[alatar]

Что я делаю не так?

Документацию не дочитываете. После получения crossdomain клиент (рекомендуется и на сервере) закрывает соединение и открывает заново, уже без запроса crossdomain (если клиенту не нравится crossdomain, то возникнет SecurityError).