使用http2.ServeConn搭建隧道时如何检测防火墙静默丢弃的连接？

问题根因 #

你遇到的是TCP半开连接问题：防火墙静默丢弃闲置连接时，两端没有任何FIN或RST包交互，TCP栈和上层HTTP2实现都无法感知连接已失效，最终导致连接假死。

1. 启用HTTP2内置心跳检测（优先推荐，改造成本最低） #

Go标准库的http2.Server原生支持闲置心跳检测，只需在初始化服务端时增加两个配置参数即可：

c.httpServer = &http2.Server{
    // 保留其他原有配置
    ReadIdleTimeout: 30 * time.Second, // 连接闲置30秒后触发心跳检测
    PingTimeout:     10 * time.Second, // 发出PING帧后10秒未收到响应即判定连接失效，主动关闭
}

该方案基于HTTP2标准的PING帧实现，属于应用层心跳，不会被常规的TCP规则过滤，适配绝大多数场景。

2. 配置TCP层Keepalive兜底 #

在将底层TCP连接传入ServeConn之前，配置TCP保活参数作为传输层兜底检测：

if tcpConn, ok := conn.(*net.TCPConn); ok {
    _ = tcpConn.SetKeepAlive(true)
    _ = tcpConn.SetKeepAlivePeriod(15 * time.Second)
}
c.httpServer.ServeConn(conn, &http2.ServeConnOpts{
    Handler: http.HandlerFunc(c.serveHTTP),
})

该方案依赖操作系统TCP栈实现，资源消耗极低，可作为应用层心跳的补充。

3. 业务层自定义心跳（特殊场景可选） #

如果你的网络环境对PING帧有特殊限制，可以在隧道协议中新增轻量心跳接口，两端定期互发心跳请求，连续多次超时未收到响应时主动关闭连接，该方案可控性最高，适配所有特殊网络环境。

该问题是HTTP2隧道、长连接反向代理类服务的常见问题，绝大多数公网或跨内网分区的长连接服务都会遇到因防火墙闲置丢弃规则导致的半开连接问题，上述方案是业内通用的成熟解法。

内容的提问来源于stack exchange，提问作者Hons