TCPの「無駄な握手」を排除せよ：HTTP/1.1 `Keep-Alive` が突きつける現実と最適化の深淵
ネットワークエンジニアとして現場を渡り歩いていると、「HTTP/1.1は古い」という言葉を耳にする機会が増えた。確かにHTTP/2やHTTP/3（QUIC）の華やかな多重化技術は魅力的だ。しかし、現代のインターネットトラフィックの基盤を支えているのは、今なお泥臭く、かつ堅牢なHTTP/1.1の持続的接続（Persistent Connection）であることに変わりはない。
今日は、プロトコルスタックの深層心理、すなわち`Connection: keep-alive`がパケットレベルで何を行っているのか、そしてそれをいかにして「極限」までチューニングすべきかについて語ろう。
—
パケットが語る「3way Handshake」の重み
HTTP/1.0の世界では、リクエストごとにTCPコネクションを確立し、完了後に切断していた。SYN/SYN-ACK/ACKという3往復の儀式に加え、TLSを介せばさらに数往復のハンドシェイクが追加される。低レイテンシが求められる現代において、リクエストのたびにこのオーバーヘッドを繰り返すのは、エンジニアの怠慢と言っても過言ではない。
`Connection: keep-alive`の本質は、TCPのライフサイクルをHTTPのセマンティクスから切り離すことにある。
トランスポート層の最適化：Keep-Aliveの裏側
TCPスタックにおいて、コネクションを維持することはメモリを消費する。Linuxカーネルの`tcp_keepalive_time`や`tcp_keepalive_probes`といったパラメータ調整は、単なる負荷分散の域を超えた、パケットロスに対する「生存戦略」だ。
Linuxカーネルパラメータによるコネクション維持の最適化例
アイドル状態のコネクションを早期にクリーンアップしつつ、不必要な切断を防ぐ
sysctl -w net.ipv4.tcp_keepalive_time=600 # 10分間何もなければプローブ開始
sysctl -w net.ipv4.tcp_keepalive_intvl=10 # プローブの間隔を10秒に短縮
sysctl -w net.ipv4.tcp_keepalive_probes=3 # 3回失敗したら切断とみなす
このチューニングにより、L7のヘッダーが解釈される前に、L4レベルで死んだコネクションを排除し、健全なセッションのみをリソースとして確保できる。
—
タイムアウトと最大リクエスト数の「黄金比」
`Keep-Alive`の設定において、多くのエンジニアが陥る罠が「タイムアウトを長くしすぎること」だ。
- タイムアウトが長すぎる場合: アイドル状態のソケットがWebサーバーのワーカープロセスを占有し、`MaxClients`や`MaxRequestWorkers`の上限に達して、新規接続が拒否される（いわゆる「Connection Refused」の嵐）。
- 最大リクエスト数（MaxKeepAliveRequests）が少なすぎる場合: 頻繁に新しいTCPコネクションが生成され、CPUのコンテキストスイッチを浪費する。
実務レベルでは、「トラフィックのバースト性を考慮し、かつバックエンドのメモリ消費量と天秤にかける」という泥臭い調整が必要だ。
Nginxにおける推奨設定の考え方
keepalive_timeout 65s; # ブラウザの挙動に合わせて60-75秒が妥当
keepalive_requests 1000; # 1コネクションあたりの最大リクエスト数。高負荷環境では増やす価値あり
これらは、特定のAPIエンドポイントに対してパフォーマンステスト（`wrk`や`ab`を使用）を行い、成功率とメモリ使用量の相関グラフを描くことから始まる。
—
TLSハンドシェイクの「ショートカット」を活かす
`Keep-Alive`の恩恵を最大化するには、トランスポートセキュリティとの連携が不可欠だ。TLS 1.3が普及した現在、セッション再開（Session Resumption）を有効にすることで、一度確立したコネクションのTLSハンドシェイクを大幅に短縮できる。
コネクションを維持することは、単にTCPのSYNを節約するだけでなく、「暗号化ネゴシエーションの省略」という、さらなる副次的メリットをもたらす。これができていないサイトは、せっかくの`Keep-Alive`も半分の効果しか発揮していない。
—
脆弱性の回避：セキュリティとパフォーマンスの調和
最後に、セキュリティの観点にも触れておく。
`Keep-Alive`を悪用した攻撃に「HTTPパイプライン攻撃」や、リソース枯渇を狙った「Slowloris」がある。
1. Slowloris対策: `client_body_timeout`や`client_header_timeout`を適切に設定し、接続しっぱなしでデータを送らない悪意あるクライアントを断固として切断する。
2. パケットインスペクション: WAFを導入している場合、コネクションの再利用によって検査ロジックがバイパスされないよう、セッション維持の整合性をチェックする。
—
結びに：プロトコルへの敬意
HTTP/1.1の`Keep-Alive`は、決して「古い技術」ではない。むしろ、物理的なRTT（往復遅延時間）という光速の制約から逃れられない我々にとって、最も身近で強力な最適化の武器だ。
パケットがNICを通過するその一瞬、TCPのセグメントがシーケンス番号を刻みながら再利用される様子を想像してほしい。その挙動を制御し、最適化することこそが、インフラアーキテクトの真の腕の見せ所である。
明日からの現場で、`netstat`や`ss`コマンドの出力を見たとき、単なる数字の羅列ではなく、そこにある「接続の鼓動」を感じ取ってほしい。それができれば、あなたのネットワークは必ず、より速く、より強くなるはずだ。
コメント