ファイアウォールレベルでHTTP/2をブロックする

Question

ブラウザでHTTP/1をhttps内のプロトコルとして使用するようにするには、HTTP/2の使用をブロックするのに問題があります。 TLS MITMの問題は解決されていません.NFQUEUEのようなusermodeパケットフィルタリングは、処理オーバーヘッドに応じて最大で考慮されることがあります。

ALPN RFCを読むと、ALPNが含まれているClientHelloが表示されているときにアラート応答を提供するか接続を切断するかは不明です。http/2はALPNなしでブラウザを再試行します。

私が正しく理解していれば、ClientHelloを変更するとそのパケットのMACが無効になるため、サーバがServerHelloで応答するときにチェックサムエラーが発生するため、ClientHelloの変更は問題になりません。

ブロックハンドシェイクの動作はw.r.tです。 ALPNはTLSバージョンフォールバックの処理と同じです（TLS_FALLBACK_SCSV？

EDIT：opensslのt1_lib.cによると、サーバがALPNを知らない場合、それは無視されます。したがって、サーバがALPNを含むClientHelloに対してAlertを返す場合は、おそらくTLS1.2をサポートしていないためです。クライアントに「警告」以外の「ALPNなしで再試行してください」というクライアントへの通知方法はありませんTLS1.1を試してみてください。

Answer 1

TLSを介したHTTP/2は、ALPNによってネゴシエートされます。

ブラウザは、サポートしていることをサーバーに通知します。

HTTP/2を使用したくない場合は、ALPN経由でネゴシエートできるプロトコルの1つとしてh2がないようにサーバー構成を変更するだけです。

ALPNネゴシエーションはHTTP/1.1に戻り、クライアントはHTTP/1.1を使用します。