Node.js HTTP/2 por HTTP CONNECT com createConnection

Um proxy HTTP/1.1 pode transportar frames HTTP/2 de destino dentro do CONNECT. O proxy não precisa implementar esses frames internos, mas o cliente deve realizar as passagens de protocolo em ordem.

Depois de validar a resposta CONNECT completa e manter o tunnelSocket, adicione o TLS de destino e entregue o fluxo estabelecido ao HTTP/2:

import tls from 'node:tls';
import http2 from 'node:http2';

const secureSocket = tls.connect({
  socket: tunnelSocket,
  servername: 'api.example',
  ALPNProtocols: ['h2'],
});
secureSocket.once('error', failRoute);
secureSocket.once('secureConnect', () => {
  if (secureSocket.alpnProtocol !== 'h2') {
    secureSocket.destroy();
    failRoute(new Error('Destination did not negotiate h2'));
    return;
  }
  const session = http2.connect('https://api.example', {
    createConnection: () => secureSocket,
  });
  session.on('error', failRoute);
  useSession(session);
});

createConnection devolve o fluxo TLS que o proxy já transporta em vez de abrir outro socket direto. O servername de destino fornece SNI e identidade do certificado, com a verificação ativada. A verificação ALPN rejeita um destino que não negociou h2.

failRoute deve limpar a rota; useSession possui as requisições e o fechamento da sessão. Aplique prazos de conexão e de operação em torno deste fragmento.

O conector externo ainda é responsável pelo direcionamento CONNECT host:porta, pela autenticação no proxy, pelo tratamento de rejeições e pelos bytes armazenados após os cabeçalhos. Conclua isso antes de entregar o socket ao TLS; um preâmbulo HTTP/2 enviado direto a um listener de proxy HTTP/1.1 começa na camada errada.