HTTP/2 引入了二進制分幀層，將 HTTP/1.1 中的請求和響應拆成顆粒度更細的幀(frame)，從而實現了優先級、流量控制和 Server Push 等功能;HTTP/2 在單條 TCP 連接上可以打開多個流，從而實現了多路復用;HTTP/2 使用靜態字典、動態字典以及哈夫曼編碼，對請求 / 響應頭部進行壓縮。總之，HTTP/2 從協議層面解決了 HTTP/1.1 的諸多問題。

在我之前寫的文章里，我介紹了如何通過 ngrok 讓內網 WEB 在其它網絡環境中能夠被訪問。本文要實現的服務與 ngrok 類似，我把它稱之為 Pangolin，中文是穿山甲的意思(名字來自于同事的類似項目，在此表示感謝)。Pangolin 客戶端和服務端之間的報文轉發，是用 node-http2 這個 Node.js 模塊提供的 HTTP/2 服務來實現的。

Pangolin 的需求來自于本博客用戶評論(via)。實際上，能實現類似功能的軟件很多，有使用私有協議進行轉發的，有使用 WebSocket 進行轉發的。而我認為 HTTP/2 應該是個不錯的選擇，打算試一下。最終我花了一個小時實現了一個初步能用的版本，除開 node-http2，全部代碼不超過 200 行。代碼我放在了 github 上，有興趣的同學可以玩一下。

下面簡單介紹它的原理，我畫了一張草圖：

最左側是最終用來訪問服務的瀏覽器，它可能位于公網，也可能位于其它內網;最右側是實際提供 WEB 服務的 HTTP Server，它位于內網。顯然，左側瀏覽器沒辦法直接訪問右側 WEB 服務，只能借助公網節點作為橋梁。中間的 pangolin 服務端運行在公網節點上;Pangolin 客戶端運行在與 WEB 服務同臺機器或者同一網段內。

瀏覽器發起請求后，請求報文沿著綠色箭頭從左到右流動，每個節點都相當于左側相鄰節點的 HTTP Server。***的問題出現在 Pangolin 服務端和客戶端之間：客戶端位于內網，正常情況下 Pangolin 服務端連不上客戶端提供的 HTTP Server。

這個問題我用了一個取巧的辦法解決：由于 Pangolin 服務端有公網 IP，可以開啟 TCP Server，客戶端可以通過 IP 和約定的端口與服務端建立 TCP 連接。那么只要稍微改造一下 node-http2 的代碼，使它可以基于指定 socket 創建 HTTP/2 Server、發送 HTTP/2 Request，就可以打通所有節點了。這個問題解決后，左側的請求可以順利到達右側，響應數據也可以沿著之前的連接逐級返回。

Pangolin 服務端和客戶端內部之間使用 HTTP/2，可以大幅提高性能，降低程序復雜性;對外使用 HTTP/1.1，保證了與已有系統的兼容性。

為了實現內網穿透，Pangolin 需要做以下準備工作：

Pangolin 服務端開啟 TCP Server;

Pangolin 客戶端啟動 TCP Client，與 Pangolin 服務端連接，得到 socket 長連接;

Pangolin 客戶端基于這個 socket 連接，開啟 HTTP/2 Server;

Pangolin 服務端開啟 HTTP/1.1 Server，等待瀏覽器來訪問;

實際的數據傳輸流程如下：

瀏覽器向 Pangolin 服務端發起請求(HTTP/1.1);

Pangolin 服務端基于已有 socket，向 Pangolin 客戶端發起請求(HTTP/2);

Pangolin 客戶端向內網 WEB 服務發起請求，得到響應(HTTP/1.1);

Pangolin 客戶端基于已有 socket，將響應返回給 Pangolin 服務端(HTTP/2);

Pangolin 服務端將響應返回給瀏覽器(HTTP/1.1);

由于 Pangolin 客戶端采用了 HTTP 轉發，而不是 TCP 隧道，所以可以輕松實現 ngrok 那樣的管理界面，用來查看完整的 Request/Response 信息。目前我還只是簡單地打印了請求日志。

HTTP/2 協議本身并沒有規定它必須基于 TLS 部署，沒有安全層的 HTTP/2 被稱之為 h2c(HTTP/2 Cleartext)。目前來看，所有瀏覽器都不打算支持 h2c。但如果一個系統的某些環節對安全沒有那么高的要求，或者已經通過了其它方案確保了安全，部署 h2c 也是一個非常好的選擇。現在很多 HTTP/2 工具和類庫同時支持 h2 和 h2c，node-http2 也是如此。

實際上，我為了測試方便，在實現 pangolin 時也選擇了 h2c。通過 Wireshark 抓包可以看出，HTTP/2 層下面直接就是 TCP 層：