HTTP/1.1, HTTP/2 и HTTP/3: различия, заметные при эксплуатации

Что это такое

HTTP/1.1 (RFC 9112) формирует сообщения как текст: строка запроса, строки заголовков, необязательное тело, границы которого задаются Content-Length или кодированием передачи chunked. По умолчанию соединения постоянные, но ответы должны возвращаться в порядке запросов, поэтому клиенты ждут или открывают несколько соединений. HTTP/2 (RFC 9113) сохраняет семантику, но использует двоичные фреймы, множество одновременных потоков в одном соединении, сжатие заголовков HPACK и управление потоком для каждого потока. Он согласовывается через ALPN как h2 поверх TLS; незашифрованный h2c существует только при предварительном знании о поддержке, поскольку RFC объявляет путь через Upgrade устаревшим. HTTP/3 (RFC 9114) переносит ту же семантику через QUIC — транспорт на базе UDP со встроенным TLS 1.3; каждый поток запросов доставляется независимо, поэтому потерянный пакет задерживает только свой поток, а заголовки используют QPACK, ограничивающий блокировку в начале очереди, которую могло бы вызвать сжатие. Клиенты узнают о конечной точке HTTP/3 из заголовка Alt-Svc (RFC 9114) или DNS-записи HTTPS (RFC 9460) и при неудаче QUIC-соединения, например из-за блокировки UDP, им следует переходить на HTTP поверх TCP.

Почему это важно

Версия меняет то, что оператор должен настраивать и может наблюдать. HTTP/2 сосредотачивает трафик браузера в одном соединении, поэтому один сброс соединения или одна медленная повторная передача TCP останавливает все потоки сразу; ограничения числа соединений на клиента приобретают иной смысл, чем в HTTP/1.1. Для HTTP/3 объявленный UDP-порт (RFC 9114 допускает любой порт; Alt-Svc всегда указывает его явно) должен быть открыт в межсетевых экранах, группах безопасности и балансировщиках, а захват пакетов показывает зашифрованный UDP вместо читаемых записей TLS.

Как применять

• Завершайте HTTP/2 и HTTP/3 на внешнем узле (обратном прокси или балансировщике), а с серверами приложений общайтесь по HTTP/1.1, если они не получают преимуществ от мультиплексирования; это упрощает обработку соединений приложением.
• Объявляйте HTTP/3 только после внешней проверки доступности UDP; неверный Alt-Svc стоит клиентам неудачной попытки до перехода на запасной вариант.
• Сохраняйте в прокси ограничения потоков (SETTINGS_MAX_CONCURRENT_STREAMS) и размеров тел запросов; мультиплексирование позволяет одному клиенту дёшево открывать множество запросов.
• Записывайте согласованный протокол для каждого запроса, чтобы отделять версионные проблемы в журнале доступа.

Подводные камни

Имена заголовков в HTTP/2 и HTTP/3 записываются в нижнем регистре, а некоторые заголовки (Connection, Transfer-Encoding) запрещены; промежуточное ПО, переписывающее заголовки, должно обрабатывать обе формы. RFC 9113 отмечает, что незашифрованный путь через Upgrade никогда не был широко распространён; браузеры используют HTTP/2 только поверх TLS с ALPN, поэтому h2c — вариант для связи серверов. Идентификаторы соединений QUIC позволяют клиенту изменить адрес во время соединения, чего не поддерживает балансировка без состояния по кортежу из 4 значений.