Node.js HTTP/2 über HTTP CONNECT mit createConnection

Ein HTTP/1.1-Proxy kann HTTP/2-Frames des Ziels innerhalb von CONNECT transportieren. Der Proxy muss diese inneren Frames nicht implementieren, aber der Client muss die Protokollübergaben in der richtigen Reihenfolge ausführen.

Nachdem die vollständige CONNECT-Antwort geprüft und tunnelSocket behalten wurde, fügen Sie Ziel-TLS hinzu und übergeben den aufgebauten Stream an HTTP/2:

import tls from 'node:tls';
import http2 from 'node:http2';

const secureSocket = tls.connect({
  socket: tunnelSocket,
  servername: 'api.example',
  ALPNProtocols: ['h2'],
});
secureSocket.once('error', failRoute);
secureSocket.once('secureConnect', () => {
  if (secureSocket.alpnProtocol !== 'h2') {
    secureSocket.destroy();
    failRoute(new Error('Destination did not negotiate h2'));
    return;
  }
  const session = http2.connect('https://api.example', {
    createConnection: () => secureSocket,
  });
  session.on('error', failRoute);
  useSession(session);
});

createConnection gibt den TLS-Stream zurück, den der Proxy bereits trägt, statt einen weiteren direkten Socket zu öffnen. Das servername des Ziels liefert SNI und Zertifikatsidentität bei aktivierter Prüfung. Die ALPN-Prüfung weist ein Ziel ab, das h2 nicht ausgehandelt hat.

failRoute muss die Route aufräumen; useSession besitzt Anfragen und das Schließen der Sitzung. Setzen Sie Verbindungs- und Operationsfristen um dieses Fragment herum.

Der äußere Connector verantwortet weiterhin das host:port-CONNECT-Ziel, die Proxy-Authentifizierung, die Behandlung von Ablehnungen und die nach den Headern gepufferten Bytes. Schließen Sie das ab, bevor der Socket an TLS geht; eine HTTP/2-Präambel, die direkt an einen HTTP/1.1-Proxy-Listener gesendet wird, beginnt auf der falschen Ebene.