Hysteria2-ի և TUIC-ի կարգավորում

Այսօր VPN և պրոքսի տեխնոլոգիաները գնալով ավելի մեծ պահանջարկ ունեն։ Օգտատերերը դրանք օգտագործում են ինտերնետին անվտանգ մուտք գործելու, գրաքննությունը շրջանցելու և արտաքին սպառնալիքներից պաշտպանվելու համար։ Երբ դուք միանում եք նման սերվերի, ձեր ամբողջ երթևեկությունն անցնում է կոդավորված թունելով, և սերվերը դառնում է ձեր ցանց մուտք գործելու դարպասը։

Դասական արձանագրությունները, ինչպիսիք են OpenVPN-ը կամ WireGuard-ը, լավ են աշխատում կայուն պայմաններում, բայց հաճախ տուժում են արագության անկումից թույլ կապերի դեպքում՝ մեծ քանակությամբ փաթեթների կորստով (բջջային ցանցեր, հանրային Wi-Fi, խիստ գրաքննություն ունեցող երկրներ): Ահա թե որտեղ են գործի դրվում ժամանակակից արձանագրությունները, ինչպիսիք են Hysteria2-ը և TUIC-ը: Դրանք կառուցված են QUIC-ի վրա՝ առաջարկելով բարձր արագություն, ցածր լատենտություն և արդյունավետ երթևեկության խցանում՝ ինչպես սովորական HTTPS-ը (HTTP/3):

Hysteria2-ը օգտագործում է «Brutal» ալգորիթմը, որը ագրեսիվորեն օգտագործում է առկա թողունակությունը: TUIC-ը (5-րդ տարբերակ) բնութագրվում է նվազագույն ծանրաբեռնվածությամբ, գերազանց UDP աջակցությամբ և 0-RTT կապի հաստատմամբ:

Այս հոդվածում մենք կանդրադառնանք Ubuntu/Debian-ում սերվերի տեղադրմանը և Windows-ից միանալուն։

Ձեզ անհրաժեշտ կլինի՝ Ubuntu 22.04/24.04 կամ Debian 12 օպերացիոն համակարգով աշխատող VPS, root մուտք և սերվերի IP հասցե։ Դոմեյնի կարիք չկա։

Սերվերին միանալը

Windows (PuTTY): բացեք PuTTY-ն, մուտքագրեք YOUR_SERVER_IP որպես հոսթ, 22 որպես պորտ և մուտք գործեք որպես root՝ օգտագործելով ձեր VPS մատակարարի էլ. փոստի գաղտնաբառը։

Linux/macOS (տերմինալ):

ssh root@YOUR_SERVER_IP

Ստորև նշված բոլոր հրամանները կատարվում են սերվերի վրա՝ այս նույն սեսիայում։

Սերվերի պատրաստում (Ubuntu / Debian)

Միացնել IP վերահասցեավորումը

Սա թույլ է տալիս սերվերին հաճախորդի փաթեթները հետագա ուղարկել ինտերնետ։

nano /etc/sysctl.conf

Մուտքագրեք կամ ստեղծեք գաղտնաբառ (օգտագործեք միայն անգլերեն տառեր և թվեր, առանց բացատների):

Գտեք և հանեք մեկնաբանությունը (հեռացրեք # նշանը սկզբում) կամ ավելացրեք հետևյալ տողը՝

net.ipv4.ip_forward=1

Պահպանեք ֆայլը (Ctrl+O, Enter) և դուրս եկեք (Ctrl+X): Կիրառեք փոփոխությունները առանց վերագործարկման:

sysctl -p

NAT կարգավորում (դիմակավորում)

Այս կարգավորումը թույլ է տալիս հաճախորդներին մուտք գործել ինտերնետ ձեր սերվերի միջոցով՝ օգտագործելով դրա IP հասցեն։

Պարզեք ձեր արտաքին ցանցային ինտերֆեյսի անունը (այն, որը դեպի ինտերնետ է ուղղված):

ip link show

Սովորաբար սա eth0, ens3 կամ enp1s0 է։ Պատճենեք կամ հիշեք այն, այնուհետև ավելացրեք դիմակավորման կանոնը iptables-ում՝ eth0-ը փոխարինելով ձեր սեփական ինտերֆեյսի անունով։

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

iptables-ի կանոնները պահպանելը

Սերվերի վերագործարկումից հետո կանոնների վերագործարկումը կանխելու համար դրանք պետք է պահպանվեն։

apt update
apt install iptables-persistent -y
netfilter-persistent save

Տեղադրման ընթացքում կարող եք տեսնել IPv4/IPv6 կանոնները պահպանելու հուշում. երկու անգամ էլ պատասխանեք «Այո»։

Firewall-ի կարգավորում (UFW)

Մենք անմիջապես բացում ենք բոլոր անհրաժեշտ պորտերը, այնպես որ անհրաժեշտություն չկա հետագայում վերադառնալ այս քայլին. 22՝ SSH-ի համար (սա բաց թողնելը կարգելափակի ձեզ սերվերից), 443/udp՝ Hysteria2-ի համար և 8443/udp՝ TUIC-ի համար։

apt install ufw -y
ufw allow 22/tcp
ufw allow 443/udp
ufw allow 8443/udp
ufw --force enable
ufw status

Ufw կարգավիճակի արդյունքը պետք է բոլոր երեք կանոնները ներկայացնի որպես ակտիվ։

Հիստերիա 2

Hysteria2 սերվերի տեղադրում

chmod +x hysteria-linux-amd64
mv hysteria-linux-amd64 /usr/local/bin/hysteria
hysteria version

Համոզվեք, որ տարբերակի արդյունքը հայտնվում է առանց սխալների. սա հաստատում է, որ բինար ֆայլը ճիշտ է աշխատում։

Ինքնաստորագրված SSL վկայականի ստեղծում

Մեզ անհրաժեշտ են մեր սեփական կոդավորման բանալիները՝ ձեր համակարգչի և սերվերի միջև երթևեկությունը պաշտպանելու համար: Քանի որ մենք դոմեյն չունենք, մենք կստեղծենք ինքնաստորագրված վկայական, որը վավեր կլինի 365 օր: Այդ պատճառով դուք ավելի ուշ պետք է միացնեք «Բաց թողնել վկայականի ստուգումը» գործառույթը հաճախորդի մեջ:

mkdir -p /etc/hysteria
chmod 755 /etc/hysteria
 
openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /etc/hysteria/private.key \
  -out /etc/hysteria/cert.crt \
  -subj "/CN=YOUR_SERVER_IP"

ls -la /etc/hysteria/

Պետք է թվարկված լինեն և՛ cert.crt, և՛ private.key ֆայլերը։

Կարգավորման ֆայլի ստեղծում

nano /etc/hysteria/config.yaml

Տեղադրեք հետևյալը՝ փոխարինելով YOUR_PASSWORD-ը ձեր սեփական գաղտնաբառով (միայն անգլերեն տառեր և թվեր, առանց բացատների):

listen: :443
 
tls:
  cert: /etc/hysteria/cert.crt
  key: /etc/hysteria/private.key
 
auth:
  type: password
  password: "YOUR_PASSWORD"
 
masquerade:
  type: proxy
  proxy:
    url: https://cloudflare.com
    rewriteHost: true

Դիմակահանդեսի բլոկը սերվերը դարձնում է սովորական կայքի տեսքի նման, եթե ինչ-որ մեկը բացում է դրա IP հասցեն զննարկիչում, այլ ոչ թե բացահայտում է պրոքսիի նշանները։

Պահպանել (Ctrl+O, Enter) և դուրս գալ (Ctrl+X):

Ավտոմատ մեկնարկի կարգավորում

nano /etc/systemd/system/hysteria.service

Hysteria2 ավտոմեկնարկի համար նախատեսված systemd միավորի ֆայլը։ 

[Unit]
Description=Hysteria2 Server
After=network.target
 
[Service]
Type=simple
ExecStart=/usr/local/bin/hysteria server --config /etc/hysteria/config.yaml
Restart=on-failure
RestartSec=5
 
[Install]
WantedBy=multi-user.target
systemctl daemon-reload
systemctl enable --now hysteria.service
systemctl status hysteria.service

Կարգավիճակը պետք է ցույց տա ակտիվ (աշխատող) լինելը։ Եթե կոնսոլը «խրված» է գրանցամատյանի ռեժիմում, սեղմեք Q՝ դրանից դուրս գալու համար։

TUIC v5

TUIC-ի ներբեռնում և տեղադրում

mkdir -p /usr/local/sbin/tuic

Ստուգեք առկա թողարկումները.

curl -s https://api.github.com/repos/tuic-protocol/tuic/releases | grep -Po '"tag_name": "\K[^"]*' | head -10

Ներբեռնեք սերվերի երկուական ֆայլը՝ փոխարինելով ներկայիս տարբերակի համարը 1.0.0-ով։

wget https://github.com/tuic-protocol/tuic/releases/download/1.0.0/tuic-server-1.0.0-x86_64-unknown-linux-gnu \
  -O /usr/local/sbin/tuic/tuic-server

chmod +x /usr/local/sbin/tuic/tuic-server
/usr/local/sbin/tuic/tuic-server --version

TUIC-ի համար ինքնաստորագրված վկայականի ստեղծում

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /usr/local/sbin/tuic/privkey.pem \
  -out /usr/local/sbin/tuic/fullchain.pem \
  -subj "/CN=YOUR_SERVER_IP"
 
ls -la /usr/local/sbin/tuic/

UUID-ի ստեղծում

apt install uuid-runtime -y

uuidgen

Պատճենեք ստացված UUID-ը. այն ձեզ անհրաժեշտ կլինի ստորև նշված սերվերի կոնֆիգուրացիայում և հաճախորդի կարգավորումներում։

Կարգավորման ֆայլի ստեղծում

TUIC սերվերի համար պատրաստի config.json ֆայլը՝

nano /usr/local/sbin/tuic/config.json
{
    "server": "[::]:8443",
    "users": {
        "YOUR_UUID": "YOUR_TUIC_PASSWORD"
    },
    "certificate": "/usr/local/sbin/tuic/fullchain.pem",
    "private_key": "/usr/local/sbin/tuic/privkey.pem",
    "congestion_control": "bbr",
    "alpn": ["h3"],
    "log_level": "warn"
}

Այստեղ մենք օգտագործում ենք 8443 պորտը, քանի որ 443-ը արդեն զբաղեցված է Hysteria2-ի կողմից: YOUR_UUID-ը փոխարինեք 4.3 քայլի արժեքով, իսկ YOUR_TUIC_PASSWORD-ը՝ ձեր սեփական գաղտնաբառով:

Պահպանել (Ctrl+O, Enter) և դուրս գալ (Ctrl+X):

Ձեռքով մեկնարկի փորձարկում

/usr/local/sbin/tuic/tuic-server -c /usr/local/sbin/tuic/config.json

Եթե ​​սխալներ չեն հայտնվում, կարգավորումը վավեր է: Դադարեցրեք այն Ctrl+C-ով և անցեք ավտոմատ մեկնարկի կարգավորմանը:

Ավտոմատ մեկնարկի կարգավորում

nano /etc/systemd/system/tuic-server.service

[Unit]
Description=TUIC Server
After=network.target nss-lookup.target
 
[Service]
User=root
WorkingDirectory=/usr/local/sbin/tuic
ExecStart=/usr/local/sbin/tuic/tuic-server -c config.json
Restart=on-failure
RestartPreventExitStatus=1
RestartSec=5
 
[Install]
WantedBy=multi-user.target
systemctl daemon-reload
systemctl enable --now tuic-server.service
systemctl status tuic-server.service

Կարգավիճակը պետք է ցույց տա ակտիվ (աշխատող):

Այժմ սերվերի վրա զուգահեռ աշխատում են երկու լավագույն և ամենաարագ ժամանակակից արձանագրություններ, երկուսն էլ քողարկվելով որպես սովորական QUIC/HTTPS տրաֆիկ՝ Hysteria2-ը ստանդարտ 443/udp պորտի վրա և TUIC v5-ը 8443/udp պորտի վրա։

Միացում Windows-ից

Hiddify-ի տեղադրում

Ներբեռնեք և տեղադրեք Hiddify-ը Windows-ի համար պաշտոնական կայքից՝ https://hiddify.com: Սեղմեք տեղադրողի վրա՝ սեղմելով «Հաջորդ» / «Տեղադրել»: Եթե հայտնվի Windows SmartScreen-ը, ընտրեք «Ավելի շատ տեղեկություններ» → «Գործարկել միևնույն է»:

Hysteria2 պրոֆիլ

Սեղմեք + (Նոր պրոֆիլ) → «Ձեռքով մուտքագրում» → արձանագրություն Hysteria2 և լրացրեք՝

«Բաց թողնել վկայականի ստուգումը» պետք է միացված լինի, քանի որ վկայականն ինքնաստորագրված է. դրա հետևում վստահելի վկայականի մարմին չկա։

TUIC v5 պրոֆիլ

Սեղմեք + (Նոր պրոֆիլ) → «Ձեռքով մուտքագրում» → TUIC արձանագրություն և լրացրեք՝

Միացում և ստուգում

Ընտրեք պրոֆիլ, այնուհետև սեղմեք մեծ կլոր «Միանալ» կոճակը: Կարգավիճակը պետք է փոխվի «Միացված է»:

Ձեր սերվերի միջոցով երթևեկության իրական ուղղորդումը ստուգելու համար ձեր զննարկիչում բացեք IP հասցեի ստուգման ցանկացած ծառայություն. ցուցադրված հասցեն պետք է համընկնի YOUR_SERVER_IP-ի հետ։

Եզրափակում

Այս ուղեցույցը լրացնելով՝ դուք կունենաք երկու բարձր արագությամբ, նոր սերնդի արձանագրություններ, որոնք զուգահեռաբար աշխատում են ձեր սերվերի վրա՝ Hysteria2-ը 443/UDP միացքի վրա և TUIC v5-ը 8443/UDP միացքի վրա: Երկու արձանագրություններն էլ քողարկում են փոխանցված երթևեկությունը որպես ստանդարտ կոդավորված QUIC կապ (HTTP/3), ապահովելով կայուն կապ նույնիսկ չափազանց անկայուն ալիքներում:

Կազմաձևված պրոֆիլները կարող են օգտագործվել ոչ միայն Windows-ում, այլև ներմուծվել Hiddify բջջային հավելված Android-ի կամ iOS-ի համար՝ նմանատիպ կարգավորումներով։

Եթե ​​կապի հետ կապված դժվարությունների եք հանդիպում, նախ ստուգեք ծառայության կարգավիճակը՝ օգտագործելով systemctl status hystery.service (կամ tuic-server.service) հրամանը, համոզվեք, որ firewall-ի կանոնները ակտիվ են (ufw status) և կրկնակի ստուգեք, որ IP հասցեն, UUID-ն և գաղտնաբառերը ճիշտ են մուտքագրված։ Խնդրում ենք նկատի ունենալ. տրված ինքնաստորագրված վկայականները վավեր են 365 օր, ուստի ուղիղ մեկ տարի անց դրանք պետք է երկարաձգվեն նույն openssl req հրամանի միջոցով։