ngrok AWS EC2服务端与Windows客户端无法建立HTTP2连接问题排查

我来帮你拆解这个问题——你遇到的核心情况是本地主机间能正常建立HTTP2连接，但通过AWS EC2上的ngrok服务端暴露本地服务时，所有连接都强制降级到HTTP1.1，还伴随错误请求，这大概率是服务端配置、网络层拦截或者证书配置细节出了问题，下面是一步步的排查和修复方案：

一、先确认ngrok服务端的HTTP2配置是否生效 #

ngrok服务端默认可能不会强制启用HTTP2，得在配置文件里明确指定：

• 打开你的ngrok服务端配置文件（比如ngrok.yml），确保加入以下配置项：

  tls:
    min_version: TLS1.2
    max_version: TLS1.3
  http2: true
  

  这里http2: true是强制开启HTTP2支持，同时TLS版本要至少1.2（HTTP2要求TLS 1.2及以上版本）。
• 重启ngrok服务端，用命令ngrok start --config=ngrok.yml启动，确保新配置加载生效。

二、排查SSL证书的配置细节 #

你提到自签和正规CA证书都没生效，要注意几个容易踩坑的点：

• 证书必须是完整的证书链：如果是正规CA颁发的证书，要把服务器证书、中间证书合并成一个fullchain.pem文件；自签证书要确保同时包含公钥和私钥，并且Windows客户端要把这个自签证书导入到「受信任的根证书颁发机构」（否则客户端会拒绝信任，导致TLS协商失败降级到HTTP1.1）。
• 服务端配置里的证书路径要绝对正确：在ngrok.yml里指定证书和私钥的路径，比如：

  tls:
    cert: /home/ec2-user/ssl/fullchain.pem
    key: /home/ec2-user/ssl/privkey.pem
  

  还要注意AWS EC2上的文件权限，用chmod 600 privkey.pem设置权限，确保ngrok进程能读取私钥文件。
• 验证证书的兼容性：用openssl x509 -in fullchain.pem -text -noout查看证书详情，确认证书用途包含TLS Web Server Authentication，且签名算法是SHA256及以上（HTTP2不支持MD5、SHA1这类弱签名算法）。

三、检查AWS EC2的网络拦截设置 #

AWS的安全组、防火墙可能会阻断HTTP2依赖的ALPN协议：

• 安全组要确保开放443端口（HTTP2默认和HTTPS共用443端口），暂时可以允许所有IP访问（0.0.0.0/0）来测试，排除IP限制的问题。
• 检查EC2实例的系统防火墙（比如ufw或者iptables），确保443端口的TLS流量没有被拦截，尤其是不要阻断ALPN协议的协商（HTTP2靠ALPN来和客户端确认协议版本）。
• 如果用了AWS ALB（应用负载均衡），要确认负载均衡的HTTPS监听器开启了HTTP2支持（ALB默认支持，但要确保后端转发是TCP模式，避免负载均衡把HTTP2降级成HTTP1.1后再转发给ngrok服务端）。

四、Windows客户端的启动参数调整 #

Windows客户端需要明确启用HTTP2，避免默认降级：

• 启动客户端时，加上--http2参数，比如：ngrok http --http2 8080
• 如果用了客户端配置文件，检查里面有没有http2: false这类禁用HTTP2的配置，同时确保TLS版本设置和服务端一致。

五、验证连接的协议版本 #

用工具确认HTTP2是否协商成功：

• 在Windows上打开命令提示符，执行curl -v --http2 https://your-ngrok-domain，看输出里有没有ALPN, offering h2和ALPN, server accepted to use h2这两行，如果有，说明HTTP2协商成功；如果显示HTTP/1.1，说明协商失败。
• 查看ngrok服务端的日志（启动时加-log=stdout参数），找有没有ALPN negotiation failed或者TLS相关的错误信息，这些日志能直接定位问题。

六、错误请求的排查思路 #

如果出现错误请求，大概率是证书不匹配或者转发路径的问题：

• 如果你本地服务是HTTP的，用ngrok http --http2 8080即可；如果本地服务是HTTPS的，要改用ngrok https --http2 8443，避免协议不匹配。
• 检查服务端日志里的错误详情，比如invalid request这类信息，可能是请求头格式错误，或者ngrok的路径转发规则配置有误。

内容的提问来源于stack exchange，提问作者larrougOs