Hysteria2 og TUIC-opsætning

I dag er VPN- og proxy-teknologier i stigende grad efterspurgte. Brugere bruger dem til sikker internetadgang, omgåelse af censur og beskyttelse mod eksterne trusler. Når du opretter forbindelse til en sådan server, bevæger al din trafik sig gennem en krypteret tunnel, og serveren bliver din gateway til netværket.

Klassiske protokoller som OpenVPN eller WireGuard fungerer godt under stabile forhold, men lider ofte af hastighedsfald på dårlige forbindelser med højt pakketab (mobilnetværk, offentlige Wi-Fi, lande med streng censur). Det er her, moderne protokoller som Hysteria2 og TUIC kommer i spil. De er bygget oven på QUIC og tilbyder høj hastighed, lav latenstid og effektiv trafikforvrængning som almindelig HTTPS (HTTP/3).

Hysteria2 anvender "Brutal"-algoritmen, som aggressivt udnytter den tilgængelige båndbredde. TUIC (version 5) er karakteriseret ved minimal overhead, fremragende UDP-understøttelse og etablering af 0-RTT-forbindelse.

I denne artikel gennemgår vi opsætning af serveren på Ubuntu/Debian og oprette forbindelse fra Windows.

Det skal du bruge: en VPS, der kører Ubuntu 22.04/24.04 eller Debian 12, root-adgang og serverens IP-adresse. Der kræves ikke et domæne.

Opretter forbindelse til serveren

Windows (PuTTY): åbn PuTTY, indtast YOUR_SERVER_IP som vært, 22 som port, og log ind som root med adgangskoden fra din VPS-udbyders e-mail.

Linux/macOS (terminal):

ssh root@YOUR_SERVER_IP

Alle kommandoer nedenfor køres på serveren i den samme session.

Serverforberedelse (Ubuntu / Debian)

Aktivér IP-videresendelse

Dette gør det muligt for serveren at videresende klientpakker videre til internettet.

nano /etc/sysctl.conf

Indtast eller opret en adgangskode (brug kun engelske bogstaver og tal, ingen mellemrum).

Find og fjern kommentaren (fjern # i begyndelsen) eller tilføj følgende linje:

net.ipv4.ip_forward=1

Gem filen (Ctrl+O, Enter) og afslut (Ctrl+X). Anvend ændringerne uden at genstarte:

sysctl -p

NAT-opsætning (maskering)

Denne indstilling giver klienter adgang til internettet via din server ved hjælp af dens IP-adresse.

Find navnet på din eksterne netværksgrænseflade (den der vender ud mod internettet):

ip link show

Normalt er dette eth0, ens3 eller enp1s0. Kopier eller husk det, og tilføj derefter maskeringsreglen til iptables — erstat eth0 med dit eget grænsefladenavn:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Gemmer iptables-regler

For at forhindre at reglerne nulstilles efter en servergenstart, skal de gemmes.

apt update
apt install iptables-persistent -y
netfilter-persistent save

Under installationen kan du muligvis se en meddelelse om at gemme de aktuelle IPv4/IPv6-regler — svar "Ja" begge gange.

Firewallopsætning (UFW)

Vi åbner alle de porte, vi skal bruge, med det samme, så der er ingen grund til at vende tilbage til dette trin senere: 22 til SSH (hvis dette springes over, bliver du låst ude af serveren), 443/udp til Hysteria2 og 8443/udp til TUIC.

apt install ufw -y
ufw allow 22/tcp
ufw allow 443/udp
ufw allow 8443/udp
ufw --force enable
ufw status

Outputtet fra ufw status bør vise alle tre regler som aktive.

Hysteri2

Installation af Hysteria2-serveren

chmod +x hysteria-linux-amd64
mv hysteria-linux-amd64 /usr/local/bin/hysteria
hysteria version

Sørg for, at versionsoutputtet vises uden fejl — dette bekræfter, at den binære fil fungerer korrekt.

Oprettelse af et selvsigneret SSL-certifikat

Vi har brug for vores egne krypteringsnøgler for at beskytte trafikken mellem din computer og serveren. Da vi ikke har et domæne, genererer vi et selvsigneret certifikat, der er gyldigt i 365 dage. Derfor skal du aktivere "Skip Cert Verification" i klienten senere.

mkdir -p /etc/hysteria
chmod 755 /etc/hysteria
 
openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /etc/hysteria/private.key \
  -out /etc/hysteria/cert.crt \
  -subj "/CN=YOUR_SERVER_IP"

ls -la /etc/hysteria/

Både cert.crt og private.key skal være angivet.

Oprettelse af konfigurationsfilen

nano /etc/hysteria/config.yaml

Indsæt følgende, og erstat YOUR_PASSWORD med din egen adgangskode (kun engelske bogstaver og tal, ingen mellemrum):

listen: :443
 
tls:
  cert: /etc/hysteria/cert.crt
  key: /etc/hysteria/private.key
 
auth:
  type: password
  password: "YOUR_PASSWORD"
 
masquerade:
  type: proxy
  proxy:
    url: https://cloudflare.com
    rewriteHost: true

Maskeradeblokken får serveren til at ligne en almindelig hjemmeside, hvis nogen åbner dens IP-adresse i en browser, i stedet for at afsløre tegn på en proxy.

Gem (Ctrl+O, Enter) og afslut (Ctrl+X).

Opsætning af automatisk start

nano /etc/systemd/system/hysteria.service

Systemd-enhedsfilen til Hysteria2 autostart. 

[Unit]
Description=Hysteria2 Server
After=network.target
 
[Service]
Type=simple
ExecStart=/usr/local/bin/hysteria server --config /etc/hysteria/config.yaml
Restart=on-failure
RestartSec=5
 
[Install]
WantedBy=multi-user.target
systemctl daemon-reload
systemctl enable --now hysteria.service
systemctl status hysteria.service

Statussen skal vise aktiv (kører). Hvis konsollen "sidder fast" i logvisningen, skal du trykke på Q for at afslutte den.

TUIC v5

Download og installation af TUIC

mkdir -p /usr/local/sbin/tuic

Tjek de tilgængelige udgivelser:

curl -s https://api.github.com/repos/tuic-protocol/tuic/releases | grep -Po '"tag_name": "\K[^"]*' | head -10

Download serverens binære fil — erstat 1.0.0 med det aktuelle versionsnummer:

wget https://github.com/tuic-protocol/tuic/releases/download/1.0.0/tuic-server-1.0.0-x86_64-unknown-linux-gnu \
  -O /usr/local/sbin/tuic/tuic-server

chmod +x /usr/local/sbin/tuic/tuic-server
/usr/local/sbin/tuic/tuic-server --version

Oprettelse af et selvsigneret certifikat til TUIC

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /usr/local/sbin/tuic/privkey.pem \
  -out /usr/local/sbin/tuic/fullchain.pem \
  -subj "/CN=YOUR_SERVER_IP"
 
ls -la /usr/local/sbin/tuic/

Generering af et UUID

apt install uuid-runtime -y

uuidgen

Kopier det resulterende UUID – du skal bruge det både i serverkonfigurationen nedenfor og i klientindstillingerne.

Oprettelse af konfigurationsfilen

Den færdige config.json til TUIC-serveren:

nano /usr/local/sbin/tuic/config.json
{
    "server": "[::]:8443",
    "users": {
        "YOUR_UUID": "YOUR_TUIC_PASSWORD"
    },
    "certificate": "/usr/local/sbin/tuic/fullchain.pem",
    "private_key": "/usr/local/sbin/tuic/privkey.pem",
    "congestion_control": "bbr",
    "alpn": ["h3"],
    "log_level": "warn"
}

Vi bruger port 8443 her, fordi 443 allerede er optaget af Hysteria2. Erstat YOUR_UUID med værdien fra trin 4.3 og YOUR_TUIC_PASSWORD med din egen adgangskode.

Gem (Ctrl+O, Enter) og afslut (Ctrl+X).

Test af manuel start

/usr/local/sbin/tuic/tuic-server -c /usr/local/sbin/tuic/config.json

Hvis der ikke vises nogen fejl, er konfigurationen gyldig. Stop den med Ctrl+C og gå videre til opsætning af autostart.

Opsætning af automatisk start

nano /etc/systemd/system/tuic-server.service

[Unit]
Description=TUIC Server
After=network.target nss-lookup.target
 
[Service]
User=root
WorkingDirectory=/usr/local/sbin/tuic
ExecStart=/usr/local/sbin/tuic/tuic-server -c config.json
Restart=on-failure
RestartPreventExitStatus=1
RestartSec=5
 
[Install]
WantedBy=multi-user.target
systemctl daemon-reload
systemctl enable --now tuic-server.service
systemctl status tuic-server.service

Statussen skal vise aktiv (kører).

Nu kører to af de bedste og hurtigste moderne protokoller parallelt på serveren, begge forklædt som almindelig QUIC/HTTPS-trafik: Hysteria2 på standardport 443/udp og TUIC v5 på port 8443/udp.

Forbinder fra Windows

Installation af Hiddify

Download og installer Hiddify til Windows fra den officielle hjemmeside: https://hiddify.com. Klik igennem installationsprogrammet med "Næste" / "Installer". Hvis Windows SmartScreen vises, skal du vælge "Mere info" → "Kør alligevel".

Hysteria2-profil

Klik på + (Ny profil) → "Manuel indtastning" → protokol Hysteria2 , og udfyld:

Skip Cert Verification skal aktiveres, fordi certifikatet er selvsigneret – der er ingen betroet certifikatmyndighed bag det.

TUIC v5-profil

Klik på + (Ny profil) → "Manuel indtastning" → protokol TUIC , og udfyld:

Tilslutning og verificering

Vælg en profil, og klik derefter på den store runde "Opret forbindelse"-knap. Statussen bør ændres til "Opret forbindelse".

For at bekræfte, at trafikken rent faktisk dirigeres gennem din server, skal du åbne en hvilken som helst IP-tjektjeneste i din browser — den viste adresse skal matche YOUR_SERVER_IP.

Konklusion

Ved at udfylde denne vejledning har du to hurtige næstegenerationsprotokoller, der kører parallelt på din server: Hysteria2 på port 443/UDP og TUIC v5 på port 8443/UDP. Begge protokoller skjuler den transmitterede trafik som en standardkrypteret QUIC-forbindelse (HTTP/3), hvilket sikrer en stabil forbindelse selv på ekstremt ustabile kanaler.

De konfigurerede profiler kan ikke kun bruges på Windows, men også importeres til Hiddify-mobilappen til Android eller iOS med lignende indstillinger.

Hvis du støder på forbindelsesproblemer, skal du først kontrollere tjenestestatusserne ved hjælp af systemctl status-kommandoen hysteria.service (eller tuic-server.service), sikre dig, at firewallreglerne er aktive (ufw status), og dobbelttjekke, at IP-adressen, UUID og adgangskoder er indtastet korrekt. Bemærk: Udstedte selvsignerede certifikater er gyldige i 365 dage, så efter præcis et år skal de fornyes ved hjælp af den samme openssl req-kommando.