Настройка на Hysteria2 и TUIC

Днес VPN и прокси технологиите са все по-търсени. Потребителите ги използват за сигурен достъп до интернет, заобикаляйки цензурата и защитавайки от външни заплахи. Когато се свържете с такъв сървър, целият ви трафик преминава през криптиран тунел и сървърът се превръща във вашия вход към мрежата.

Класическите протоколи като OpenVPN или WireGuard се представят добре при стабилни условия, но често страдат от спадове на скоростта при лоши връзки с висока загуба на пакети (мобилни мрежи, обществени Wi-Fi, страни със строга цензура). Тук се намесват съвременните протоколи като Hysteria2 и TUIC. Те са изградени върху QUIC, предлагайки висока скорост, ниска латентност и ефективно обфускация на трафика, както обикновеният HTTPS (HTTP/3).

Hysteria2 използва алгоритъма "Brutal", който агресивно използва наличната честотна лента. TUIC (версия 5) се характеризира с минимални режийни разходи, отлична UDP поддръжка и установяване на връзка с 0-RTT.

В тази статия ще разгледаме настройката на сървъра на Ubuntu/Debian и свързването от Windows.

Какво ви е необходимо: VPS с Ubuntu 22.04/24.04 или Debian 12, root достъп и IP адрес на сървъра. Не се изисква домейн.

Свързване към сървъра

Windows (PuTTY): отворете PuTTY, въведете YOUR_SERVER_IP като хост, 22 като порт и влезте като root с паролата от имейла на вашия VPS доставчик.

Linux/macOS (терминал):

ssh root@YOUR_SERVER_IP

Всички команди по-долу се изпълняват на сървъра, в същата тази сесия.

Подготовка на сървъра (Ubuntu / Debian)

Активиране на пренасочване на IP

Това позволява на сървъра да препраща клиентските пакети по-нататък към интернет.

nano /etc/sysctl.conf

Въведете или създайте парола (използвайте само английски букви и цифри, без интервали).

Намерете и разкоментирайте (премахнете # в началото) или добавете следния ред:

net.ipv4.ip_forward=1

Запазете файла (Ctrl+O, Enter) и излезте (Ctrl+X). Приложете промените без рестартиране:

sysctl -p

NAT настройка (маскиране)

Тази настройка позволява на клиентите да имат достъп до интернет през вашия сървър, използвайки неговия IP адрес.

Разберете името на вашия външен мрежов интерфейс (този, който е обърнат към интернет):

ip link show

Обикновено това е eth0, ens3 или enp1s0. Копирайте го или го запомнете, след което добавете правилото за маскиране към iptables — заменете eth0 със собственото си име на интерфейс:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Запазване на правилата на iptables

За да предотвратите нулирането на правилата след рестартиране на сървъра, те трябва да бъдат запазени.

apt update
apt install iptables-persistent -y
netfilter-persistent save

По време на инсталацията може да видите подкана да запазите текущите правила за IPv4/IPv6 — отговорете с „Да“ и двата пъти.

Настройка на защитната стена (UFW)

Отваряме всички необходими портове веднага, така че няма нужда да се връщаме към тази стъпка по-късно: 22 за SSH (пропускането на това би ви блокирало от сървъра), 443/udp за Hysteria2 и 8443/udp за TUIC.

apt install ufw -y
ufw allow 22/tcp
ufw allow 443/udp
ufw allow 8443/udp
ufw --force enable
ufw status

Изходът на ufw status трябва да показва и трите правила като активни.

Истерия2

Инсталиране на Hysteria2 сървъра

chmod +x hysteria-linux-amd64
mv hysteria-linux-amd64 /usr/local/bin/hysteria
hysteria version

Уверете се, че изходът за версията се показва без грешки — това потвърждава, че двоичният файл работи правилно.

Създаване на самоподписан SSL сертификат

Нуждаем се от собствени ключове за криптиране, за да защитим трафика между вашия компютър и сървъра. Тъй като нямаме домейн, ще генерираме самоподписан сертификат, валиден 365 дни. Поради това ще трябва да активирате „Пропускане на проверката на сертификата“ в клиента по-късно.

mkdir -p /etc/hysteria
chmod 755 /etc/hysteria
 
openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /etc/hysteria/private.key \
  -out /etc/hysteria/cert.crt \
  -subj "/CN=YOUR_SERVER_IP"

ls -la /etc/hysteria/

Както cert.crt, така и private.key трябва да бъдат изброени.

Създаване на конфигурационния файл

nano /etc/hysteria/config.yaml

Поставете следното, като замените ВАШАТА_ПАРОЛА със собствената си парола (само английски букви и цифри, без интервали):

listen: :443
 
tls:
  cert: /etc/hysteria/cert.crt
  key: /etc/hysteria/private.key
 
auth:
  type: password
  password: "YOUR_PASSWORD"
 
masquerade:
  type: proxy
  proxy:
    url: https://cloudflare.com
    rewriteHost: true

Блокът за маскиране прави сървъра да изглежда като обикновен уебсайт, ако някой отвори IP адреса му в браузър, вместо да разкрива признаци на прокси.

Запазете (Ctrl+O, Enter) и излезте (Ctrl+X).

Настройване на автоматично стартиране

nano /etc/systemd/system/hysteria.service

Системният файл на модула за автоматично стартиране на Hysteria2. 

[Unit]
Description=Hysteria2 Server
After=network.target
 
[Service]
Type=simple
ExecStart=/usr/local/bin/hysteria server --config /etc/hysteria/config.yaml
Restart=on-failure
RestartSec=5
 
[Install]
WantedBy=multi-user.target
systemctl daemon-reload
systemctl enable --now hysteria.service
systemctl status hysteria.service

Статусът трябва да показва „активен“ (работи). Ако конзолата е „заседнала“ в изгледа на лога, натиснете Q, за да я излезете.

TUIC версия 5

Изтегляне и инсталиране на TUIC

mkdir -p /usr/local/sbin/tuic

Проверете наличните издания:

curl -s https://api.github.com/repos/tuic-protocol/tuic/releases | grep -Po '"tag_name": "\K[^"]*' | head -10

Изтеглете двоичния файл на сървъра — заменете текущия номер на версията с 1.0.0:

wget https://github.com/tuic-protocol/tuic/releases/download/1.0.0/tuic-server-1.0.0-x86_64-unknown-linux-gnu \
  -O /usr/local/sbin/tuic/tuic-server

chmod +x /usr/local/sbin/tuic/tuic-server
/usr/local/sbin/tuic/tuic-server --version

Създаване на самоподписан сертификат за TUIC

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /usr/local/sbin/tuic/privkey.pem \
  -out /usr/local/sbin/tuic/fullchain.pem \
  -subj "/CN=YOUR_SERVER_IP"
 
ls -la /usr/local/sbin/tuic/

Генериране на UUID

apt install uuid-runtime -y

uuidgen

Копирайте получения UUID — ще ви е необходим както в конфигурацията на сървъра по-долу, така и в настройките на клиента.

Създаване на конфигурационния файл

Готовият config.json файл за TUIC сървъра:

nano /usr/local/sbin/tuic/config.json
{
    "server": "[::]:8443",
    "users": {
        "YOUR_UUID": "YOUR_TUIC_PASSWORD"
    },
    "certificate": "/usr/local/sbin/tuic/fullchain.pem",
    "private_key": "/usr/local/sbin/tuic/privkey.pem",
    "congestion_control": "bbr",
    "alpn": ["h3"],
    "log_level": "warn"
}

Тук използваме порт 8443, защото 443 вече е зает от Hysteria2. Заменете YOUR_UUID със стойността от стъпка 4.3 и YOUR_TUIC_PASSWORD със собствената си парола.

Запазете (Ctrl+O, Enter) и излезте (Ctrl+X).

Тестване на ръчно стартиране

/usr/local/sbin/tuic/tuic-server -c /usr/local/sbin/tuic/config.json

Ако не се появят грешки, конфигурацията е валидна. Спрете я с Ctrl+C и преминете към настройване на автоматично стартиране.

Настройване на автоматично стартиране

nano /etc/systemd/system/tuic-server.service

[Unit]
Description=TUIC Server
After=network.target nss-lookup.target
 
[Service]
User=root
WorkingDirectory=/usr/local/sbin/tuic
ExecStart=/usr/local/sbin/tuic/tuic-server -c config.json
Restart=on-failure
RestartPreventExitStatus=1
RestartSec=5
 
[Install]
WantedBy=multi-user.target
systemctl daemon-reload
systemctl enable --now tuic-server.service
systemctl status tuic-server.service

Статусът трябва да показва активно (работи).

Сега два от най-добрите и най-бързи съвременни протоколи работят паралелно на сървъра, като и двата се маскират като обикновен QUIC/HTTPS трафик: Hysteria2 на стандартния порт 443/udp и TUIC v5 на порт 8443/udp.

Свързване от Windows

Инсталиране на Hiddify

Изтеглете и инсталирайте Hiddify за Windows от официалния уебсайт: https://hiddify.com. Кликнете върху инсталатора с „Напред“ / „Инсталиране“. Ако се появи Windows SmartScreen, изберете „Още информация“ → „Изпълни въпреки това“.

Профил на Hysteria2

Кликнете върху + (Нов профил) → „Ръчно въвеждане“ → протокол Hysteria2 и попълнете:

„Пропускане на проверката на сертификата“ трябва да бъде активирано, защото сертификатът е самоподписан — зад него не стои надежден сертифициращ орган.

TUIC v5 профил

Кликнете върху + (Нов профил) → „Ръчно въвеждане“ → протокол TUIC и попълнете:

Свързване и проверка

Изберете профил, след което щракнете върху големия кръгъл бутон „Свързване“. Статусът трябва да се промени на „Свързан“.

За да потвърдите, че трафикът действително се пренасочва през вашия сървър, отворете някоя услуга за проверка на IP адреси в браузъра си — показаният адрес трябва да съвпада с YOUR_SERVER_IP.

Заключение

С попълването на това ръководство ще имате два високоскоростни протокола от следващо поколение, работещи паралелно на вашия сървър: Hysteria2 на порт 443/UDP и TUIC v5 на порт 8443/UDP. И двата протокола маскират предавания трафик като стандартна криптирана QUIC връзка (HTTP/3), осигурявайки стабилна връзка дори при изключително нестабилни канали.

Конфигурираните профили могат да се използват не само в Windows, но и да се импортират в мобилното приложение Hiddify за Android или iOS с подобни настройки.

Ако срещнете затруднения с връзката, първо проверете състоянието на услугите, като използвате командата systemctl status hysteria.service (или tuic-server.service), уверете се, че правилата на защитната стена са активни (ufw status) и проверете отново дали IP адресът, UUID и паролите са въведени правилно. Моля, обърнете внимание: издадените самоподписани сертификати са валидни 365 дни, така че след точно една година те ще трябва да бъдат подновени, като използвате същата команда openssl req.