vless+xhttp+tls+cdn H3通了几个包之后就不通了

[chazikai24]

CDN为Cloudflare，已打开http3与grpc
vless+xhttp+tls+cdn H2可以正常使用，客户端改成h3，打开google刚开始会通，Google还没加载完就不通了，就通了几个包就彻底不通了。重启客户端服务，又能通几个包然后不通。XHTTP的模式试过auto，手动指定pack-up，另外两个stream模式也试过。
使用的是Xray(M+H+K+G+B+A)+Nginx方案。
已经测试了以下内容：
vless+xhttp+tls+cdn H3客户端添加R佬extra参数实例通几个包之后不通
vless+xhttp+tls+cdn H2通
vless+xhttp+tls H3通
H3访问vps域名通
测试下来感觉是CF的问题，客户端与服务端都是最新的1.30版本。
尝试过cf缓存跳过，还是一样。
请大佬指点到底是什么问题。

[lxhao61]

你客户端添加R佬extra参数干嘛？除非你上下分离配置，见客户端相关示例。

[chazikai24]

添加extra参数是为了进行测试盘查问题。默认不添加就不行。
总之一顿测试下来很奇怪，cf cdn +h3访问域名没问题。vless+xhttp+tls+cdn H2也没问题。就vless+xhttp+tls+cdn H3通几个包就被阻断了。
不知道是什么原因。

[lxhao61]

检查 Cloudflare 开启 TLS 1.3 没？

[chazikai24]

TLS1.3开的。就是很奇怪重启xray服务，能通几个包，然后就不通了。如果不套CDN，vless+xhttp+tls H3是没问题的。感觉还是Cloudflare哪里阻断了。

[lxhao61]

使用命令查 Nginx 信息（版本、OpenSSL、SNI、插件）： /usr/local/bin/nginx/nginx -V（路径以实际为准）
另外把 Nginx 配置中 SSL 配置发来看一看。
最后就是你自己检查 Cloudflare 设置是否有问题。

[chazikai24]

nginx用的是继承quic的版本，官方版本测试跑不通纯H3.
nginx version: nginx-n.wtf/1.27.3
built with OpenSSL 3.4.0 22 Oct 2024
TLS SNI support enabled
configure arguments: --with-cc-opt='-g -O2 -ffile-prefix-map=/build/nginx=. -fstack-protector-strong -Wformat -Werror=format-security -fPIC -Wdate-time -D_FORTIFY_SOURCE=2' --with-ld-opt='-Wl,-z,relro -Wl,-z,now -fPIC' --with-openssl=/build/nginx/../openssl --prefix=/usr/share/nginx --conf-path=/etc/nginx/nginx.conf --http-log-path=/var/log/nginx/access.log --error-log-path=/var/log/nginx/error.log --lock-path=/var/lock/nginx.lock --pid-path=/run/nginx.pid --modules-path=/usr/lib/nginx/modules --http-client-body-temp-path=/var/lib/nginx/body --http-fastcgi-temp-path=/var/lib/nginx/fastcgi --http-proxy-temp-path=/var/lib/nginx/proxy --http-scgi-temp-path=/var/lib/nginx/scgi --http-uwsgi-temp-path=/var/lib/nginx/uwsgi --with-compat --with-debug --with-pcre-jit --without-pcre2 --with-http_ssl_module --with-http_stub_status_module --with-http_realip_module --with-http_auth_request_module --with-http_v2_module --with-http_v3_module --with-http_dav_module --with-http_slice_module --with-threads --with-http_addition_module --with-http_flv_module --with-http_geoip_module=dynamic --with-http_gunzip_module --with-http_gzip_static_module --with-http_image_filter_module=dynamic --with-http_mp4_module --with-http_perl_module=dynamic --with-http_random_index_module --with-http_secure_link_module --with-http_sub_module --with-http_xslt_module=dynamic --with-mail=dynamic --with-mail_ssl_module --with-stream=dynamic --with-stream_geoip_module=dynamic --with-stream_ssl_module --with-stream_ssl_preread_module --add-module=/build/nginx/sb-modules/ngx_brotli --add-dynamic-module=/build/nginx/debian/modules/http-headers-more-filter --add-dynamic-module=/build/nginx/debian/modules/http-auth-pam --add-dynamic-module=/build/nginx/debian/modules/http-cache-purge --add-dynamic-module=/build/nginx/debian/modules/http-dav-ext --add-dynamic-module=/build/nginx/debian/modules/http-ndk --add-dynamic-module=/build/nginx/debian/modules/http-echo --add-dynamic-module=/build/nginx/debian/modules/http-fancyindex --add-dynamic-module=/build/nginx/debian/modules/http-geoip2 --add-dynamic-module=/build/nginx/sb-modules/ngx_http_ipdb_module --add-dynamic-module=/build/nginx/debian/modules/nchan --add-dynamic-module=/build/nginx/debian/modules/http-lua --add-dynamic-module=/build/nginx/debian/modules/rtmp --add-dynamic-module=/build/nginx/debian/modules/http-uploadprogress --add-dynamic-module=/build/nginx/debian/modules/http-upstream-fair --add-dynamic-module=/build/nginx/debian/modules/http-subs-filter

[lxhao61]

原来 Nginx 使用的是最新测试版(奇数)，推荐使用最新稳定版(偶数)。现最新稳定版为 v1.26.3

[chazikai24]

Nginx 配置中 SSL 配置，用的你的Xray(M+H+K+G+B+A)+Nginx示例修改的。

ssl_certificate /root/cert/h3.xxxx.xyz/fullchain.pem; #换成自己的证书，绝对路径。
ssl_certificate_key /root/cert/h3.xxxx.xyz/privkey.pem; #换成自己的密钥，绝对路径。
ssl_protocols TLSv1.2 TLSv1.3; #若使用 OpenSSL 库，TLSv1.3 需要 OpenSSL 库的版本不小于 1.1.1 构建才支持。
#ssl_protocols TLSv1.3;
ssl_prefer_server_ciphers on; #优先使用服务端的密码套件。（对如下 TLSv1.2 协议的密码套件有效）
ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-CHACHA20-POLY1305; #若证书为 RSA 证书，所有 RSA 改为 RSA。
ssl_ecdh_curve secp521r1:secp384r1:secp256r1:x25519; #若使用 OpenSSL 库，此项配置参数需要 OpenSSL 库的版本不小于 3.0.0 构建才支持。

[lxhao61]

不对吧，你提供的是直连配置。我要看的是使用 CDN 流量中转配置。
另外此证书使用的是不是 Cloudflare 提供的 15 年证书？

[chazikai24]

对，我上面粘贴的是直连配置。CDN配置跟这个基本一样，只不过域名与证书是另外一个证书。openssl版本OpenSSL 3.0.15 3 Sep 2024 (Library: OpenSSL 3.0.15 3 Sep 2024)。
server_name pt.xxxx.xyz;
ssl_certificate /root/ssl_cert/pt.xxxx.xyz.cer; #换成自己的证书，绝对路径。
ssl_certificate_key /root/ssl_cert/pt.xxxx.xyz.key; #换成自己的密钥，绝对路径。
ssl_protocols TLSv1.2 TLSv1.3; #若使用 OpenSSL 库，TLSv1.3 需要 OpenSSL 库的版本不小于 1.1.1 构建才支持。
ssl_prefer_server_ciphers on; #优先使用服务端的密码套件。（对如下 TLSv1.2 协议的密码套件有效）
ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-CHACHA20-POLY1305; #若证书为 RSA 证书，所有 ECDSA 改为 RSA。
ssl_ecdh_curve secp521r1:secp384r1:secp256r1:x25519; #若使用 OpenSSL 库，此项配置参数需要 OpenSSL 库的版本不小于 3.0.0 构建才支持。

[lxhao61]

openssl版本OpenSSL 3.0.15 3 Sep 2024 (Library: OpenSSL 3.0.15 3 Sep 2024)。这个是怎么回事？与 Nginx 查询出来的不一致，此 OpenSSL 版本可不支持 HTTP/3 server。
另外 RSA 证书建议改用 ECC 证书，原因：
TLS 1.3 支持使用 RSA 证书，但对 RSA 密钥的大小和签名算法有严格要求。例如 TLS 1.3 仅支持 2048 位及以上的 RSA 密钥，支持使用 PKCS#1 v1.5 签名或 RSASSA-PSS 签名的 RSA 证书。

[chazikai24]

感谢提醒，有思路了，明天我来把openssl换一下。证书是acme生成的，我也看下有没有问题。到时候再来反馈。

[chazikai24]

另外cf的话，我看了下，速度-优化中能开的都开了。网络中的选项也全开了，SSL中的TLS1.3也开了
在安全性-分析中，也能看到通的几个包的信息，显示的用户代理quic-go HTTP/3
但是就是不知道为什么通了几个包之后就不通了

[lxhao61]

Cloudflare SSL/TLS 加密模式选的完全？0-RTT 连接恢复开没？

[chazikai24]

加密模式完全，0-RTT开了，速度-优化里面能开的都开了。
我只要把v2rayN配置的apln改成h2，访问就没问题了。讲道理cdn的话如果服务器不支持h3，只是客户端到cf用的H3，cf到服务器，会自动转化h2。
我这个问题弄了好几天了，一点头绪没有，就是完全搞不懂为什么H3不行。
打开Google，F12能看到有几个请求返回200，后续都超时了。一直刷新，过一会又会有几个请求成功。
包括刚才，停了服务，用你的配置改了下id域名证书，直接手动xray run -c confi.json，结果还是这样。
不知道是怎么回事，一般配置有问题就直接不同，不可能像这样一会通几个包，过一会又通几个包。

[chazikai24]

更新了openssl，与nginx里面的一致。
OpenSSL 3.4.0 22 Oct 2024 (Library: OpenSSL 3.4.0 22 Oct 2024)
另外中转配置的ssl证书改为ECC证书，证书申请cf15年源证书，ECC加密。（之前是acme生成的证书）
最终还是跟之前一样，H3通了几个包之后就不通了。

listen 127.0.0.1:7443 ssl proxy_protocol; #仅版本不小于 v1.25.1 配置，否则必须删除。
http2 on; #仅版本不小于 v1.25.1 配置，否则必须删除。
set_real_ip_from 127.0.0.1;
real_ip_header proxy_protocol;
server_name pt.xxxx.xyz; #修改为自己的域名

ssl_certificate /root/ssl_cert/pt.xxxx.xyz.pem; #换成自己的证书，绝对路径。
ssl_certificate_key /root/ssl_cert/pt.xxxxx.xyz.key; #换成自己的密钥，绝对路径。

ssl_protocols TLSv1.2 TLSv1.3; #若使用 OpenSSL 库，TLSv1.3 需要 OpenSSL 库的版本不小于 1.1.1 构建才支持。
ssl_prefer_server_ciphers on; #优先使用服务端的密码套件。（对如下 TLSv1.2 协议的密码套件有效）
ssl_ciphers ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305; #若证书为 RSA 证书，所有 ECDSA 改为 RSA。
ssl_ecdh_curve secp521r1:secp384r1:secp256r1:x25519; #若使用 OpenSSL 库，此项配置参数需要 OpenSSL 库的版本不小于 3.0.0 构建才支持

[lxhao61]

又测试了下，客户端添加extra，里面的cMaxReuseTimes改成个位数，H3不会阻断了，但是打开速度不如h2。前阵子在tg上看到有个人也有我这个问题，印象里 也是把这个参数改了能跑通。看来我要去xray那边问问看了。

客户端是第三方软件？只有上下行分离才需extra，且也不推荐配置 cMaxReuseTimes 参数。

[lxhao61]

我用的是 https://n.wtf/intro/ 这个Nginx，看介绍vps应该是不需要3.4.0也能正常使用的。毕竟我在今天之前一直是OpenSSL 3.0.15，可以直接H3访问vps的静态页面。我越来越觉得是cf的问题，又或者是xray的问题。毕竟vps是否支持H3都是次要的，cf到服务端，会自适应h2或者h3。客户端指定h3，只影响客户端到cf的通信。换句话说，如果配置有问题，那不应该通了几个包之后就不通了。我感觉更像是xray的某个参数导致了连接的中断。

你没使用 docker 吧？
可确定 CF 无回题(我也在用)，Xray 版本无问题(我也在用)，Nginx 1.26.2/3 无问题(我己测试过)，那么就只能你 CF 设置、Ⅹray 配置、Nginx 版本及配置有问题。
基于上就可使用排除法来定位问题：
1、你可把关联 CF 设置上截图来看。
2、Nginx 用 Caddy 暂时替换，Ⅹray 配置、Caddy 配置完全按照我示例来弄，不增加一点配置，即仅以示例为模板修改为你环境的设置。
3、若第两项测试后无问题，那么就定位出 Nginx 版本及配置问题。
4、若 Nginx 配置无问题，那就只能 Nginx 版本问题。

[chazikai24]

客户端是v2rayN，OpenWrt的passwall测试也一样。我这个问题很奇怪，印象里过年的时候在tg官方群里看到过有人也是同样的问题改了个extra里面的参数，我找不到聊天记录了。我在xray那边提issue了，看看R大怎么说。
我刚改了cMaxReuseTimes为1，就不阻断了，测试了好几个网页都正常，除了响应速度有点慢。

[chazikai24]

没用docker，应该不是nginx的问题，Nginx我是最近一周才安装的。之前是3X-UI跑的。也有这个问题。CF的话，http3，tls1.3，0-rtt都开了，grpc也开了，页面规则里pt.xxxx.xyz/*缓存级别配置为绕过也测试了。贴截图有点太麻烦了，私信个联系方式吧？我来发你看看。

[lxhao61]

客户端是v2rayN，OpenWrt的passwall测试也一样。我这个问题很奇怪，印象里过年的时候在tg官方群里看到过有人也是同样的问题改了个extra里面的参数，我找不到聊天记录了。我在xray那边提issue了，看看R大怎么说。
我刚改了cMaxReuseTimes为1，就不阻断了，测试了好几个网页都正常，除了响应速度有点慢。

我没用客户端是 v2rayN，我 OpenWrt 的passwall(现最新版) 使用一直正常。

[chazikai24]

最终结果：经过测试，应该是本地运营商针对cf的h3流量的干扰。测试xhttp+tls+h3+cft cdn完全正常。