nginx容器在docker中正确支持http/3需同时映射tcp和udp的443端口，并在配置中启用listen 443 ssl http2;与listen 443 quic reuseport;、tlsv1.3及alt-svc头。

要在 Docker 中让 Nginx 容器正确支持 HTTP/3，关键不是“只映射 UDP 端口”，而是同时映射 TCP 和 UDP 的 443 端口，并确保容器内 Nginx 配置已启用 QUIC 监听。HTTP/3 依赖 QUIC 协议，而 QUIC 运行在 UDP 上，但 TLS 握手和 HTTP/2 流量仍需共存于同一域名和端口（443），所以必须双协议并行暴露。

必须映射的端口组合

运行容器时，需显式声明 TCP 和 UDP 两个 443 端口：

• TCP 443：承载 HTTPS + HTTP/2 流量，兼容所有旧客户端
• UDP 443：承载 QUIC 数据包，是 HTTP/3 的传输通道

命令示例：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

docker run -d \
  -p 80:80 \
  -p 443:443 \
  -p 443:443/udp \
  --name nginx-quic \
  nginx-quic

Nginx 配置中监听语句要完整

仅端口映射还不够，容器内 Nginx 的 server 块必须同时声明 TCP 和 UDP 监听，并启用 QUIC 参数：

• 写法必须包含 listen 443 ssl http2;（TCP）
• 以及 listen 443 quic reuseport;（UDP，reuseport 提升多核处理能力）
• 必须启用 TLS 1.3：ssl_protocols TLSv1.3;
• 必须返回 Alt-Svc 头告知浏览器支持 HTTP/3：add_header Alt-Svc 'h3=":443"; ma=86400';

验证是否生效的三步检查

容器启动后，别只看能否打开网页，要逐层确认：

• 查端口映射：docker port 应显示类似 443/tcp -> 0.0.0.0:443 和 443/udp -> 0.0.0.0:443
• 进容器查监听：docker exec -it ss -tuln | grep :443 应看到 tcp 和 udp 两行
• 用支持 HTTP/3 的工具测试：curl -I --http3 https://localhost 或浏览器开发者工具 Network 标签页查看 Protocol 列是否出现 h3

常见失败原因

即使配置都写了，也可能因以下原因导致 HTTP/3 不可用：

• 宿主机防火墙或云服务商安全组未放行 UDP 443（比 TCP 更容易被忽略）
• 使用的 Nginx 镜像未编译 --with-http_v3_module 和 BoringSSL/OpenSSL 3.0+ 支持
• 证书不满足 TLS 1.3 要求（如使用了 RSA-SHA1 签名或弱密钥）
• 客户端网络中间设备（如企业代理、老旧路由器）主动丢弃 UDP 443 包