Nginx访问localhost时HTTP3协议无法正常工作的问题排查

一、自签名证书信任问题的原因分析 #

你之前出现curl证书信任错误，是因为错误地将包含私钥的localhost.pem文件放到了CA证书目录中。系统的CA信任目录只需要存放证书公钥（.crt文件），私钥不能混入其中，否则update-ca-certificates无法正确识别并信任该证书。后续只复制localhost.crt到目录并更新证书的操作是正确的，因此解决了curl的信任问题。

二、Chrome未使用HTTP/3协议的排查与修复 #

1. 修正Alt-Svc头配置错误 #

你的Nginx配置中，Alt-Svc头指定的HTTP/3端口是:8443，但实际Nginx监听的HTTP/3端口是443（listen 443 http3 reuseport;），端口不匹配导致Chrome无法找到正确的HTTP/3端点，这是核心问题。

修改location /中的add_header指令：

add_header Alt-Svc 'h3=":443"; ma=86400';

（注意：不需要转义双引号，直接用双引号即可，避免转义导致解析异常）

2. 确认Nginx版本支持HTTP/3 #

Ubuntu 22.04默认仓库中的Nginx未编译QUIC/HTTP3模块，你必须安装官方提供的预览版二进制包（即你参考的博客中的版本）。可以通过以下命令确认：

nginx -V 2>&1 | grep -E 'http3|quic'

如果输出中包含--with-http_v3_module或--with-quic，说明版本正确；否则需要重新安装支持HTTP/3的Nginx。

3. Chrome端的必要设置 #

• 手动信任自签名证书：Chrome访问https://localhost时，点击地址栏的「不安全」提示，选择「证书」→「详细信息」→「安装证书」，将证书导入到「受信任的根证书颁发机构」，重启Chrome后生效。
• 确认QUIC功能启用：在Chrome地址栏输入chrome://flags/#enable-quic，确保选项设置为「Enabled」，重启浏览器。
• 查看QUIC连接状态：访问chrome://net-internals/#quic，查看是否有针对localhost:443的QUIC连接记录；或访问chrome://net-internals/#alt-svc，确认h3=":443"的Alt-Svc记录已被正确接收。

4. Nginx配置的其他检查 #

• 确保listen 443 http3 reuseport;指令中的reuseport参数存在，该参数允许Nginx在多进程模式下共享端口，是QUIC运行的必要条件。
• 查看Nginx错误日志（默认路径/var/log/nginx/error.log），检查是否有QUIC相关的启动或运行错误，比如端口占用、证书加载异常等。

内容的提问来源于stack exchange，提问作者alex