Zusammenfassung

  • RFC 7413 erlaubt einem Client mit einem zuvor erhaltenen Server-Cookie, Anwendungsdaten im SYN zu senden; der Server darf sie vor Abschluss des Drei-Wege-Handshakes zustellen.
  • Bis zu ein Round Trip lässt sich sparen, doch SYN-Daten können mehrfach bei der Anwendung ankommen. Nicht replay-fähige Vorgänge dürfen den Mechanismus nicht nutzen.
  • Zum Funktionsumfang gehören deshalb Schlüsselwechsel, Obergrenzen für unbestätigte Arbeit, negative Pfad-Caches und der nachweisbare Rückfall auf gewöhnliches TCP.

Im herkömmlichen TCP bittet das erste Paket zunächst um eine Verbindung. Mit TCP Fast Open kann es zugleich die erste Anwendungsanfrage transportieren. Erkennt der Server das Cookie, darf er die Daten an die Anwendung geben, bevor das dritte Handshake-Paket eingetroffen ist. Nicht die Leitung wird kürzer; die Arbeit beginnt früher.

RFC 7413 erschien im Dezember 2014 als Experimental-Spezifikation und nicht auf dem Internet-Standards-Track. Sie belegt weder heutige Verbreitung noch Nutzen auf jedem Pfad. Sie beschreibt eine bedingte Möglichkeit: Hat der Client bereits ein Cookie, passt die erste Anwendungseinheit in das initiale Segment und lässt der Pfad ein SYN mit Nutzdaten passieren, können bis zu ein RTT Wartezeit entfallen.

Beim ersten Kontakt fordert der Client in einer leeren Fast-Open-Option ein Cookie an. Der Server liefert im SYN-ACK einen undurchsichtigen Authentifizierungswert, den der Client speichert. Bei einer späteren Verbindung enthält das SYN Cookie und Daten. Ist das Cookie gültig, bestätigt der Server SYN und Daten, stellt die Anfrage zu und kann noch vor Handshake-Abschluss antworten. Ist es ungültig, verwirft er die frühen Daten, bestätigt nur das SYN und setzt den normalen Ablauf fort.

Das Cookie bescheinigt frühere Erreichbarkeit, nicht die Identität eines Nutzers oder die Berechtigung zu einer Transaktion. RFC 7413 legt 4 bis 16 Byte fest und beschreibt üblicherweise einen an die Quell-IP gebundenen MAC. Der Client interpretiert ihn nicht. Der Server bestimmt Erzeugung, Prüfung und Ablauf. Ein Schlüsselwechsel macht alte Cookies ungültig; ein begrenztes Überlappungsfenster mit mehreren Schlüsseln kann den Übergang glätten. Schlüsselbetrieb wird damit zu einem Verfügbarkeitsfaktor.

Der entscheidende semantische Preis ist Replay. Der Drei-Wege-Handshake hilft TCP, eine neue Verbindung von alten oder duplizierten SYNs zu unterscheiden. Wenn Fast Open Daten vorher an die Anwendung reicht, kann die erste Nachricht in seltenen Zuständen erneut zugestellt werden, nachdem der ursprüngliche Verbindungszustand verschwunden ist. Deshalb darf TFO nicht standardmäßig aktiv sein. Die Anwendung muss es je Service-Port ausdrücklich anfordern.

Idempotenz ist somit Voraussetzung der Transportoptimierung. Eine Leseanfrage lässt sich häufig wiederholen. Eine Buchung, Zahlung oder ungeschützte POST-Anfrage darf einmalige Zustellung nicht mit einmaliger Ausführung verwechseln. Eine Transaktions-ID der Anwendung kann Duplikate erkennen; das Fast-Open-Cookie garantiert keine Exactly-once-Semantik. Frühe Bytes bedeuten keine frühe Gewissheit.

Auch die Kosten des Servers rücken nach vorn. Noch vor vollständiger Adressbestätigung können CPU, Speicher und Antwortbandbreite beansprucht werden. RFC 7413 führt dafür eine Zahl ausstehender Fast-Open-Anfragen und verlangt, TFO für neue Anfragen abzuschalten, sobald ein Systemlimit überschritten wird. Dann werden die frühen Daten verworfen und der gewöhnliche TCP-Handshake übernimmt. Das Cookie und die Kapazitätsgrenze bilden gemeinsam die Schutzlinie.

Der Netzpfad kann die Optimierung praktisch ablehnen. Manche Firewalls oder Middleboxes verwerfen SYNs mit Nutzdaten oder unbekannten Optionen. Läuft der Timer ab, soll der Client ein SYN ohne Daten und Fast-Open-Option senden. Nicht bestätigte frühe Daten, ICMP-Fehler und ein vollständig ausbleibendes SYN-ACK sind negative Antworten, die gespeichert werden müssen. Für die betroffene Kombination aus Quelladresse, Zieladresse und Ports soll TFO vorübergehend ausgesetzt werden.

Ohne diesen negativen Cache bezahlt jede neue Verbindung denselben Timeout. Bleibt der Eintrag zu lange bestehen, wird ein vorübergehender Fehler zur dauerhaften Sperre. Wiederholungszeitpunkt und Pfadzustand brauchen deshalb eine nachvollziehbare Lebensdauer.

Der volle Vorteil entsteht nur, wenn die erste Anwendungseinheit in den verfügbaren Platz passt. TCP-Optionen und der gespeicherte MSS begrenzen die Nutzdaten im SYN. Muss der Server auf spätere Segmente warten, schrumpft der Gewinn. Bestehende Verbindungen wiederzuverwenden bleibt sinnvoll; eine Flut kurzer Verbindungen kann enden, bevor die Staukontrolle ihre disziplinierende Wirkung entfaltet.

Historisch ist TCP Fast Open deshalb mehr als ein schnellerer Verbindungsbeginn. Die Spezifikation macht sichtbar, welche Zustände ein eingesparter RTT erzeugt: bekannte Adressen, gültige Cookies, replay-fähige Operationen, zugelassene unbestätigte Arbeit und Pfade, auf denen der Versuch eingestellt werden muss. Erst wenn diese Zustände messbar, begrenzt und umkehrbar sind, ist die vorgezogene Anfrage wirklich schneller.

Sources