problem in http2

[oleg9301@…]

cat /etc/debian_version
9.9

Добрый день имею следующую конфигурация: есть проксирующий nginx на котором я включаю http2 и через 15-20 часов начинаются проблемы с прохождением части файлов в бразере chrome(ERR_SPDY_PROTOCOL_ERROR)

В логах вижу что отдается 32 kb вместо 400. Curl по http2 выкачивает файл нормально(но с ошибкой в логе, см внизу), мозила тоже работает корректно, проблемы только в chrome любых версий.

[] 109.232.248.0 - - [23/Aug/2019:09:19:36 +0300] "GET /press/css/DmShgKZBWtExAzwWROPpnQJJ.css HTTP/2.0" 200 32100 "-" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.100 Safari/537.36" "-" XXXX 0.172 - 10.163.94.29:443 0.096/0.168/0.172 32100
[] 109.232.248.0 - - [23/Aug/2019:09:19:36 +0300] "GET /press/css/DmShgKZBWtExAzwWROPpnQJJ.css HTTP/2.0" 200 32100 "-" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.100 Safari/537.36" "-" XXXX 0.144 - 10.163.94.29:443 0.064/0.140/0.144 32100
[] 109.232.248.0 - - [23/Aug/2019:09:19:45 +0300] "GET /press/css/DmShgKZBWtExAzwWROPpnQJJ.css HTTP/2.0" 200 436145 "-" "curl/7.52.1" "-" XXXX 0.239 - 10.163.94.29:443 0.064/0.140/0.236 436145

Конфиг для проксирования(удалена некоторая информация: ip,domain)

upstream XXXX {

server Y.Y.Y.Y:443 backup;
server Z.Z.Z.Z:443;
check interval=3000 rise=1 fall=3 timeout=1000;

}
server {

access_log /var/log/nginx/XXXX.access.log http_log;
error_log /var/log/nginx/XXXX.error.log;

listen X.X.X.X:443 ssl http2;
server_name XXXX

ssl_dhparam /etc/ssl/dhparam.pem;
ssl_certificate /etc/ssl/certificates/XXXX/cert.pem;
ssl_certificate_key /etc/ssl/certificates/XXXX/key.pem;
ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;
ssl_ciphers 'EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH';
ssl_prefer_server_ciphers on;
ssl_session_cache shared:XXXX:10m;

limit_conn addr 100;
client_max_body_size 50m;

testcookie_name XXXX;
proxy_set_header Host $http_host;
proxy_set_header X-Client-Ip $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header Connection "";

location / {

proxy_pass ​https://XXXX;
proxy_connect_timeout 10s;
proxy_send_timeout 60s;
proxy_read_timeout 60s;

}

}

server {

listen X.X.X.X:80;
server_name XXXX;

return 301 ​https://XXXX:443$request_uri;

}

Обратите внимание на строчку ошибки в выводе curl

• http2 error: Ignoring received invalid HTTP header field: frame type: 1, stream: 1, name: [expires], value: [A, 23 023 2020 11:52:52 GMT]

curl -vvi ​https://XXXX/press/css/DmShgKZBWtExAzwWROPpnQJJ.css

• Trying X.X.X.X...
• TCP_NODELAY set
• Connected to XXXX (X.X.X.X) port 443 (#0)
• ALPN, offering h2
• ALPN, offering http/1.1
• Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
• successfully set certificate verify locations:
• CAfile: /etc/ssl/certs/ca-certificates.crt CApath: /etc/ssl/certs
• TLSv1.2 (OUT), TLS header, Certificate Status (22):
• TLSv1.2 (OUT), TLS handshake, Client hello (1):
• TLSv1.2 (IN), TLS handshake, Server hello (2):
• TLSv1.2 (IN), TLS handshake, Certificate (11):
• TLSv1.2 (IN), TLS handshake, Server key exchange (12):
• TLSv1.2 (IN), TLS handshake, Server finished (14):
• TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
• TLSv1.2 (OUT), TLS change cipher, Client hello (1):
• TLSv1.2 (OUT), TLS handshake, Finished (20):
• TLSv1.2 (IN), TLS change cipher, Client hello (1):
• TLSv1.2 (IN), TLS handshake, Finished (20):
• SSL connection using TLSv1.2 / ECDHE-RSA-AES256-GCM-SHA384
• ALPN, server accepted to use h2
• Server certificate:
• subject: XXXX
• start date: Feb 11 12:26:10 2019 GMT
• expire date: Apr 1 11:01:03 2020 GMT
• subjectAltName: host "XXXX" matched cert's "XXXX"
• issuer: C=BE; O=GlobalSign nv-sa; CN=GlobalSign Extended Validation CA - SHA256 - G3
• SSL certificate verify ok.
• Using HTTP2, server supports multi-use
• Connection state changed (HTTP/2 confirmed)
• Copying HTTP/2 data in stream buffer to connection buffer after upgrade: len=0
• Using Stream ID: 1 (easy handle 0x561366d93e80)

  GET /press/css/DmShgKZBWtExAzwWROPpnQJJ.css HTTP/1.1
  Host: XXXX
  User-Agent: curl/7.52.1
  Accept: */*
  

• Connection state changed (MAX_CONCURRENT_STREAMS updated)!
• http2 error: Ignoring received invalid HTTP header field: frame type: 1, stream: 1, name: [expires], value: [A, 23 023 2020 11:52:52 GMT]

< HTTP/2 200
HTTP/2 200
< server: nginx
server: nginx
< date: Fri, 23 Aug 2019 06:52:35 GMT
date: Fri, 23 Aug 2019 06:52:35 GMT
< content-type: text/css; charset=utf-8
content-type: text/css; charset=utf-8
< content-length: 436145
content-length: 436145
< cache-control: max-age=31536000
cache-control: max-age=31536000
< content-disposition: attachment; filename="OWcRyGLYVEKHSrySdZKMswJJ.css"
content-disposition: attachment; filename="OWcRyGLYVEKHSrySdZKMswJJ.css"

<
/*press-1.0*/

[oleg9301@…]

Добавил файл header_expires, смотреть в оргинале, т.к. trac сьедает спецсимволы.

[oleg9301@…]

Заработало после добавления
proxy_hide_header Expires;

Похоже что в движке chrome по разному обрабатываются ошибки в header expires для http1.1 и http2.
Nginx просто передает то, что ему пришло на вход, в этом ошибки нет.

[Sergey Kandaurov]

Раз proxy_hide_header помогает, то проблема скорее всего где-то в отдаваемых заголовках на стороне бекенда. По хорошему надо разбираться, что именно отдаёт бекенд и в каком виде это уходит клиенту.