Hysteria2 ja TUIC seadistamine

Tänapäeval on VPN- ja puhverserveritehnoloogiad üha nõutumad. Kasutajad kasutavad neid turvalise internetiühenduse loomiseks, tsensuurist möödahiilimiseks ja väliste ohtude eest kaitsmiseks. Sellise serveriga ühenduse loomisel liigub kogu teie liiklus läbi krüpteeritud tunneli ja serverist saab teie võrguvärav.

Klassikalised protokollid nagu OpenVPN või WireGuard toimivad stabiilsetes tingimustes hästi, kuid kannatavad sageli kiiruse languse all kehva ühenduse ja suure pakettakao korral (mobiilsidevõrgud, avalik WiFi, range tsensuuriga riigid). Siin tulevadki mängu tänapäevased protokollid nagu Hysteria2 ja TUIC. Need on ehitatud QUIC-i peale, pakkudes suurt kiirust, väikest latentsust ja tõhusat liikluse hägustamist nagu tavaline HTTPS (HTTP/3).

Hysteria2 kasutab "Brutal" algoritmi, mis kasutab agressiivselt ära olemasolevat ribalaiust. TUIC-i (versioon 5) iseloomustavad minimaalsed lisakulud, suurepärane UDP tugi ja 0-RTT ühenduse loomine.

Selles artiklis käsitleme serveri seadistamist Ubuntu/Debiani peal ja ühenduse loomist Windowsist.

Vaja läheb: Ubuntu 22.04/24.04 või Debian 12-ga VPS-i, juurjuurdepääsu ja serveri IP-aadressi. Domeeni pole vaja.

Ühendamine serveriga

Windows (PuTTY): avage PuTTY, sisestage hosti aadressiks YOUR_SERVER_IP, pordiks 22 ja logige sisse root-kasutajana oma VPS-pakkuja e-posti aadressilt saadud parooliga.

Linux/macOS (terminal):

ssh root@YOUR_SERVER_IP

Kõik allolevad käsud käivitatakse serveris samas seansis.

Serveri ettevalmistus (Ubuntu / Debian)

IP-edastuse lubamine

See võimaldab serveril kliendipakette edasi internetti edastada.

nano /etc/sysctl.conf

Sisesta või loo parool (kasuta ainult inglise tähestiku tähti ja numbreid, tühikuid pole).

Leidke ja eemaldage kommentaar (eemaldage alguses olev #) või lisage järgmine rida:

net.ipv4.ip_forward=1

Salvesta fail (Ctrl+O, Enter) ja välju (Ctrl+X). Rakenda muudatused ilma taaskäivitamiseta:

sysctl -p

NAT-i seadistamine (maskeerimine)

See säte võimaldab klientidel teie serveri IP-aadressi abil internetiga ühendust luua.

Uurige välja oma välise võrguliidese nimi (see, mis on internetiga ühendatud):

ip link show

Tavaliselt on see eth0, ens3 või enp1s0. Kopeeri või jäta see meelde ja lisa seejärel maskeerimisreegel iptable'i – asenda eth0 oma liidese nimega:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

IpTablesi reeglite salvestamine

Selleks, et reegleid pärast serveri taaskäivitamist ei lähtestataks, tuleb need salvestada.

apt update
apt install iptables-persistent -y
netfilter-persistent save

Installimise ajal võidakse kuvada viip kehtivate IPv4/IPv6 reeglite salvestamiseks – vastake mõlemal korral „Jah“.

Tulemüüri seadistamine (UFW)

Avame kohe kõik vajalikud pordid, seega pole vaja selle sammu juurde hiljem tagasi tulla: 22 SSH jaoks (selle vahelejätmine lukustaks teid serverist välja), 443/udp Hysteria2 jaoks ja 8443/udp TUIC jaoks.

apt install ufw -y
ufw allow 22/tcp
ufw allow 443/udp
ufw allow 8443/udp
ufw --force enable
ufw status

ufw status väljund peaks kõik kolm reeglit aktiivseteks kuvama.

Hüsteeria2

Hysteria2 serveri installimine

chmod +x hysteria-linux-amd64
mv hysteria-linux-amd64 /usr/local/bin/hysteria
hysteria version

Veenduge, et versiooni väljund kuvatakse ilma vigadeta – see kinnitab binaarfaili õiget toimimist.

Iseallkirjastatud SSL-sertifikaadi loomine

Teie arvuti ja serveri vahelise liikluse kaitsmiseks vajame oma krüpteerimisvõtmeid. Kuna meil pole domeeni, genereerime iseallkirjastatud sertifikaadi, mis kehtib 365 päeva. Seetõttu peate hiljem kliendis lubama valiku „Jäta sertifikaadi kinnitus vahele”.

mkdir -p /etc/hysteria
chmod 755 /etc/hysteria
 
openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /etc/hysteria/private.key \
  -out /etc/hysteria/cert.crt \
  -subj "/CN=YOUR_SERVER_IP"

ls -la /etc/hysteria/

Loetletud peaksid olema nii cert.crt kui ka private.key.

Konfiguratsioonifaili loomine

nano /etc/hysteria/config.yaml

Kleepige järgmine parool, asendades YOUR_PASSWORD oma parooliga (ainult inglise tähed ja numbrid, tühikuteta):

listen: :443
 
tls:
  cert: /etc/hysteria/cert.crt
  key: /etc/hysteria/private.key
 
auth:
  type: password
  password: "YOUR_PASSWORD"
 
masquerade:
  type: proxy
  proxy:
    url: https://cloudflare.com
    rewriteHost: true

Maskeerimisblokk paneb serveri IP-aadressi brauseris avamisel välja nägema tavalise veebisaidi moodi, selle asemel et näidata puhverserveri märke.

Salvesta (Ctrl+O, Enter) ja välju (Ctrl+X).

Automaatse käivitamise seadistamine

nano /etc/systemd/system/hysteria.service

Hysteria2 automaatse käivitamise systemd ühikufail. 

[Unit]
Description=Hysteria2 Server
After=network.target
 
[Service]
Type=simple
ExecStart=/usr/local/bin/hysteria server --config /etc/hysteria/config.yaml
Restart=on-failure
RestartSec=5
 
[Install]
WantedBy=multi-user.target
systemctl daemon-reload
systemctl enable --now hysteria.service
systemctl status hysteria.service

Staatus peaks näitama aktiivset (töötab). Kui konsool on logivaates "kinni jäänud", vajutage sellest väljumiseks Q.

TUIC v5

TUICi allalaadimine ja installimine

mkdir -p /usr/local/sbin/tuic

Vaadake saadaolevaid väljaandeid:

curl -s https://api.github.com/repos/tuic-protocol/tuic/releases | grep -Po '"tag_name": "\K[^"]*' | head -10

Laadige alla serveri binaarfail — asendage praeguse versiooninumbriga 1.0.0:

wget https://github.com/tuic-protocol/tuic/releases/download/1.0.0/tuic-server-1.0.0-x86_64-unknown-linux-gnu \
  -O /usr/local/sbin/tuic/tuic-server

chmod +x /usr/local/sbin/tuic/tuic-server
/usr/local/sbin/tuic/tuic-server --version

TUIC-i jaoks iseallkirjastatud sertifikaadi loomine

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /usr/local/sbin/tuic/privkey.pem \
  -out /usr/local/sbin/tuic/fullchain.pem \
  -subj "/CN=YOUR_SERVER_IP"
 
ls -la /usr/local/sbin/tuic/

UUID genereerimine

apt install uuid-runtime -y

uuidgen

Kopeeri saadud UUID – seda on vaja nii allpool olevas serveri konfiguratsioonis kui ka kliendi seadetes.

Konfiguratsioonifaili loomine

TUIC serveri valmis config.json:

nano /usr/local/sbin/tuic/config.json
{
    "server": "[::]:8443",
    "users": {
        "YOUR_UUID": "YOUR_TUIC_PASSWORD"
    },
    "certificate": "/usr/local/sbin/tuic/fullchain.pem",
    "private_key": "/usr/local/sbin/tuic/privkey.pem",
    "congestion_control": "bbr",
    "alpn": ["h3"],
    "log_level": "warn"
}

Kasutame siin porti 8443, kuna Hysteria2 on selle juba võtnud. Asenda YOUR_UUID sammus 4.3 saadud väärtusega ja YOUR_TUIC_PASSWORD oma parooliga.

Salvesta (Ctrl+O, Enter) ja välju (Ctrl+X).

Käsitsi käivitamise testimine

/usr/local/sbin/tuic/tuic-server -c /usr/local/sbin/tuic/config.json

Kui vigu ei ilmne, on konfiguratsioon kehtiv. Peatage see Ctrl+C-ga ja liikuge edasi automaatse käivitamise seadistamise juurde.

Automaatse käivitamise seadistamine

nano /etc/systemd/system/tuic-server.service

[Unit]
Description=TUIC Server
After=network.target nss-lookup.target
 
[Service]
User=root
WorkingDirectory=/usr/local/sbin/tuic
ExecStart=/usr/local/sbin/tuic/tuic-server -c config.json
Restart=on-failure
RestartPreventExitStatus=1
RestartSec=5
 
[Install]
WantedBy=multi-user.target
systemctl daemon-reload
systemctl enable --now tuic-server.service
systemctl status tuic-server.service

Staatus peaks näitama aktiivset (töötab).

Nüüd töötavad serveris paralleelselt kaks parimat ja kiireimat tänapäevast protokolli, mis mõlemad maskeeruvad tavaliseks QUIC/HTTPS-liikluseks: Hysteria2 standardsel pordil 443/udp ja TUIC v5 pordil 8443/udp.

Ühendamine Windowsist

Hiddify installimine

Laadige alla ja installige Hiddify Windowsile ametlikult veebisaidilt: https://hiddify.com. Klõpsake installija kaudu nuppu „Järgmine” / „Installi”. Kui kuvatakse Windows SmartScreen, valige „Rohkem infot” → „Käivita ikkagi”.

Hysteria2 profiil

Klõpsake + (Uus profiil) → "Käsitsi sisestamine" → protokoll Hysteria2 ja täitke:

Sertifikaadi kontrollimise vahelejätmine peab olema lubatud, kuna sertifikaat on iseallkirjastatud – selle taga pole usaldusväärset sertifitseerimisasutust.

TUIC v5 profiil

Klõpsake + (Uus profiil) → "Käsitsi sisestamine" → protokoll TUIC ja täitke:

Ühendamine ja kontrollimine

Vali profiil ja seejärel klõpsa suurel ümmargusel nupul „Ühenda“. Staatuseks peaks muutuma „Ühendatud“.

Selleks, et veenduda, et liiklus suunatakse tegelikult teie serveri kaudu, avage oma brauseris mis tahes IP-aadressi kontrollimise teenus – kuvatud aadress peaks vastama TEIE_SERVERI_IP-le.

Järeldus

Selle juhendi täitmisega töötab teie serveris paralleelselt kaks kiiret järgmise põlvkonna protokolli: Hysteria2 pordil 443/UDP ja TUIC v5 pordil 8443/UDP. Mõlemad protokollid varjavad edastatud liiklust standardse krüptitud QUIC-ühendusena (HTTP/3), tagades stabiilse ühenduse isegi äärmiselt ebastabiilsetel kanalitel.

Konfigureeritud profiile saab kasutada mitte ainult Windowsis, vaid neid saab importida ka sarnaste sätetega Androidi või iOS-i mobiilirakendusse Hiddify.

Kui teil tekib ühenduse loomisel probleeme, kontrollige kõigepealt teenuste olekuid käsuga systemctl status hysteria.service (või tuic-server.service), veenduge, et tulemüürireeglid on aktiivsed (ufw status) ja kontrollige üle, et IP-aadress, UUID ja paroolid oleksid õigesti sisestatud. Pange tähele: väljastatud iseallkirjastatud sertifikaadid kehtivad 365 päeva, seega täpselt ühe aasta pärast tuleb neid sama käsuga openssl req uuendada.