如何测试代理链路中的 ALPN 与 HTTP 版本协商
HTTPS 请求返回正确页面，不代表传输行为与直连一致。直连时协商 HTTP/2 的客户端，经过某个代理网关后可能静默使用 HTTP/1.1；另一条路由则可能在隧道建立时失败，或错误复用连接。即使状态码相同，这些差异也会影响并发、头部压缩、延迟和错误处理。
本指南提供面向代理采购与运维的 ALPN 和 HTTP 版本受控审计。只测试自有或获准的终点，目标是取得兼容性证据，而不是强迫目标接受不支持的协议。
ALPN 能说明什么
应用层协议协商发生在 TLS 握手中，用于约定 HTTP/2 或 HTTP/1.1 等应用协议。HTTP CONNECT 代理通常先建立隧道，随后客户端在隧道内与目标完成 TLS；SOCKS5 则在目标 TLS 前增加地址与 DNS 选择。
需要分别记录客户端提供的协议、目标选择的协议，以及应用最终实际使用的 HTTP 版本。不能只凭一个响应头推断三者，应该同时保留客户端连接证据，并由获准的源站进行佐证。
建立直连基线
选择一个同时支持 HTTP/2 与 HTTP/1.1 的自有 HTTPS 测试终点。从将要运行代理测试的同一设备、运行时与信任库重复直连，记录测试编号、路由别名、客户端、地址族、提供与选中的 ALPN、有效 HTTP 版本、TLS 版本、连接是否复用、首字节时间和失败阶段。
日志不得包含代理密码、Cookie、授权头或令牌。响应中加入随机挑战，避免把旧缓存误判为新的协议测试。
建立路由矩阵
| 维度 | 应分开测试的取值 |
|---|---|
| 路径 | 直连、网关 A、网关 B |
| 代理模式 | HTTP CONNECT、SOCKS5 |
| 地址族 | IPv4、IPv6 |
| 会话 | 粘性、轮换 |
| ALPN 提供 | HTTP/2 加 HTTP/1.1、仅 HTTP/1.1 |
| 连接 | 新连接、受控复用 |
每个单元运行数次相同的小请求，固定目标、载荷、客户端版本、密码策略、超时和网络位置。可结合多地区路由测试规范地区对照。
步骤一：单独证明隧道建立
HTTP CONNECT 要区分代理认证、隧道创建、TLS 握手和应用响应。407 是代理认证失败；CONNECT 超时不是 ALPN 失败；隧道成功后出现 TLS 告警，才属于目标握手阶段。
这样可以避免把所有 HTTP/2 失败都归因于“不支持 HTTP/2”，因为有些连接根本没有进入目标 TLS。
步骤二：比较协商协议与实际协议
先让客户端同时提供 HTTP/2 与 HTTP/1.1，比较直连和代理结果；再强制 HTTP/1.1 作为对照。把结果分为预期选择、稳定回退、间歇降级、报告与源站不一致，以及握手前失败。
回退不一定是缺陷。但如果产品承诺 HTTP/2、变化未被说明，或业务依赖多路复用，它就是采购风险。
步骤三：测试连接复用
在同一客户端连接上发送一组小请求，确认是否按预期共享连接。HTTP/2 要观察流并发与连接身份；HTTP/1.1 要区分 keep-alive 与多个并行套接字。
更换代理会话标识后重复。轮换出口不一定要求更换网关连接，但策略必须明确。若业务依赖粘性，可结合住宅代理会话粘性测试。
此阶段不要直接打满并发。先在低负载证明协议正确，再用代理并发饱和测试寻找容量边界。
步骤四：测试受控失败
在获准测试终点制造无共同协议、延迟 TLS 握手、隧道后关闭连接、仅支持 HTTP/1.1，以及 HTTP/2 单流重置等情况。客户端应保留原始失败阶段，重试策略不能把确定性协商失败放大成重试风暴。
同时记录重试使用的是新隧道、新 TLS 会话还是同一连接。
谨慎解释差异
归因给代理前，确认目标没有改变协议策略，直连与代理解析到同一获准主机，客户端没有使用不同 TLS 库或配置。检查 IPv4 与 IPv6 是否到达不同边缘节点，并跨多个网关与第二个受控网络重复。
真正有决策价值的发现应当可复现且与具体路由绑定。一个无法解释的样本需要调查，但不足以下最终结论。
采购评分
先设硬门槛：协议报告不能虚假；不得静默绕过验证；失败阶段必须可诊断；承诺的 HTTP/2 行为必须能复现；连接复用必须符合会话策略。
通过后再评估协议选择一致性、首字节时间、成功率、复用效率、地区覆盖和支持响应。对 HTTP/2 与 HTTP/1.1 分别计算每次成功请求成本，避免综合平均值掩盖昂贵的回退路径。
上线检查清单
- 直连基线最新且可复现；
- 每个购买网关和地区均有样本；
- CONNECT、TLS 与 HTTP 失败分开统计；
- 提供 ALPN、选中 ALPN 和有效 HTTP 版本均有记录；
- IPv4 与 IPv6 不混合；
- 新连接和复用连接分别测试；
- 重试有上限并保留原始失败；
- 证据中没有凭据或 Cookie；
- 兼容的回退路由已经验证。
常见问题
HTTP 代理必须与客户端使用 HTTP/2 吗？
不一定。CONNECT 先建立隧道，客户端再在隧道内与目标协商 TLS。代理控制连接与隧道内应用协议是两个问题。
回退 HTTP/1.1 一定不好吗？
不一定。它可能是有效兼容路径，但要测量对延迟、并发、连接数与成本的影响是否超出要求。
一次成功可以证明支持 HTTP/2 吗？
不可以。需要跨网关、地址族和新连接重复，并继续验证复用与受控流错误。
浏览器与命令行客户端要分开测吗？
要。两者可能使用不同 TLS 栈、协议策略、连接池和代理配置路径。
合规说明
仅针对自有或明确获准评估的系统与代理路由运行协议测试。遵守合同、目标政策、速率限制和隐私要求，不利用协商测试绕过访问控制，也不得在日志中泄露代理凭据或用户数据。
