プロンプトとコンテキスト
モバイルクライアントがWi-Fiとセルラー回線を切り替えます。0-RTTリプレイによる書き込みの重複を防ぎながらQUICコネクションを維持し、検証、ルーティング、モニタリング、TCPフォールバックをどのように設計しますか？
これはバックエンド、ネットワーク、エッジ、プラットフォームの職種に適した設問です。QUICはコネクションIDを使用して接続のアイデンティティをUDPの4要素（four-tuple）から分離しているため、アドレス変更によってマイグレーションをトリガーできます。一方でRFC 9001は、0-RTTには完全なリプレイ保護が欠如していると規定しています。設計では、これらのプロトコルの制約をサーバーの状態管理、冪等なAPI、およびデプロイメントの制御へと落とし込む必要があります。
面接官が見ているポイント
- コネクションID、パス、アドレス検証、そしてマイグレーションが許可されるタイミングの区別。
- エンドポイントがハンドシェイク完了（handshake confirmation）前に能動的なマイグレーションを行えないことの理解、およびPATHCHALLENGEとPATHRESPONSEの説明。
- 任意の書き込みを許可するのではなく、0-RTTをリプレイに対して安全なリクエストに制限すること。
- ロードバランサー、コネクションIDルーティング、鍵のローテーション、状態共有の考慮。
- UDPのブロック、NATリバインディング、パケットロス、マイグレーション失敗に対するフォールバックの設計。
- ハンドシェイク成功率にとどまらないメトリクスによるマイグレーションの証明。
30秒の回答フレームワーク
「私は接続のアイデンティティとしてコネクションIDを使用します。新しい送信元アドレスが現れた場合、送信を切り替える前にパスを検証します。ハンドシェイク完了前には能動的なマイグレーションは行いません。0-RTTはリプレイリスクに応じて分類し、冪等な読み取り、または冪等性キーで保護された書き込みのみを許可し、リプレイ防止ウィンドウを維持します。エッジはコネクションIDによってルーティングし、識別子をローテーションします。マイグレーション、検証、リバインディング、フォールバックを監視し、UDPが利用できない場合はHTTP/2またはHTTP/1.1を使用します。」
ステップごとの詳細解説
ステップ1：接続とパスを分離する
TCPは一般にアドレスとポートの4要素によって接続を識別します。QUICはコネクションIDを使用するため、送信元アドレスが変更されても新しい接続を作成する必要はありません。サーバーは新しいパスからのパケットを直ちに信頼できるものとして扱ってはならず、アプリケーションデータを送信する前にパスを検証し、NATリバインディングや一時的なインターフェース変更を処理する必要があります。
ステップ2：パス検証ステートマシンを構築する
古いパスがトラフィックを処理している間に、候補パス上でPATHCHALLENGEを送信し、PATHRESPONSEを待ちます。候補ごとにトークン、送信時刻、検証状態、失敗回数を追跡します。タイムアウトが発生しても、直ちに接続を破棄すべきではありません。未検証のアドレスが悪用されてトラフィックが増幅されるのを防ぐため、マイグレーションの前後で輻輳制御および増幅防止（anti-amplification）制限を遵守します。
ステップ3：コネクションIDとロードバランシングを処理する
エッジロードバランサーは、コネクションIDから安定したバックエンドルーティングを行えること、またはその状態を保持するノードに接続を転送する検証可能なルーティングトークンを必要とします。サーバーはプロトコルに従ってIDの発行、廃止、ローテーションを行う必要があり、トポロジーの漏洩や無制限の有効期間を回避します。状態、トークン、鍵が共有されているかどうかを定義します。単一ノードのメモリ設計では任意のマイグレーションを安全にサポートできません。
ステップ4：0-RTTのビジネス境界を設定する
攻撃者が0-RTTデータをリプレイする可能性があるため、サーバーはそれを1回限りの実行の証明として扱うことはできません。デフォルトでは冪等なGETまたは安全にリトライ可能なリクエストを受け入れます。書き込みが必要な場合は、クライアントが生成した冪等性キー、時間枠、アカウントおよびリソースの制約を使用し、アトミックに重複排除します。決済、在庫、エンタイトルメントの副作用は1-RTTの確認を待つ必要があります。
ステップ5：マイグレーションと障害パスを監視する
コネクションID、プライバシーに配慮した新旧パスのサマリー、検証時間、マイグレーション成功、NATリバインディング、ロス、輻輳ウィンドウ、0-RTTの承認と拒否、重複ヒット、フォールバック理由を記録します。完全なアドレスや機密トークンはログに記録せず、ハッシュまたはバケットを使用します。アラートは、クライアントのネットワーク変更、サーバーの検証失敗、ルーティングエラー、UDPのブロックを区別できるようにする必要があります。
ステップ6：フォールバックとカナリアリリースを確立する
QUICのセットアップが失敗した場合、UDPがブロックされている場合、またはパス検証が繰り返し失敗する場合、HTTP/3クライアントはTCPバージョンを試行する必要があります。リージョン、クライアントバージョン、エッジノードごとにカナリアリリースを実施し、マイグレーション成功率、p99レイテンシ、CPU、ロス、重複したビジネス書き込みを比較します。フォールバックによって1つのリクエストがHTTP/3で1回、HTTP/2で再度実行されることがあってはなりません。アプリケーションレベルの冪等性は依然として必須です。
トレードオフ、境界、得られる情報
QUICマイグレーションはモバイルネットワークの継続性を向上させますが、パス状態、ルーティング、増幅防止、可観測性の複雑さが増します。0-RTTはファーストバイトの待ち時間を短縮する一方で、リプレイ保証を弱めます。強力な設計とは、信頼性の高いTCPフォールバックを維持しながら、プロトコルレベルの重複の可能性を冪等性と監査によってビジネスレイヤーへと適切に引き継ぐことです。
模範的な高評価の回答
「私はUDPの4要素ではなくコネクションIDで接続を識別します。新しい送信元アドレスは候補パスの状態に入り、PATHCHALLENGEを送信してPATHRESPONSEを検証した後に、輻輳制限と増幅防止制限を遵守しながら送信パスを切り替えます。ロードバランサーはコネクションIDによってルーティングするか、共有状態の境界に転送し、IDはローテーションと廃止をサポートします。
0-RTTには完全なリプレイ保護がないため、冪等な読み取り、または時間制限付きの冪等性キーを持つ安全なリクエストのみを許可します。決済、在庫、エンタイトルメントの書き込みは1-RTTを待ち、サーバーはキーをアトミックに記録して重複ヒットを監査します。メトリクスは検証時間、マイグレーション成功、NATリバインディング、0-RTT承認、重複、フォールバック理由をカバーします。
クライアント、リージョン、エッジノードごとにカナリアリリースを行い、QUICが失敗した場合はHTTP/2またはHTTP/1.1にフォールバックし、両方のプロトコルパスで同じ副作用が実行されないようにアプリケーションの冪等性を維持します。」
よくある間違い
- 新しいアドレスで直ちに切り替える → パスが未検証である → まずPATHCHALLENGEとPATHRESPONSEを完了させる。
- 0-RTTを1回限りの実行として扱う → データがリプレイされる可能性がある → メソッドを制限し、キーと時間枠を使用する。
- 状態を1つのノードのメモリのみに保持する → 別のノードへのマイグレーションが失敗する → コネクションIDルーティングまたは共有状態を設計する。
- 増幅防止を無視する → 未検証のアドレスが悪用される可能性がある → 検証と送信の制限を遵守する。
- ハンドシェイクのみを監視する → マイグレーション、リバインディング、フォールバックの失敗が見落とされる → ライフサイクル全体を測定する。
- フォールバック中に書き込みを繰り返す → HTTP/3とHTTP/2の両方が到着する可能性がある → 同一のビジネス冪等性キーを使用する。
フォローアップの質問と回答
なぜエンドポイントはハンドシェイク完了前に能動的なマイグレーションを行えないのですか？
RFC 9000は、鍵とパストラストがまだ確立されている途中の段階であるため、ハンドシェイク完了前の能動的なマイグレーションを禁止しています。ハンドシェイクを完了してから、パス検証状態に従って切り替えます。
NATリバインディングは能動的なマイグレーションとどう異なりますか？
NATリバインディングはエンドポイントの外部でマッピングが変化するため、同じコネクションIDで継続する場合があります。能動的なマイグレーションはアドレスまたはインターフェースを意図的に変更します。どちらも新しいパスを検証しますが、トリガーとテレメトリのラベルが異なります。
0-RTTでの書き込みはいつ安全になりますか？
繰り返しても最終結果が変わらない場合、またはサーバーが冪等性キー、リソースバージョン、時間枠を使用してアトミックに重複排除する場合にのみ安全です。不可逆的な副作用は1-RTTを待ちます。TLSチケットはビジネス上の認可ではありません。
企業ネットワークがUDPをブロックしている場合はどうしますか？
認証、冪等性、タイムアウトセマンティクスを維持したまま、HTTP/2またはHTTP/1.1にフォールバックします。UDPのブロックをサーバー障害と誤認しないよう、リージョンやクライアントごとにフォールバックを追跡します。