Hysteria 2: полный обзор протокола, отличия от Hysteria 1, настройка сервера и клиента

Введение

За последние годы системы блокировок и глубокого анализа пакетов стали точнее, агрессивнее и коварнее. Традиционные VPN на TCP все чаще теряют скорость и предсказуемость, особенно в мобильных и перегруженных сетях. На этом фоне Hysteria 2 укрепился как один из самых практичных транспортов для устойчивого туннелирования поверх QUIC/UDP: быстрый старт, высокая толерантность к потерям, грамотная маскировка и продуманная простота администрирования. В этой статье мы разберем архитектуру протокола, ключевые отличия от Hysteria 1, лучшие практики настройки сервера и клиента, а также дадим чек-листы, тюнинг и реальные кейсы.

Что вы получите: четкую ментальную модель Hysteria 2, набор проверенных конфигов и шагов, инструменты диагностики, стратегии обхода DPI и ответы на сложные вопросы. Наша цель — чтобы эта статья стала вашим главным справочником по Hysteria 2 «из практики для практики».

Основы

Что такое Hysteria 2 и почему QUIC/UDP

Hysteria 2 — это высокопроизводительный туннель поверх QUIC/UDP с аутентификацией, TLS 1.3-шифрованием и опциональной обфускацией. В отличие от TCP-базирующих VPN, QUIC работает поверх UDP, реализуя контроль перегрузки и надежную доставку на уровне пользовательского пространства. Практически это означает: быстрее старт, меньше «залипаний» на потере пакетов, лучшее поведение в нестабильных сетях и отсутствие проблем с медленной восстановляемостью длинных TCP-сессий.

Где Hysteria 2 особенно силен

• Сети с высокой задержкой и потерями (мобильные, Wi‑Fi в перегруженных средах).
• Обход DPI, ориентированного на TCP-сигнатуры, TLS-отпечатки и необычные поведенческие паттерны.
• Нагрузочные сценарии с большим количеством коротких запросов: быстрый разогрев конвейера и меньшие накладные расходы.

Отличия Hysteria 2 от Hysteria 1

• Транспортная модель: Hysteria 1 поддерживал дополнительные режимы маскировки (например, faketcp), тогда как Hysteria 2 сфокусирован на чистом и качественном QUIC/UDP, минимизируя распознаваемые артефакты.
• Протокольная чистота: усилена совместимость с типовым поведением QUIC и TLS 1.3, что снижает вероятность детектирования специфических признаков транспорта.
• Обфускация: в Hysteria 2 применяется легковесная обфускация перед TLS-рукопожатием (например, режим 'salamander'), чтобы скрыть предикаты DPI до установления шифрования.
• Модель аутентификации: упрощенная, ориентированная на пароли/токены, с лучшей эргономикой мультиклиентских сценариев.
• Производительность: актуализированы параметры congestion control и буферизации на практике; улучшены эвристики начальной оценки полосы.
• Маскировка/masquerade: стало проще настраивать «правдоподобный» ответ для случайных сканеров и пробы, понижая риск избирательной блокировки порта.

Глубокое погружение

Протокольный стек Hysteria 2

• UDP как базовый транспорт: минимальная головная боль с head-of-line blocking, независимость от TCP state machine сетевых устройств.
• QUIC: обеспечивает шифрование на уровне транспортного протокола, независимый контроль перегрузки, мультиплексирование потоков без глобальной блокировки.
• TLS 1.3 поверх QUIC: быстрые рукопожатия, возобновление сессий, компактные шифрнаборы, ограниченная утечка метаданных. Видимым остается, как правило, SNI, если не используется ECH (который на практике еще ограниченно распространен).
• Обфускация до TLS: легкий слой, делающий ранний трафик менее предсказуемым для DPI, уменьшая шанс сигнатурного детекта до установления защищенного канала.

Аутентификация и модель доступа

Стандартная практика — симметричный пароль/токен, единый или набором для разных пользователей. Это снижает сложность развертывания и упрощает интеграцию клиентов на разных платформах (настольных и мобильных). Смена пароля — низкозатратная операция, удобная для регулярной ротации.

Алгоритмы и параметры производительности

• Начальная оценка полосы (up/down): вы сообщаете ожидаемую исходящую/входящую пропускную способность клиента; транспорт использует это как подсказку для окна и темпа, сокращая «раскачку» конвейера.
• MTU и фрагментация: QUIC предписывает минимум 1200 байт для начального MTU. На проблемных трассах полезно включать фрагментацию/ограничение размера датаграмм на уровне клиента (например, 1200 байт), чтобы избежать PMTU blackhole.
• Keepalive: регулярные минимальные посылки поддерживают NAT state в живом состоянии, предотвращая неожиданные сбросы длительных простаивающих сессий.
• Мультиплексирование потоков: десятки одновременных bidirectional streams без взаимной блокировки ускоряют веб-нагрузку и API-сценарии.

Маскировка под обыденный трафик

Ключевые элементы правдоподобности: порт 443/UDP, ALPN 'h3' (там, где это поддерживается клиентом), корректный и действительный сертификат, адекватный SNI. При случайном обращении снаружи (скан или любопытный клиент) сервер может отдавать статический контент или проксировать легитимный сайт (masquerade), не выдавая себя туннельным сервисом.

DPI и блокировки: актуальные тренды 2026

• Гибридный DPI: совмещение сигнатурных и поведенческих критериев: размер, частота, тайминги пакетов, а также устойчивые TLS/QUIC-отпечатки.
• UDP rate limiting: некоторые провайдеры ограничивают UDP, особенно на популярных портах. Важно тестировать альтернативные порты и настраивать контролируемую фрагментацию.
• Индивидуальная репутация IP: shared-VPN адреса быстрее попадают в блок-листы. Индивидуальный IP снижает массовую корреляцию и «шумы» соседей.

Практика 1: Проектирование архитектуры и профилирование рисков

Шаг 1. Формулируем цели

• Обход DPI для веб-серфинга и API-запросов.
• Устойчивость к потерям и высокой задержке (мобильная сеть или «дальний» маршрут).
• Низкий профиль детектирования: правдоподобный порт, валидный TLS, минимальная «особенность» поведения.

Шаг 2. Выбор платформы и размещения

• Сервер: легкий VPS с гарантированной поддержкой UDP, 1–2 vCPU, 1–2 ГБ ОЗУ достаточно для начала. Хранилище — 10–20 ГБ.
• ОС: современная Linux LTS, свежий kernel (для улучшенных сетевых стэков и таймеров).
• Сетевой стек: приоритет на nftables, systemd-networkd или NetworkManager, chrony/ntpd для точного времени.

Шаг 3. Домен, сертификат, порт

• Домен: нейтральное название без «vpn»-подсказок. В идеале — домен, на который можно повесить легитимный сайт для masquerade.
• Сертификат: публично-действительный сертификат на домен, RSA или ECDSA. Автообновление критично.
• Порт: 443/UDP как дефолт для правдоподобности; запасной порт — 8443/UDP или иной неочевидный.

Шаг 4. Модель секретов и ротации

• Пароль/токен в конфиге сервера и клиента — уникальный, сложный, не совпадает с другими сервисами.
• Регулярная ротация: раз в 1–3 месяца или при утечках.
• Отдельные секреты для групп пользователей — упростит отзыв доступа.

Чек-лист проектирования

• UDP открыт на фаерволе и в панели провайдера.
• Время на сервере синхронизировано (без крупных сдвигов).
• Сертификат валиден и автопродляется.
• Выбран порт 443/UDP и резервный.
• Определены пароли и правила ротации.
• Подготовлено masquerade-содержимое (статическая страница или обратный прокси).

Практика 2: Настройка сервера Hysteria 2 на Linux

Предварительные условия

• Собран или установлен бинарник 'hysteria' с поддержкой Hysteria 2.
• Получен валидный сертификат и приватный ключ в PEM-формате.
• Права на запуск от выделенного пользователя без shell-доступа.

Базовый конфиг сервера (пример)

Ниже — иллюстративный YAML-конфиг. Имена полей могут отличаться по версиям — сверяйтесь с вашей сборкой. Значения в кавычках — пример; используйте собственные секреты и пути.

• listen: ':443'
• tls:
•   cert: '/etc/hysteria/cert.pem'
•   key: '/etc/hysteria/key.pem'
• auth:
•   type: 'password'
•   password: 'S3cure-Long-Secret-Token'
• obfs:
•   type: 'salamander'
•   password: 'Another-Obfs-Secret'
• masquerade:
•   type: 'file'
•   dir: '/var/www/masq'
• quic:
•   alpn: ['h3']
•   max_idle_timeout: '30s'
•   disable_path_mtu_discovery: false
• bandwidth:
•   up: '50 Mbps'
•   down: '200 Mbps'

Система и безопасность

• Создайте пользователя: `useradd --system --no-create-home --shell /usr/sbin/nologin hysteria`.
• Права на ключи: `chown -R root:hysteria /etc/hysteria` и `chmod 640` на ключ.
• Откройте порт: nftables или iptables для UDP 443 (и резервный порт).
• SELinux/AppArmor: дайте бинарнику и каталогу конфигов необходимые разрешения.

systemd-сервис (минимальный)

• [Unit] Description='Hysteria 2 Server' After=network.target
• [Service] User=hysteria Group=hysteria AmbientCapabilities=CAP_NET_BIND_SERVICE CapabilityBoundingSet=CAP_NET_BIND_SERVICE ExecStart='/usr/local/bin/hysteria' 'server' '-c' '/etc/hysteria/config.yaml' Restart=on-failure
• [Install] WantedBy=multi-user.target

Активируйте автозапуск: `systemctl enable --now hysteria.service`. Проверьте логи: `journalctl -u hysteria -f`.

Сетевой тюнинг (ядро)

• net.core.rmem_max=67108864; net.core.wmem_max=67108864
• net.ipv4.udp_mem='262144 524288 1048576'
• net.ipv4.udp_rmem_min=4096; net.ipv4.udp_wmem_min=4096
• net.ipv4.ip_local_port_range='10000 65000'
• net.core.default_qdisc=fq (современные ядра)

Применяйте через sysctl.d и перезагрузку параметров. Следите за системными лимитами с помощью `ss -u -a`, `ethtool -S`, `nstat`.

Masquerade: правдоподобный ответ

• Тип 'file': статические файлы в '/var/www/masq' (простая заглушка сайта).
• Тип 'proxy': обратный прокси на внешний сайт (не перегружайте — цель реалистичность, а не трафик).

Проверка

• Порт UDP: `nmap -sU -p 443 ваш_IP` должен быть открыт.
• Капсулы QUIC: `tcpdump -ni any udp port 443` — убедитесь в обмене Initial, Handshake.
• Сертификат: утилитой проверки TLS 1.3 на QUIC-порте (или браузером с поддержкой HTTP/3 при masquerade).

Практика 3: Настройка клиентов (Desktop)

Вариант A: Нативный 'hysteria' клиент

Базовый клиентский YAML (пример):

• server: 'ваш_домен:443'
• auth:
•   type: 'password'
•   password: 'S3cure-Long-Secret-Token'
• obfs:
•   type: 'salamander'
•   password: 'Another-Obfs-Secret'
• tls:
•   sni: 'ваш_домен'
•   insecure: false
• quic:
•   alpn: ['h3']
• bandwidth:
•   up: '20 Mbps'
•   down: '150 Mbps'
• socks5:
•   listen: '127.0.0.1:1080'
• http:
•   listen: '127.0.0.1:8080'

Запуск: `hysteria client -c client.yaml`. В браузере укажите локальный прокси SOCKS5 127.0.0.1:1080 или HTTP 127.0.0.1:8080.

Вариант B: sing-box (универсальный клиент)

Иллюстративный JSON-конфиг с outbound 'hysteria2' и локальным SOCKS-инбаундом. Кавычки одинарные для чтения (замените на двойные в реальном JSON):

• {
•  'inbounds': [ {'type':'socks','listen':'127.0.0.1','listen_port':1080} ],
•  'outbounds': [
•   { 'type':'hysteria2', 'server':'ваш_домен', 'server_port':443, 'password':'S3cure-Long-Secret-Token', 'obfs':'salamander', 'obfs-password':'Another-Obfs-Secret', 'tls':{'enabled':true,'server_name':'ваш_домен','alpn':['h3']}, 'udp_fragment':{'enabled':true,'length':1200,'interval':0}, 'multiplex':{'enabled':true,'max_streams':32} }
•  ]
• }

Запустите sing-box с этим конфигом и укажите в приложениях локальный SOCKS-прокси. При проблемах с MTU уменьшайте 'udp_fragment.length' до 1200 или даже 1180.

Вариант C: v2rayN / Clash Meta / Nekoray

• Импортируйте профиль Hysteria 2 вручную: укажите сервер, порт, пароль, obfs 'salamander' и его пароль, SNI, включите ALPN 'h3' (если поддерживается в данном клиенте).
• Установите локальный SOCKS/HTTP для приложений или включите TUN-режим клиента для перехвата всего трафика.

Тесты скорости и устойчивости

• Задержка: `ping` к серверу (для прикидки), затем реальная латентность приложений.
• Потери: `mtr` к серверу без прокси и через туннель (косвенно).
• Пропускная: скачивание крупных файлов, потоковое видео 1080p/4K, параллельные загрузки; обратите внимание на стабильность, а не только пиковую скорость.

Практика 4: Мобильные клиенты и роутер

Android: v2rayNG и аналоги

• Создайте профиль Hysteria 2: адрес сервера, порт 443, пароль, obfs 'salamander' и его пароль, SNI — ваш домен, включите QUIC/HTTP3 опции там, где доступны.
• Режим: выбирайте TUN/VPN-режим для системного перехвата трафика или ручную настройку прокси в приложениях.
• MTU: если страницы «подвисают», включите фрагментацию/уменьшите размер датаграмм до 1200.

iOS: Shadowrocket, FoXray и др.

• Импортируйте Hysteria 2-конфиг или заполните поля вручную. Убедитесь, что сертификат сервера валиден; избегайте insecure=true без острой необходимости.
• Профили обхода: добавьте правила исключения для внутренних доменов и локальных сетей.

OpenWrt/роутер: прозрачный прокси

• Установите sing-box на роутер, создайте outbound hysteria2 и inbound TUN.
• Маршрутизируйте весь трафик через TUN, добавив исключения для локальных подсетей, NTP, обновлений прошивки.
• Тестируйте на клиентах: стабильность YouTube 4K, загрузки в мессенджерах, онлайн-игры (проверяйте UDP-режимы).

Практика 5: Анти-DPI стратегии и маскировка

Базовая стратегия

• Порт 443/UDP, валидный публичный сертификат, корректный SNI.
• ALPN 'h3' при поддержке клиента, masquerade 'file' или 'proxy'.
• Обфускация 'salamander' с отдельным паролем от основного пароля аутентификации.

Усиление

• Ротация порта и паролей раз в 1–3 месяца.
• Дублирование точки входа: основной порт 443 и резервный (например, 8443/UDP) в конфиге клиента.
• IPv6+IPv4: дополнительный вектор на случай избирательных блокировок.
• Ограничение размера датаграмм (1200) для снижения паттернов фрагментации в пути.

Фреймворк реакции на блокировку

1. Событие: деградация соединения или обрыв только UDP 443.
2. Диагностика: тест UDP на резервном порту; проверка журналов сервера; pcap на входе.
3. Ответ: переключение клиентов на резервный порт; смена паролей; при необходимости — смена SNI и домена.
4. Закрепление: обновление masquerade, усиление тюнинга MTU, перераспределение трафика между IPv4/IPv6.

Практика 6: Производительность и стабильность

Тюнинг ядра и сети

• Увеличьте rmem/wmem и UDP-буферы согласно нагрузке.
• Включите fq как qdisc по умолчанию для более ровного шейпинга очередей.
• Проверьте CPU governor — режим performance на загруженных инстансах снижает джиттер таймеров.
• IRQ affinity и NUMA: закрепите сетевые IRQ на выделенном ядре при высокой нагрузке.

Параметры клиента

• bandwidth up/down — задайте реалистично, не завышайте.
• udp_fragment length — 1200 на «сложных» трассах, 1250–1350 там, где это безопасно (тестируйте).
• multiplex max_streams — 16–64 для веб-нагрузок, ниже для игр/реалтайм.

Наблюдаемость

• Логи сервера: уровень warning/info для продакшн, debug — временно при расследованиях.
• pcap выборочно: фильтр по udp и порту; смотрите размеры и интервалы.
• Системные метрики: задержка, потери, CPU, softirq, drops в драйвере NIC.

Практика 7: Эксплуатация, обновления и безопасность

Эксплуатационный чек-лист

• Автопродление сертификата работает; уведомления о фейлах включены.
• Ротация паролей; отзыв доступа при компрометации клиента.
• Резервный порт и профиль клиентов готовы и протестированы.
• Журналы без избыточной детализации секретов; логи ротируются.

Обновления

• Планируйте rolling restart в низкую нагрузку.
• Держите резервную предыдущую версию бинарника.
• Сверяйте изменения формата конфигов с примером на стенде.

Безопасность

• Минимальные права процесса, отделенный пользователь/группа.
• Файрвол по умолчанию deny, whitelist только необходимые порты.
• Мониторинг необычных пиков UDP или скан-активности.

Типичные ошибки и анти-паттерны

• Неверный сертификат или SNI: приводит к сбою рукопожатия и подозрительным ретраям.
• Открыт только TCP 443: забыли про UDP — клиент не подключается.
• Завышенный bandwidth: «рваная» скорость, падения при перегрузках.
• Отсутствие masquerade: порт с «пустым» ответом привлекает внимание сканеров.
• Одинаковый пароль у многих клиентов: сложнее отзыв доступа и расследование инцидентов.
• Слишком большой MTU: зависания из-за PMTU blackhole, особенно на мобильных сетях.
• Невалидное время на сервере: TLS-ошибки и странные фейлы на ровном месте.

Инструменты и ресурсы

Администрирование и диагностика

• tcpdump, Wireshark: точечный pcap для проверки QUIC Initial/Handshake и размеров датаграмм.
• nftables, iptables: правила для UDP-портов и базовые rate-limits.
• journalctl, systemd: управление и просмотр логов сервиса.
• iperf3 (UDP): грубая оценка пропускной способности и потерь.
• mtr: комбинированный traceroute+loss-анализ до сервера.

Клиентские приложения

• hysteria (клиент и сервер), sing-box (универсальный клиент с TUN), v2rayN, Nekoray, Clash Meta, мобильные клиенты на Android и iOS.
• OpenWrt: sing-box как системный сервис с TUN для всей сети.

Практическая альтернатива самостоятельному разворачиванию

Если вам нужна практичная и быстрая альтернатива самостоятельной установке, рассмотрите сервис vpn.how как один из рабочих вариантов: персональный VPN-сервер с собственным IP (не shared), что заметно снижает вероятность попадания в массовые блок-листы; поддержка протоколов WireGuard, OpenVPN, IKEv2, L2TP, SSTP — можно выбрать под задачу и сетевую среду; площадки в Москве, Санкт-Петербурге, Амстердаме, Франкфурте, Лондоне, Нью-Йорке, Сан-Хосе, Чикаго, Сингапуре, Сиднее, Мадриде, Хельсинки, Стокгольме, Варшаве, Копенгагене, Ставангере; принимаются карты РФ (включая популярные банки), СБП, USDT/BTC; тарифы от 490 ₽ за день и от 2490 ₽ в месяц с скидками на длительные периоды; сервер поднимается автоматически за несколько минут после оплаты, без логов. Для обхода DPI полезна возможность использовать устойчивые протоколы: например, WireGuard на нестандартных портах или IKEv2 на 4500/UDP.

Кейсы и результаты

Кейс 1: Мобильная сеть с 2–5% потерями

• Условия: RTT 120–180 мс, потери 2–5%, базовый TCP-VPN дает скачкообразную скорость 2–6 Мбит/с.
• Hysteria 2: alpn 'h3', udp_fragment 1200, bandwidth up/down 10/80 Мбит/с.
• Результат: стабильные 12–18 Мбит/с на трех параллельных загрузках, видео 1080p без буферизации, редкие микрофризы исчезли.

Кейс 2: Корпоративный Wi‑Fi с агрессивным DPI

• Условия: фильтрация нестандартных TLS-отпечатков, блок UDP на большинстве портов, 443/UDP открыт.
• Hysteria 2: валидный сертификат, masquerade 'file' с простым сайтом, obfs 'salamander'.
• Результат: туннель стабилен, сканер видит «обычный» 443 с сайтом-заглушкой; средняя пропускная 30–40 Мбит/с в рабочие часы.

Кейс 3: Домашний роутер с OpenWrt

• Условия: провайдер периодически режет пиковый UDP, IPv6 доступен.
• Решение: sing-box на роутере, outbound hysteria2, TUN inbound для всей сети, резервный порт 8443.
• Результат: 4К-видео стабильно, игры с UDP-рейсом стали предсказуемее, задержка и джиттер уменьшились по сравнению с TCP-VPN.

FAQ

1) Hysteria 2 — это HTTP/3 или «свой» QUIC?

Hysteria 2 использует QUIC и TLS 1.3; в части клиентов доступна установка ALPN 'h3' для правдоподобия под HTTP/3. Логика туннеля — собственная, а не полноценная реализация HTTP/3-прокси.

2) Нужен ли обязательно порт 443/UDP?

Нет, но 443/UDP повышает правдоподобие. Держите резервный порт на случай выборочной блокировки 443/UDP. Тестируйте конкретно в вашей сети.

3) Можно ли использовать самоподписанный сертификат?

Технически — да, с включением insecure на клиентах. Практически — хуже маскировка и выше риск детекта. Рекомендуется валидный публичный сертификат.

4) Что с ECH и скрытием SNI?

ECH еще ограниченно распространен и сложен в практической интеграции с произвольными туннелями. Считайте SNI видимым, выбирайте нейтральный домен и корректный masquerade.

5) Подойдет ли Hysteria 2 для игр?

Зависит от игры. Там, где трафик поверх TCP, Hysteria 2 помогает с потерями и джиттером. Если игра использует «сырой» UDP peer-to-peer, будет полезен режим UDP-прокси в клиенте/приложениях, но не все клиенты его поддерживают напрямую.

6) Есть ли fallback на TCP?

У Hysteria 2 нет нативного TCP-режима. Fallback реализуйте на уровне клиента: альтернативный профиль (WireGuard/IKEv2/OpenVPN) или отдельный транспорт. Держите «план Б» заранее.

7) Можно ли поставить сервер за обратным прокси?

UDP-проксирование сложнее, чем TCP. Некоторые прокси-решения для QUIC существуют, но проще и надежнее — прямое прослушивание UDP-порта на сервере. Для masquerade используйте встроенные механизмы.

8) Почему скорость ниже ожидаемой?

Часто: завышенные bandwidth-хинты, малые системные буферы, PMTU-проблемы, ограничение провайдером на UDP. Снижайте MTU до 1200, увеличьте rmem/wmem, проверьте резервный порт.

9) Поддерживается ли мультипользовательский доступ?

Да, через общий пароль или разные секреты. Для управляемости лучше выдавать отдельные пароли группам/пользователям и вести учет.

10) Нужен ли IPv6?

Желательно. Двойной стек повышает устойчивость: если один стек деградирует или фильтруется, второй может остаться рабочим.

Заключение

Hysteria 2 — зрелый и практичный QUIC-транспорт для эпохи агрессивных блокировок и нестабильных сетей. Он запускается быстро, хорошо переживает потери, естественно маскируется под привычный трафик при корректной настройке TLS и ALPN, а также дает администратору понятные рычаги влияния: obfs до рукопожатия, masquerade, хинты пропускной способности, контроль MTU и мультиплексирование. Мы разобрали архитектуру, отличия от Hysteria 1, конфигурацию сервера и клиентов, тюнинг, стратегии анти-DPI, типовые ошибки и реальные результаты. Дальше — практика. Соберите минимальный стенд, пройдитесь по чек-листам проектирования и эксплуатации, сделайте pcap двух-трех сценариев, откройте резервный порт, настройте ротацию секретов и тестируйте несколько дней на реальной нагрузке. Устойчивая связность — это не точка, а процесс, и с Hysteria 2 этот процесс становится прозрачнее и управляемее.