Go WebTransport应用经Nginx代理出现502错误求助

问题根源 #

你的Go WebTransport服务基于QUIC协议（UDP）运行，监听的是UDP 6端口的5004（从netstat输出的udp6 0 0 :::5004可确认），但Nginx的proxy_pass https://[::]:5004默认会通过TCP协议尝试连接上游服务。由于你的Go程序根本没有监听TCP 5004端口，自然会出现Connection refused错误，导致502网关失败。

方案可行性与解决办法 #

方案一：调整Nginx配置以支持QUIC反向代理 #

Nginx 1.25.x版本的HTTP/3反向代理处于实验阶段，需确保编译时启用了QUIC和HTTP/3模块。修改Nginx的location配置，显式指定使用HTTP/3代理上游：

location / {
    add_header Alt-Svc 'h3=":$server_port"; ma=86400';
    proxy_pass https://[::]:5004;
    # 强制使用HTTP/3代理
    proxy_http_version 1.1;
    proxy_set_header Upgrade "h3";
    proxy_set_header Connection "upgrade";
    # 禁用上游证书验证（上游用自签/内部CA时，生产环境建议配置信任CA）
    proxy_ssl_verify off;
    # 允许UDP代理转发
    proxy_bind $server_addr transparent;
}

注意：这种方式依赖Nginx对QUIC/WebTransport的代理支持，可能存在兼容性或稳定性问题，需测试验证。

方案二：直接暴露Go WebTransport服务到公网（更可靠） #

绕过Nginx代理，让Go服务直接监听公网端口（如443），这是更简单可靠的方式：

1. 修改Go代码中的监听地址：

var server = webtransport.Server{
    H3: http3.Server{Addr: ":443"},
}

2. 给Go程序绑定特权端口的权限：

sudo setcap cap_net_bind_service=+ep ./your-go-binary-name

3. 启动Go服务，可在处理函数中添加Alt-Svc头引导客户端使用QUIC：

http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
    w.Header().Add("Alt-Svc", `h3=":443"; ma=86400`)
    // 后续WebTransport升级逻辑...
})

额外注意事项 #

• 防火墙需开放对应UDP端口：方案一开放UDP 5004，方案二开放UDP 443，否则客户端无法建立QUIC连接。
• 生产环境中，CheckOrigin函数不要直接返回true，需根据业务需求限制允许的请求来源。

内容的提问来源于stack exchange，提问作者Nephilist