CloudFront已启用HTTP/3但无法生效，寻求排查方案

一、指向S3的CloudFront分发HTTP/3排查 #

• 确认CloudFront配置细节

  1. 检查分发的缓存行为：全局启用HTTP/3后，个别缓存行为可能被单独禁用，需确保每个缓存行为的“HTTP/3”选项也处于启用状态。
  2. 验证SSL证书：必须使用AWS Certificate Manager (ACM) 颁发的证书，且证书覆盖的域名与分发域名完全匹配，第三方证书可能导致HTTP/3协商失败。
  3. 切换网络环境测试：HTTP/3在CloudFront全边缘节点支持，但个别节点可能存在临时异常，可尝试用手机移动网络、不同运营商宽带等环境测试。

• 本地测试优化

  1. 更新curl版本：确保使用v7.88.1及以上的版本（旧版本对HTTP/3支持不完善），执行带日志的测试命令：

     curl --http3 -v https://my.website.com
     

     查看日志中是否出现ALPN offers h3字样，以及后续QUIC握手的完整过程，定位协商失败环节。
  2. 浏览器开发者工具验证：在Chrome或Firefox中打开F12开发者工具，切换到网络面板，右键表头勾选“协议”列，清除浏览器缓存后重新加载页面，查看请求协议是否为h3。

二、指向ALB的CloudFront分发HTTP/3说明 #

你的判断正确：CloudFront与源站ALB之间的通信仅支持HTTP/1.1或HTTP/2，但这不会影响客户端与CloudFront边缘节点的HTTP/3连接——只要CloudFront配置正确，客户端到边缘节点仍可使用HTTP/3。如果此处未生效，同样需要检查CloudFront的全局/缓存行为HTTP/3开关、SSL证书等配置项。

三、额外测试方法 #

• QUIC协议专项测试
  1. 使用quicping工具测试QUIC连通性（HTTP/3基于QUIC协议）：

     quicping https://my.website.com
     

     查看是否能成功建立QUIC连接，判断协议层是否存在问题。
  2. 检查DNS记录：确保域名的A/AAAA记录均正确指向CloudFront分发域名，且AAAA记录（IPv6）存在——HTTP/3优先适配IPv6环境，缺失IPv6记录可能导致协商失败。
• CloudFront日志分析：开启分发的访问日志，查看日志中的cs-protocol字段，确认客户端请求的协议类型。若日志中无h3记录，说明边缘节点未收到HTTP/3请求，需排查客户端到边缘节点的链路限制。

内容的提问来源于stack exchange，提问作者PatientOtter