TLS 与 HTTP/3 诊断指南
doc学习如何解读 TLS 握手字段与 HTTP/3 协商结果，快速定位降级、代理策略和链路问题。
TLS 与 HTTP/3 诊断指南
本页帮助你把 TLS 与 HTTP/3 检测结果转成可执行的排查动作，快速判断是网络策略问题还是链路能力差异。
工具测量了什么
工具会返回边缘侧观测到的 TLS 握手与 HTTP 传输字段，包括 TLS 版本、加密套件、ALPN、HTTP 协议版本，以及 HTTP/3 是否可用。
这些字段可以快速反映当前出口是否保留了现代传输能力，或是否发生了协议回退。
关键字段怎么读
TLS 版本代表协商后的安全层级。若比预期更低，通常需要检查网关策略或老旧中间设备。
加密套件反映加密与密钥交换策略。不同网络下突变，往往说明代理或网关参与了协商。
ALPN 与 HTTP 版本用于判断链路最终落在 HTTP/2 还是 HTTP/3。
为什么会显示 HTTP/3 不可用
企业防火墙、运营商网络、终端安全软件或代理模式可能会阻止 QUIC，仅允许基于 TCP 的回退协议。
另外，浏览器实验开关、VPN 传输模式和网络门户策略也会导致 HTTP/2 回退。
推荐排查顺序
先对比 VPN 开关、代理开关下的结果。如果 ALPN、TLS 版本或加密套件变化明显，优先检查中间层策略。
再切换到另一张网络（家庭、办公、移动）复测，用于区分本地出口问题和服务端能力问题。
最后结合 TLS 指纹、IP 查询、DNS 泄露检测交叉验证链路一致性。
这个测试的边界
结果只描述客户端到边缘节点这一路径，不能直接代表源站侧或整条链路的最终状态。
建议按环境记录基线（家庭/办公/移动），后续在版本更新或网络调整后复测，对比是否出现回退。
常见问题
为什么 HTTP/3 是 false？
常见原因是 QUIC 被策略阻止，或链路协商回退到了 HTTP/2。
能当作全链路证据吗？
不能，需要结合更多链路观测数据。
第一步该做什么？
先做 VPN/代理开关对比，再做跨网络对比。
分场景诊断模板（可直接照做）
**家庭网络：**先直连测试一次，再开启 VPN 测一次，重点对比 ALPN、HTTP 版本和 TLS 版本是否出现明显回退。
**办公网络：**额外关注企业网关策略。若家庭网络可用 H3、办公网络长期回退 H2，优先与网络管理员确认 QUIC/UDP 策略。
**移动热点：**用于快速排除本地路由器和企业出口因素。若热点环境恢复正常，问题通常不在终端浏览器本身。
上线前验收清单（建议固化）
建议固定记录以下字段：TLS 版本、加密套件、ALPN、HTTP 协议版本、HTTP/3 可用性、测试时间与网络环境。
每次发版或网络策略调整后，至少在两种网络环境复测并对比基线，出现回退时先回滚策略再定位根因。
对关键业务可设置"连续两次回退即告警"的简单阈值，避免传输层问题拖到用户投诉后才发现。