Conexiones TCP: el handshake, los temporizadores de retransmisión y los keep-alives

Qué es

El RFC 9293 describe el handshake de tres vías: el cliente envía SYN, el servidor responde con SYN-ACK y pasa al estado SYN-RECEIVED, y el ACK del cliente completa la conexión. Cada segmento que transporta datos se confirma; si la confirmación no llega antes de que expire el tiempo de espera de retransmisión (RTO), el segmento se envía de nuevo. El RFC 6298 define cómo se calcula el RTO a partir de los tiempos de ida y vuelta medidos, con un valor inicial de 1 segundo antes de cualquier medición, y cómo se duplica ("backoff") tras cada expiración. El RFC permite los keep-alives, pero no los exige: son sondeos que se envían por una conexión inactiva, con un intervalo por defecto que no debe ser inferior a dos horas.

Por qué importa

Los temporizadores explican la mayoría de los reportes del tipo "¿por qué se quedó colgado tanto tiempo?". Según tcp(7), Linux retransmite el SYN inicial tcp_syn_retries veces (por defecto 6, unos 127 segundos) antes de que falle el connect, y retransmite los datos de una conexión establecida tcp_retries2 veces (por defecto 15, entre 13 y 30 minutos aproximadamente) antes de rendirse. Los keep-alives solo se envían si el socket tiene activada la opción SO_KEEPALIVE; los valores por defecto son tcp_keepalive_time de 7200 segundos y después 9 sondeos separados por 75 segundos. Por tanto, un servidor cuyo par desapareció sin enviar FIN ni RST conserva la conexión, junto con su memoria y su descriptor de archivo, durante mucho tiempo.

Cómo aplicarlo

• Define timeouts a nivel de aplicación para connect, lectura y escritura; no confíes en que TCP detecte rápidamente a los pares caídos.
• Activa keep-alive en las conexiones de larga duración (pools de bases de datos, message brokers, túneles) y reduce el tiempo de inactividad por socket (TCP_KEEPIDLE, TCP_KEEPINTVL, TCP_KEEPCNT en tcp(7)) en lugar de hacerlo para todo el sistema.
• Usa TCP_USER_TIMEOUT cuando la biblioteca lo exponga: limita cuánto tiempo pueden permanecer sin confirmar los datos enviados antes de que se cierre la conexión.
• Al diagnosticar, revisa con ss -tin los contadores de retransmisión y los valores de RTO, y el estado de la conexión (SYN-SENT significa que nunca llegó un SYN-ACK).

Trampas

Un handshake completado solo demuestra que había conectividad en el momento de establecer la conexión; si más tarde un NAT o un firewall descarta el estado, el resultado es silencio, no un error. El retroceso de la retransmisión es exponencial, así que unas pocas pérdidas consecutivas se convierten en decenas de segundos de bloqueo. Los sondeos keep-alive son segmentos ACK y su entrega no está garantizada, por eso el RFC prohíbe considerar muerta una conexión por un solo sondeo sin respuesta.