HTTP/2 Rapid Reset历史复盘：为什么连接数低也可能压垮服务

本文复盘的是2023年披露的HTTP/2 Rapid Reset事件，不是当天出现的新漏洞。它对应CVE-2023-44487。这个案例对高防CDN和源站运维的启示是：少量连接也可能承载大量协议处理工作，单看连接数或带宽，可能错过应用层资源压力。

事件改变了哪种防守假设

Google在2023年10月10日的技术说明介绍了利用HTTP/2流快速创建与取消造成服务端负担的方式。连接仍可保持，而服务端已经为请求投入了部分工作。这解释了为什么“同时保持的连接不多”不能直接推导出“处理成本很低”。

协议允许正常客户端取消不再需要的请求，取消行为本身不等于攻击。防守要结合速率、资源消耗、实现方式和合法业务表现判断，不能见到取消就把所有用户封禁。

先找出谁在终止HTTP/2

将链路列成访客、边缘服务、负载均衡、反向代理和应用几段，逐段确认实际使用的协议。访客到边缘使用HTTP/2，不代表边缘到源站也使用相同协议；某段被保护，也不代表旁路域名或直接入口自动获得相同处理。

这是建议的资产与修复记录表，不表示这些组件在某个具体客户环境中均存在问题。风险判断要落到实际部署条件和供应商说明。

补丁记录需要对应运行实例

微软当年的响应说明涉及IIS、Kestrel及Windows等实现的缓解更新。不同组件有不同修复与配置要求，应查所用版本的当前维护文档，不能将一家的开关当作通用配置。

对于自管服务，记录更新前后版本、重启或重新部署结果，并确认流量已到达新实例。仅下载了补丁，或仅更新了构建镜像，都不能证明线上进程已替换。若发行版回移植修复，也要核对发行方公告，避免只比较上游版本字符串。

哪些观测能补足连接数的盲区

• 合法请求成功率与延迟：确认业务是否仍可用。
• 协议处理相关计数：在产品提供时观察流创建、取消和错误，而不臆造不存在的日志字段。
• 代理与应用资源：CPU、队列、活动连接和回源压力分别记录。
• 处理动作及时间线：把规则或版本变化与业务恢复对应起来。

若平台没有细粒度协议指标，应向供应商索取适用的诊断依据，再结合业务侧观测。不要把某份厂商报告中的攻击峰值当作自己购买套餐的能力，也不要用普通连通性测试宣称已验证抗攻击容量。

从历史事件形成可执行的维护任务

完成一份HTTP/2终止点清单、确认支持周期内的修复状态、检查绕过边缘的入口，并为合法业务保留回归用例。需要容量或防护演练时，在服务商约定的授权范围内安排，生产站点不应随意发送攻击负载。

NVD的对应记录可用于核对漏洞编号和关联公告。需要进一步定位压力发生在哪层时，可参照本站DDoS分层排查。高防CDN应与组件补丁、源站入口管理及业务恢复流程共同验收。

资料核对日期：2026年10月30日。本文由AI辅助整理，并依据文内原始资料核对；示例与建议流程不代表已执行的客户测试。产品配置和软件维护状态请以实施时的官方资料为准。