测试NGINX QUIC分支时反向代理QUIC功能异常：NGINX发起TCP连接而非预期的QUIC连接

我来帮你拆解这个问题——你遇到的核心问题是NGINX stream模块的proxy_pass目前还不支持QUIC协议转发：哪怕你在listen指令里指定了quic，它只能处理客户端发来的QUIC连接，但转发到上游时，还是会默认回退到TCP连接，这就是你tcpdump里看到的现象。

问题根源 #

当前nginx-quic分支的stream模块仅实现了QUIC服务端接收能力，可以处理客户端的QUIC握手和流量，但并没有实现QUIC客户端的逻辑——也就是说，它没办法主动和上游服务器建立QUIC连接，只能用传统的TCP来转发流量。

正确的解决方案：使用HTTP模块实现QUIC反向代理 #

如果你的业务是HTTP/3场景，想要实现端到端的QUIC代理，需要切换到HTTP模块配置，因为HTTP模块已经支持通过QUIC（HTTP/3）连接到上游服务器。以下是修改后的配置示例：

user nginx;
worker_processes auto;
pid /var/run/nginx.pid;
error_log /dev/stdout info;
error_log /var/log/nginx/error.log debug;

events {
    worker_connections 1024;
}

http {
    upstream quic_upstreams {
        server myserver:443;
        # 开启上游QUIC连接支持
        quic;
        ssl_protocols TLSv1.3;
        ssl_alpn h3 h3-29 h3-28 h3-27;
    }

    server {
        # 监听客户端QUIC连接
        listen 443 quic reuseport;
        # 兼容HTTP/1.1和HTTP/2的TCP连接（可选）
        listen 443 ssl;

        ssl_certificate certs/cert.pem;
        ssl_certificate_key certs/key.pem;
        ssl_protocols TLSv1.3;
        ssl_alpn h3 h3-29 h3-28 h3-27 http/1.1;

        location / {
            proxy_pass https://quic_upstreams;
            proxy_http_version 1.1;
            proxy_set_header Host $host;
            
            # 强制使用QUIC连接上游
            proxy_quic on;
            proxy_ssl_protocols TLSv1.3;
            proxy_ssl_alpn h3 h3-29 h3-28 h3-27;
        }
    }
}

配置关键点说明 #

1. upstream块：添加quic指令，告诉NGINX优先尝试用QUIC连接上游服务器
2. location块：启用proxy_quic on，强制代理时使用QUIC协议
3. ALPN和TLS配置：确保客户端、NGINX、上游三者的TLS版本都指定为TLSv1.3，且ALPN列表包含h3相关协议值，保证QUIC握手成功

验证方法 #

1. 再次用tcpdump抓取NGINX（172.20.0.2）与上游服务器（172.20.0.3）之间的UDP流量，确认存在QUIC Initial握手包
2. 查看NGINX的debug日志，搜索quic关键词，检查是否有quic connect to upstream之类的成功日志

特殊场景说明 #

如果你的需求是代理非HTTP的QUIC流量（比如自定义QUIC协议），那目前nginx-quic分支的stream模块还不支持这个功能，需要等待NGINX官方后续版本更新，或者考虑其他专门的QUIC代理方案。

内容的提问来源于stack exchange，提问作者Dmitry Scherbatyuk