ការរៀបចំ Hysteria2 និង TUIC

សព្វថ្ងៃនេះ បច្ចេកវិទ្យា VPN និងប្រូកស៊ីកំពុងមានតម្រូវការកាន់តែខ្លាំងឡើង។ អ្នកប្រើប្រាស់ប្រើប្រាស់វាសម្រាប់ការចូលប្រើអ៊ីនធឺណិតដោយសុវត្ថិភាព ការរំលងការត្រួតពិនិត្យ និងការការពារប្រឆាំងនឹងការគំរាមកំហែងពីខាងក្រៅ។ នៅពេលអ្នកភ្ជាប់ទៅម៉ាស៊ីនមេបែបនេះ ចរាចរណ៍ទាំងអស់របស់អ្នកធ្វើដំណើរតាមរយៈផ្លូវរូងក្រោមដីដែលបានអ៊ិនគ្រីប ហើយម៉ាស៊ីនមេក្លាយជាច្រកទ្វាររបស់អ្នកទៅកាន់បណ្តាញ។

ពិធីការបុរាណដូចជា OpenVPN ឬ WireGuard ដំណើរការបានល្អក្រោមលក្ខខណ្ឌមានស្ថេរភាព ប៉ុន្តែជារឿយៗទទួលរងនូវការធ្លាក់ចុះល្បឿនលើការតភ្ជាប់មិនល្អជាមួយនឹងការបាត់បង់កញ្ចប់ខ្ពស់ (បណ្តាញទូរស័ព្ទចល័ត Wi-Fi សាធារណៈ ប្រទេសដែលមានការត្រួតពិនិត្យយ៉ាងតឹងរ៉ឹង)។ នេះជាកន្លែងដែលពិធីការទំនើបដូចជា Hysteria2 និង TUIC ចូលមកដើរតួនាទី។ ពួកវាត្រូវបានបង្កើតឡើងនៅលើកំពូលនៃ QUIC ដែលផ្តល់នូវល្បឿនលឿន ភាពយឺតយ៉ាវទាប និងការបិទបាំងចរាចរណ៍ប្រកបដោយប្រសិទ្ធភាពដូចជា HTTPS (HTTP/3) ធម្មតា។

Hysteria2 ប្រើប្រាស់ក្បួនដោះស្រាយ "Brutal" ដែលប្រើប្រាស់កម្រិតបញ្ជូនដែលមានយ៉ាងសកម្ម។ TUIC (កំណែទី 5) ត្រូវបានកំណត់លក្ខណៈដោយការចំណាយតិចតួចបំផុត ការគាំទ្រ UDP ដ៏ល្អឥតខ្ចោះ និងការបង្កើតការតភ្ជាប់ 0-RTT។

នៅក្នុងអត្ថបទនេះ យើងនឹងពន្យល់អំពីការដំឡើងម៉ាស៊ីនមេនៅលើ Ubuntu/Debian និងការតភ្ជាប់ពី Windows។

អ្វីដែលអ្នកត្រូវការ៖ VPS ដែលដំណើរការ Ubuntu 22.04/24.04 ឬ Debian 12, ការចូលប្រើ root និងអាសយដ្ឋាន IP របស់ម៉ាស៊ីនមេ។ មិនត្រូវការដូមេនទេ។

កំពុងភ្ជាប់ទៅម៉ាស៊ីនមេ

Windows (PuTTY): បើក PuTTY បញ្ចូល YOUR_SERVER_IP ជា host 22 ជា port ហើយចូលជា root ជាមួយពាក្យសម្ងាត់ពីអ៊ីមែលរបស់អ្នកផ្តល់សេវា VPS របស់អ្នក។

លីនុច/ម៉ាក់អូអេស (ស្ថានីយ):

ssh root@YOUR_SERVER_IP

ពាក្យបញ្ជាទាំងអស់ខាងក្រោមត្រូវបានដំណើរការលើម៉ាស៊ីនមេ ក្នុងវគ្គតែមួយនេះ។

ការរៀបចំម៉ាស៊ីនមេ (Ubuntu / Debian)

បើកដំណើរការបញ្ជូនបន្ត IP

នេះអនុញ្ញាតឱ្យម៉ាស៊ីនបម្រើបញ្ជូនបន្តកញ្ចប់អតិថិជនទៅអ៊ីនធឺណិតបន្ថែមទៀត។

nano /etc/sysctl.conf

បញ្ចូល ឬបង្កើតពាក្យសម្ងាត់ (ប្រើតែអក្សរ និងលេខអង់គ្លេសប៉ុណ្ណោះ ហាមដកឃ្លា)។

ស្វែងរក ហើយមិនដាក់មតិ (ដក # នៅដើម) ឬបន្ថែមបន្ទាត់ខាងក្រោម៖

net.ipv4.ip_forward=1

រក្សាទុកឯកសារ (Ctrl+O, Enter) ហើយចេញ (Ctrl+X)។ អនុវត្តការផ្លាស់ប្តូរដោយមិនចាំបាច់ចាប់ផ្ដើមឡើងវិញ៖

sysctl -p

ការដំឡើង NAT (ការក្លែងបន្លំ)

ការកំណត់នេះអនុញ្ញាតឱ្យអតិថិជនចូលប្រើអ៊ីនធឺណិតតាមរយៈម៉ាស៊ីនមេរបស់អ្នកដោយប្រើអាសយដ្ឋាន IP របស់វា។

ស្វែងយល់ពីឈ្មោះនៃចំណុចប្រទាក់បណ្តាញខាងក្រៅរបស់អ្នក (ចំណុចប្រទាក់ដែលបែរមុខទៅអ៊ីនធឺណិត)៖

ip link show

ជាធម្មតានេះគឺជា eth0, ens3 ឬ enp1s0។ ចម្លង ឬចងចាំវា បន្ទាប់មកបន្ថែមច្បាប់ masquerading ទៅ iptables — ជំនួស eth0 ដោយឈ្មោះចំណុចប្រទាក់ផ្ទាល់ខ្លួនរបស់អ្នក៖

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

ការរក្សាទុកច្បាប់ iptables

ដើម្បី​ការពារ​ច្បាប់​ពី​ការ​កំណត់​ឡើង​វិញ​បន្ទាប់​ពី​ការ​ចាប់ផ្ដើម​ម៉ាស៊ីន​បម្រើ​ឡើង​វិញ វា​ត្រូវ​រក្សា​ទុក​វា។

apt update
apt install iptables-persistent -y
netfilter-persistent save

អំឡុងពេលដំឡើង អ្នកប្រហែលជាឃើញការជំរុញឱ្យរក្សាទុកច្បាប់ IPv4/IPv6 បច្ចុប្បន្ន — សូមឆ្លើយថា "បាទ/ចាស" ទាំងពីរដង។

ការដំឡើងជញ្ជាំងភ្លើង (UFW)

យើងបើកច្រកទាំងអស់ដែលយើងត្រូវការភ្លាមៗ ដូច្នេះមិនចាំបាច់ត្រលប់មកជំហាននេះវិញនៅពេលក្រោយទេ៖ 22 សម្រាប់ SSH (ការរំលងនេះនឹងចាក់សោអ្នកចេញពីម៉ាស៊ីនមេ) 443/udp សម្រាប់ Hysteria2 និង 8443/udp សម្រាប់ TUIC។

apt install ufw -y
ufw allow 22/tcp
ufw allow 443/udp
ufw allow 8443/udp
ufw --force enable
ufw status

លទ្ធផលនៃស្ថានភាព ufw គួរតែរាយបញ្ជីច្បាប់ទាំងបីថាសកម្ម។

ហ៊ីស្តេរៀ ២

ការដំឡើងម៉ាស៊ីនមេ Hysteria2

chmod +x hysteria-linux-amd64
mv hysteria-linux-amd64 /usr/local/bin/hysteria
hysteria version

ត្រូវប្រាកដថាលទ្ធផលនៃកំណែលេចឡើងដោយគ្មានកំហុស — នេះបញ្ជាក់ថាប្រព័ន្ធគោលពីរដំណើរការបានត្រឹមត្រូវ។

ការបង្កើតវិញ្ញាបនបត្រ SSL ដែលចុះហត្ថលេខាដោយខ្លួនឯង

យើងត្រូវការសោអ៊ិនគ្រីបផ្ទាល់ខ្លួនរបស់យើង ដើម្បីការពារចរាចរណ៍រវាងកុំព្យូទ័ររបស់អ្នក និងម៉ាស៊ីនមេ។ ដោយសារយើងមិនមានដូមេន យើងនឹងបង្កើតវិញ្ញាបនបត្រដែលចុះហត្ថលេខាដោយខ្លួនឯង ដែលមានសុពលភាពរយៈពេល 365 ថ្ងៃ។ ដោយសារតែបញ្ហានេះ អ្នកនឹងត្រូវបើក ​​"រំលងការផ្ទៀងផ្ទាត់វិញ្ញាបនបត្រ" នៅក្នុងម៉ាស៊ីនភ្ញៀវនៅពេលក្រោយ។

mkdir -p /etc/hysteria
chmod 755 /etc/hysteria
 
openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /etc/hysteria/private.key \
  -out /etc/hysteria/cert.crt \
  -subj "/CN=YOUR_SERVER_IP"

ls -la /etc/hysteria/

ទាំង cert.crt និង private.key គួរតែត្រូវបានរាយបញ្ជី។

កំពុងបង្កើតឯកសារកំណត់រចនាសម្ព័ន្ធ

nano /etc/hysteria/config.yaml

បិទភ្ជាប់​ខាងក្រោម ដោយជំនួស YOUR_PASSWORD ដោយពាក្យសម្ងាត់ផ្ទាល់ខ្លួនរបស់អ្នក (អក្សរ និងលេខជាភាសាអង់គ្លេសតែប៉ុណ្ណោះ ហាមដកឃ្លា)៖

listen: :443
 
tls:
  cert: /etc/hysteria/cert.crt
  key: /etc/hysteria/private.key
 
auth:
  type: password
  password: "YOUR_PASSWORD"
 
masquerade:
  type: proxy
  proxy:
    url: https://cloudflare.com
    rewriteHost: true

ប្លុក masquerade ធ្វើឱ្យម៉ាស៊ីនមេមើលទៅដូចជាគេហទំព័រធម្មតា ប្រសិនបើនរណាម្នាក់បើកអាសយដ្ឋាន IP របស់វានៅក្នុងកម្មវិធីរុករកតាមអ៊ីនធឺណិត ជាជាងបង្ហាញសញ្ញានៃប្រូកស៊ី។

រក្សាទុក (Ctrl+O, Enter) ហើយចេញ (Ctrl+X)។

កំពុងរៀបចំការចាប់ផ្តើមដោយស្វ័យប្រវត្តិ

nano /etc/systemd/system/hysteria.service

ឯកសារឯកតា systemd សម្រាប់ការចាប់ផ្តើមដោយស្វ័យប្រវត្តិរបស់ Hysteria2។ 

[Unit]
Description=Hysteria2 Server
After=network.target
 
[Service]
Type=simple
ExecStart=/usr/local/bin/hysteria server --config /etc/hysteria/config.yaml
Restart=on-failure
RestartSec=5
 
[Install]
WantedBy=multi-user.target
systemctl daemon-reload
systemctl enable --now hysteria.service
systemctl status hysteria.service

ស្ថានភាពគួរតែបង្ហាញថាសកម្ម (កំពុងដំណើរការ)។ ប្រសិនបើកុងសូល "ជាប់គាំង" នៅលើទិដ្ឋភាពកំណត់ហេតុ សូមចុច Q ដើម្បីចេញពីវា។

TUIC v5

ទាញយក និងដំឡើង TUIC

mkdir -p /usr/local/sbin/tuic

ពិនិត្យមើលការចេញផ្សាយដែលមាន៖

curl -s https://api.github.com/repos/tuic-protocol/tuic/releases | grep -Po '"tag_name": "\K[^"]*' | head -10

ទាញយកឯកសារគោលពីររបស់ម៉ាស៊ីនបម្រើ — ជំនួសលេខកំណែបច្ចុប្បន្នសម្រាប់ 1.0.0៖

wget https://github.com/tuic-protocol/tuic/releases/download/1.0.0/tuic-server-1.0.0-x86_64-unknown-linux-gnu \
  -O /usr/local/sbin/tuic/tuic-server

chmod +x /usr/local/sbin/tuic/tuic-server
/usr/local/sbin/tuic/tuic-server --version

ការបង្កើតវិញ្ញាបនបត្រចុះហត្ថលេខាដោយខ្លួនឯងសម្រាប់ TUIC

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /usr/local/sbin/tuic/privkey.pem \
  -out /usr/local/sbin/tuic/fullchain.pem \
  -subj "/CN=YOUR_SERVER_IP"
 
ls -la /usr/local/sbin/tuic/

ការបង្កើត UUID

apt install uuid-runtime -y

uuidgen

ចម្លង UUID លទ្ធផល — អ្នកនឹងត្រូវការវាទាំងនៅក្នុងការកំណត់រចនាសម្ព័ន្ធម៉ាស៊ីនមេខាងក្រោម និងនៅក្នុងការកំណត់ម៉ាស៊ីនភ្ញៀវ។

កំពុងបង្កើតឯកសារកំណត់រចនាសម្ព័ន្ធ

config.json ដែលបានបញ្ចប់សម្រាប់ម៉ាស៊ីនមេ TUIC៖

nano /usr/local/sbin/tuic/config.json
{
    "server": "[::]:8443",
    "users": {
        "YOUR_UUID": "YOUR_TUIC_PASSWORD"
    },
    "certificate": "/usr/local/sbin/tuic/fullchain.pem",
    "private_key": "/usr/local/sbin/tuic/privkey.pem",
    "congestion_control": "bbr",
    "alpn": ["h3"],
    "log_level": "warn"
}

យើងប្រើច្រក 8443 នៅទីនេះ ពីព្រោះច្រក 443 ត្រូវបានយកដោយ Hysteria2 រួចហើយ។ ជំនួស YOUR_UUID ដោយតម្លៃពីជំហាន 4.3 និង YOUR_TUIC_PASSWORD ជាមួយពាក្យសម្ងាត់ផ្ទាល់ខ្លួនរបស់អ្នក។

រក្សាទុក (Ctrl+O, Enter) ហើយចេញ (Ctrl+X)។

សាកល្បងការចាប់ផ្តើមដោយដៃ

/usr/local/sbin/tuic/tuic-server -c /usr/local/sbin/tuic/config.json

ប្រសិនបើមិនមានកំហុសលេចឡើងទេ ការកំណត់រចនាសម្ព័ន្ធគឺត្រឹមត្រូវ។ បញ្ឈប់វាដោយចុច Ctrl+C ហើយបន្តទៅការរៀបចំការចាប់ផ្តើមដោយស្វ័យប្រវត្តិ។

កំពុងរៀបចំការចាប់ផ្តើមដោយស្វ័យប្រវត្តិ

nano /etc/systemd/system/tuic-server.service

[Unit]
Description=TUIC Server
After=network.target nss-lookup.target
 
[Service]
User=root
WorkingDirectory=/usr/local/sbin/tuic
ExecStart=/usr/local/sbin/tuic/tuic-server -c config.json
Restart=on-failure
RestartPreventExitStatus=1
RestartSec=5
 
[Install]
WantedBy=multi-user.target
systemctl daemon-reload
systemctl enable --now tuic-server.service
systemctl status tuic-server.service

ស្ថានភាពគួរតែបង្ហាញថាសកម្ម (កំពុងដំណើរការ)។

ឥឡូវនេះ ពិធីការទំនើបពីរដ៏ល្អបំផុត និងលឿនបំផុតកំពុងដំណើរការស្របគ្នានៅលើម៉ាស៊ីនមេ ដែលទាំងពីរក្លែងបន្លំជាចរាចរណ៍ QUIC/HTTPS ធម្មតា៖ Hysteria2 នៅលើច្រកស្តង់ដារ 443/udp និង TUIC v5 នៅលើច្រក 8443/udp។

ការតភ្ជាប់ពីវីនដូ

ការដំឡើង Hiddify

ទាញយក និងដំឡើង Hiddify សម្រាប់ Windows ពីគេហទំព័រផ្លូវការ៖ https://hiddify.com។ ចុចតាមរយៈកម្មវិធីដំឡើងជាមួយ "បន្ទាប់" / "ដំឡើង"។ ប្រសិនបើ Windows SmartScreen លេចឡើង សូមជ្រើសរើស "ព័ត៌មានបន្ថែម" → "ដំណើរការយ៉ាងណាក៏ដោយ"។

ប្រវត្តិរូប Hysteria2

ចុច + (ប្រវត្តិរូបថ្មី) → "ការបញ្ចូលដោយដៃ" → ពិធីការ Hysteria2 ហើយបំពេញ៖

ត្រូវតែបើកដំណើរការ Skip Cert Verify ពីព្រោះវិញ្ញាបនបត្រត្រូវបានចុះហត្ថលេខាដោយខ្លួនឯង — មិនមានអាជ្ញាធរវិញ្ញាបនបត្រដែលគួរឱ្យទុកចិត្តនៅពីក្រោយវាទេ។

ទម្រង់ TUIC v5

ចុច + (ប្រវត្តិរូបថ្មី) → "ការបញ្ចូលដោយដៃ" → ពិធីការ TUIC ហើយបំពេញ៖

កំពុងភ្ជាប់ និងផ្ទៀងផ្ទាត់

ជ្រើសរើសប្រវត្តិរូបមួយ បន្ទាប់មកចុចប៊ូតុង "ភ្ជាប់" រាងមូលធំ។ ស្ថានភាពគួរតែប្តូរទៅ "បានភ្ជាប់"។

ដើម្បីបញ្ជាក់ថាចរាចរណ៍ពិតជាត្រូវបានបញ្ជូនតាមរយៈម៉ាស៊ីនមេរបស់អ្នក សូមបើកសេវាកម្មពិនិត្យ IP ណាមួយនៅក្នុងកម្មវិធីរុករករបស់អ្នក — អាសយដ្ឋានដែលបង្ហាញគួរតែត្រូវគ្នានឹង YOUR_SERVER_IP។

សន្និដ្ឋាន

ដោយបំពេញការណែនាំនេះ អ្នកមានពិធីការជំនាន់ក្រោយល្បឿនលឿនពីរដែលកំពុងដំណើរការស្របគ្នានៅលើម៉ាស៊ីនមេរបស់អ្នក៖ Hysteria2 នៅលើច្រក 443/UDP និង TUIC v5 នៅលើច្រក 8443/UDP។ ​​ពិធីការទាំងពីរបិទបាំងចរាចរណ៍ដែលបានបញ្ជូនជាការតភ្ជាប់ QUIC ដែលបានអ៊ិនគ្រីបស្តង់ដារ (HTTP/3) ដែលធានាបាននូវការតភ្ជាប់ដែលមានស្ថេរភាពសូម្បីតែនៅលើឆានែលដែលមិនស្ថិតស្ថេរខ្លាំងក៏ដោយ។

ទម្រង់ដែលបានកំណត់រចនាសម្ព័ន្ធអាចត្រូវបានប្រើមិនត្រឹមតែនៅលើ Windows ប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងនាំចូលទៅក្នុងកម្មវិធីទូរស័ព្ទ Hiddify សម្រាប់ Android ឬ iOS ជាមួយនឹងការកំណត់ស្រដៀងគ្នាផងដែរ។

ប្រសិនបើអ្នកជួបប្រទះការលំបាកក្នុងការតភ្ជាប់ ដំបូងត្រូវពិនិត្យមើលស្ថានភាពសេវាកម្មដោយប្រើពាក្យបញ្ជាស្ថានភាព systemctl hysteria.service (ឬ tuic-server.service) ត្រូវប្រាកដថាច្បាប់ជញ្ជាំងភ្លើងសកម្ម (ufw status) ហើយពិនិត្យឡើងវិញថាអាសយដ្ឋាន IP, UUID និងពាក្យសម្ងាត់ត្រូវបានបញ្ចូលយ៉ាងត្រឹមត្រូវ។ សូមចំណាំ៖ វិញ្ញាបនបត្រដែលចុះហត្ថលេខាដោយខ្លួនឯងដែលបានចេញមានសុពលភាពរយៈពេល 365 ថ្ងៃ ដូច្នេះបន្ទាប់ពីមួយឆ្នាំយ៉ាងពិតប្រាកដ ពួកវានឹងត្រូវបន្តឡើងវិញដោយប្រើពាក្យបញ្ជា openssl req ដូចគ្នា។