[iflamberg]

Политика для http-соединений(crossdomain.xml) не имеет никакого отношения к политике сокет-соединений. Строчка Security.loadpolicy не нужна. Как сказал етс, просто, если клиент прислал запрос политики, отдать ему ее и закрыть соединение (он тот час же поднимит еще одно соединение, если политика зазрешает).