HTTP1.1+TLS1.2转HTTP2(h2/h2c)的稳定技术方案选型咨询

核心结论 #

生产场景下最稳定、运维成本最低的方案是使用HAProxy实现协议转换，完全不需要定制开发。

首选方案：HAProxy 2.4+ 原生协议转换 #

• HAProxy 2.4及以上版本原生支持将前端HTTP/1.1请求转为HTTP/2（加密h2/明文h2c）转发到后端，完全匹配你的场景需求
• 核心配置示例如下：

# 前端接收HTTP1.1 + TLS1.2请求
frontend https_input
    bind *:443 ssl crt /etc/haproxy/certs/your_domain.pem tls-min-ver TLSv1.2
    default_backend http2_server_cluster

# 后端转发到仅支持HTTP2的自研服务
backend http2_server_cluster
    # 后端为加密HTTP2（h2）时使用该配置
    server self_dev_server 192.168.x.x:443 proto h2 check
    # 如果后端是明文HTTP2（h2c），将上面一行替换为：
    # server self_dev_server 192.168.x.x:80 proto h2c check

• 方案优势：
  • 生产级稳定性，经过全球海量高并发场景验证
  • 自带健康检查、连接复用、流控、负载均衡等所有反向代理必备能力
  • 资源占用极低，性能远高于自研实现
  • 配置简单，运维成本极低

备选方案：Envoy 反向代理 #

如果你同时需要限流、灰度发布、全链路可观测等服务治理能力，可以选择Envoy作为替代：

• Envoy原生支持HTTP/1.1到HTTP/2的双向协议转换，仅需在 upstream 集群配置中开启http2_protocol_options即可
• 劣势是配置复杂度、资源占用都高于HAProxy，适合有云原生服务治理需求的场景

不推荐方案说明 #

• 自研协议转换逻辑：需要处理TLS握手、HTTP帧解析、流复用、异常兜底等大量边缘场景，开发和迭代成本极高，稳定性很难达到生产要求，无特殊需求完全不建议考虑
• 开源Nginx方案：开源版Nginx目前不支持向后端发送HTTP/2请求，仅商业版Nginx Plus提供该能力，授权成本过高不推荐

内容的提问来源于stack exchange，提问作者tleb