Это, в целом, правильное поведение. Вероятно скорость downgrade нужно повысить, но иначе никак.
Если у вас из-за DNS-провайдера или проблем в сети не работает HTTP/3, то чудес не бывает - можно только вернуться на более старую версию.
Реализован camouflage-режим.
На клиенте достаточно в upstream просто указать URL.
На сервере команда oc-server camouflage его включает, ключ генерируется псевдослучайно и его можно посмотреть в поле secret вывода команды show oc-server.