE), un sistema que identifica proactivamente las capacidades criptográficas de los servidores de origen para eliminar la necesidad de ciclos de 'adivinar e intentar' durante la conexión inicial.
El problema de los saludos sin estado
En un saludo TLS 1.3 estándar, el cliente y el servidor deben acordar un algoritmo de intercambio de claves. Para mantener el protocolo sin estado, el cliente a menudo realiza una 'adivinanza' inicial sobre los algoritmos compatibles.
Si la primera adivinanza es incorrecta, el servidor emite un 'HelloRetryRequest', obligando al cliente a intentarlo de nuevo. Esto añade un viaje de ida y vuelta adicional de latencia a la conexión, lo que puede afectar el rendimiento de los servicios de alto tráfico.
Cómo funciona el Automatic Key Exchange
El AKE de Cloudflare aborda esto escaneando proactivamente los servidores de origen diariamente. Realiza una serie de saludos ligeros, cada uno ofreciendo exactamente un grupo de acuerdo de claves para confirmar qué puede manejar el origen.
Los resultados de estos escaneos se almacenan y se distribuyen a través de la red de proxies de Cloudflare. Cuando un usuario se conecta, el proxy ya conoce el grupo de intercambio de claves preferido, lo que le permite enviar los parámetros correctos en la primera solicitud.
Discusión y compensaciones técnicas
Los comentaristas en Hacker News discutieron las compensaciones de esta optimización, señalando que, si bien ahorra latencia de viaje de ida y vuelta, introduce una pequeña cantidad de estado que debe distribuirse a los proxies. Un comentarista, escribiendo como sandeepkd, señaló que el artículo no revela la 'latencia de búsqueda absoluta' añadida a cada conexión para recuperar este estado.
Otro comentarista, escribiendo como LoganDark, observó que tales optimizaciones resaltan la creciente brecha entre los proveedores de infraestructura a gran escala y los operadores de servidores independientes, quienes pueden carecer de los recursos para implementar optimizaciones de alta escala similares.
Consideraciones operativas
El proceso de escaneo se mantiene intencionadamente fuera de la ruta de tráfico de producción para evitar impactar el rendimiento del origen. Sin embargo, algunos usuarios plantearon preguntas sobre cómo Cloudflare mantiene preferencias precisas para nombres de host respaldados por múltiples orígenes con configuraciones diferentes.
También existe un riesgo teórico con respecto al estado del proxy; un comentarista, escribiendo como edelbitter, especuló que aumentar la cantidad de datos de configuración enviados a los proxies podría dificultar la resolución de problemas de comportamiento anormal o exceder los límites estrictos en el software del proxy.