Node.js HTTP/2 a través de HTTP CONNECT con createConnection

Un proxy HTTP/1.1 puede transportar tramas HTTP/2 del destino dentro de CONNECT. El proxy no necesita implementar esas tramas internas, pero el cliente debe realizar los traspasos de protocolo en orden.

Tras validar la respuesta CONNECT completa y conservar su tunnelSocket, añade TLS de destino y entrega el flujo establecido a HTTP/2:

import tls from 'node:tls';
import http2 from 'node:http2';

const secureSocket = tls.connect({
  socket: tunnelSocket,
  servername: 'api.example',
  ALPNProtocols: ['h2'],
});
secureSocket.once('error', failRoute);
secureSocket.once('secureConnect', () => {
  if (secureSocket.alpnProtocol !== 'h2') {
    secureSocket.destroy();
    failRoute(new Error('Destination did not negotiate h2'));
    return;
  }
  const session = http2.connect('https://api.example', {
    createConnection: () => secureSocket,
  });
  session.on('error', failRoute);
  useSession(session);
});

createConnection devuelve el flujo TLS que el proxy ya transporta en lugar de abrir otro socket directo. El servername del destino aporta SNI e identidad del certificado, con la verificación activada. La comprobación ALPN rechaza un destino que no negoció h2.

failRoute debe limpiar la ruta; useSession posee las peticiones y el cierre de la sesión. Aplica plazos de conexión y de operación alrededor de este fragmento.

El conector externo sigue siendo responsable del direccionamiento CONNECT host:puerto, la autenticación del proxy, el manejo de rechazos y los bytes almacenados tras las cabeceras. Termínalos antes de entregar el socket a TLS; un preámbulo HTTP/2 enviado directamente a un listener proxy HTTP/1.1 empieza en la capa equivocada.