Hysteria2 an TUIC-Opstellung

Hautdesdaags si VPN- a Proxy-Technologien ëmmer méi gefrot. D'Benotzer benotzen se fir e sécheren Internetzougang, fir Zensur ze ëmgoen a sech géint extern Bedrohungen ze schützen. Wann Dir Iech mat sou engem Server verbënnt, leeft Ären ganzen Traffic duerch en verschlësselten Tunnel, an de Server gëtt Äert Gateway zum Netz.

Klassesch Protokoller wéi OpenVPN oder WireGuard funktionéieren ënner stabile Konditiounen gutt, awer leiden dacks ënner Geschwindegkeetsreduktiounen bei schlechte Verbindungen mat héije Paketverloschter (Mobilnetzwierker, ëffentlech Wi-Fi, Länner mat strenger Zensur). Hei kommen modern Protokoller wéi Hysteria2 an TUIC an d'Spill. Si sinn op QUIC gebaut a bidden héich Geschwindegkeet, niddreg Latenz an effektiv Trafficobfuskatioun wéi normal HTTPS (HTTP/3).

Hysteria2 benotzt den "Brutal" Algorithmus, deen déi verfügbar Bandbreet aggressiv notzt. TUIC (Versioun 5) zeichnet sech duerch minimalen Overhead, exzellent UDP-Ënnerstëtzung an 0-RTT-Verbindung op.

An dësem Artikel wäerte mir Iech duerch d'Konfiguratioun vum Server op Ubuntu/Debian an d'Verbindung vu Windows erklären.

Wat Dir braucht: e VPS mat Ubuntu 22.04/24.04 oder Debian 12, Root-Zougang an d'IP-Adress vum Server. Et ass keng Domain erfuerderlech.

Connectéiert mam Server

Windows (PuTTY): Maacht PuTTY op, gitt YOUR_SERVER_IP als Host an, 22 als Port an, a loggt Iech als Root mam Passwuert vun der E-Mail-Adress vun Ärem VPS-Ubidder un.

Linux/macOS (Terminal):

ssh root@YOUR_SERVER_IP

All déi folgend Kommandoen ginn um Server ausgeführt, an dëser selwechter Sessioun.

Servervirbereedung (Ubuntu / Debian)

Aktivéiert IP Forwarding

Dëst erlaabt dem Server, Client-Päcketen weider an den Internet ze leeden.

nano /etc/sysctl.conf

Gitt e Passwuert an oder erstellt et (benotzt nëmmen englesch Buschtawen an Zuelen, keng Leerzeechen).

Sich no a läscht d'Kommentéierung (läscht den # um Ufank) oder füügt déi folgend Zeil derbäi:

net.ipv4.ip_forward=1

Späichert d'Datei (Ctrl+O, Enter) a gitt zou (Ctrl+X). Ännerunge gëllen ouni nei ze starten:

sysctl -p

NAT-Astellung (Masquerading)

Dës Astellung erlaabt et Clienten, iwwer Äre Server mat senger IP-Adress op den Internet zouzegräifen.

Fannt den Numm vun Ärer externer Netzwierkschnittstell eraus (déi, déi un den Internet geriicht ass):

ip link show

Normalerweis ass dat eth0, ens3 oder enp1s0. Kopéiert et oder späichert et, a füügt dann d'Masquerading-Regel zu iptables bäi - ersetzt eth0 duerch Ären eegenen Interface-Numm:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Späichere vun iptables Regelen

Fir ze verhënneren, datt d'Regele no engem Restart vum Server zréckgesat ginn, musse se gespäichert ginn.

apt update
apt install iptables-persistent -y
netfilter-persistent save

Wärend der Installatioun kënnt Dir eng Ufro kréien, déi aktuell IPv4/IPv6-Regele ze späicheren - äntwert béidmol "Jo".

Firewall-Astellung (UFW)

Mir maachen all d'Ports op, déi mir brauchen, direkt, sou datt mir spéider net méi op dëse Schrëtt zeréckkommen mussen: 22 fir SSH (wann Dir dëst iwwerspréngt, spärt Dir Iech vum Server aus), 443/udp fir Hysteria2, an 8443/udp fir TUIC.

apt install ufw -y
ufw allow 22/tcp
ufw allow 443/udp
ufw allow 8443/udp
ufw --force enable
ufw status

D'Ausgab vum ufw-Status sollt all dräi Reegelen als aktiv uginn.

Hysterie2

Installatioun vum Hysteria2 Server

chmod +x hysteria-linux-amd64
mv hysteria-linux-amd64 /usr/local/bin/hysteria
hysteria version

Vergewëssert Iech, datt d'Versiounsausgab ouni Feeler ugewise gëtt - dëst bestätegt, datt de Binärdatei richteg funktionéiert.

Erstelle vun engem selbstsignéierten SSL Zertifikat

Mir brauchen eis eege Verschlësselungsschlësselen fir den Traffic tëscht Ärem Computer an dem Server ze schützen. Well mir keng Domain hunn, generéiere mir e selbstsignéiert Zertifikat, dat 365 Deeg gëlteg ass. Dofir musst Dir spéider "Skip Cert Verify" am Client aktivéieren.

mkdir -p /etc/hysteria
chmod 755 /etc/hysteria
 
openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /etc/hysteria/private.key \
  -out /etc/hysteria/cert.crt \
  -subj "/CN=YOUR_SERVER_IP"

ls -la /etc/hysteria/

Souwuel cert.crt wéi och private.key sollten opgelëscht sinn.

Erstellung vun der Konfiguratiounsdatei

nano /etc/hysteria/config.yaml

Füügt folgend Passwuert an, andeems Dir YOUR_PASSWORD duerch Äert eegent Passwuert ersetzt (nëmmen englesch Buschtawen an Zuelen, keng Leerzeechen):

listen: :443
 
tls:
  cert: /etc/hysteria/cert.crt
  key: /etc/hysteria/private.key
 
auth:
  type: password
  password: "YOUR_PASSWORD"
 
masquerade:
  type: proxy
  proxy:
    url: https://cloudflare.com
    rewriteHost: true

De Masquerade-Block léisst de Server ausgesinn wéi eng normal Websäit, wann een seng IP-Adress an engem Browser opmécht, anstatt Zeeche vun engem Proxy ze weisen.

Späicheren (Ctrl+O, Enter) a Schluss maachen (Ctrl+X).

Automatesch Startkonfiguratioun

nano /etc/systemd/system/hysteria.service

D'Systemd-Eenheetsdatei fir den Hysteria2 Autostart. 

[Unit]
Description=Hysteria2 Server
After=network.target
 
[Service]
Type=simple
ExecStart=/usr/local/bin/hysteria server --config /etc/hysteria/config.yaml
Restart=on-failure
RestartSec=5
 
[Install]
WantedBy=multi-user.target
systemctl daemon-reload
systemctl enable --now hysteria.service
systemctl status hysteria.service

De Status soll aktiv (laafend) uweisen. Wann d'Konsol an der Log-Vue "festgehalen" ass, dréckt op Q fir se ze verloossen.

TUIC v5

TUIC eroflueden an installéieren

mkdir -p /usr/local/sbin/tuic

Kuckt déi verfügbar Verëffentlechungen:

curl -s https://api.github.com/repos/tuic-protocol/tuic/releases | grep -Po '"tag_name": "\K[^"]*' | head -10

Luet d'Server-Binärdatei erof — ersetzt déi aktuell Versiounsnummer duerch 1.0.0:

wget https://github.com/tuic-protocol/tuic/releases/download/1.0.0/tuic-server-1.0.0-x86_64-unknown-linux-gnu \
  -O /usr/local/sbin/tuic/tuic-server

chmod +x /usr/local/sbin/tuic/tuic-server
/usr/local/sbin/tuic/tuic-server --version

E selbstsignéiert Zertifikat fir TUIC erstellen

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /usr/local/sbin/tuic/privkey.pem \
  -out /usr/local/sbin/tuic/fullchain.pem \
  -subj "/CN=YOUR_SERVER_IP"
 
ls -la /usr/local/sbin/tuic/

Generéiere vun enger UUID

apt install uuid-runtime -y

uuidgen

Kopéiert déi resultéierend UUID - Dir braucht se souwuel an der Serverkonfiguratioun hei ënnendrënner wéi och an de Client-Astellungen.

Erstellung vun der Konfiguratiounsdatei

Déi fäerdeg config.json fir den TUIC Server:

nano /usr/local/sbin/tuic/config.json
{
    "server": "[::]:8443",
    "users": {
        "YOUR_UUID": "YOUR_TUIC_PASSWORD"
    },
    "certificate": "/usr/local/sbin/tuic/fullchain.pem",
    "private_key": "/usr/local/sbin/tuic/privkey.pem",
    "congestion_control": "bbr",
    "alpn": ["h3"],
    "log_level": "warn"
}

Mir benotzen hei de Port 8443, well 443 scho vun Hysteria2 besat ass. Ersetzt YOUR_UUID duerch de Wäert aus Schrëtt 4.3 an YOUR_TUIC_PASSWORD duerch Äert eegent Passwuert.

Späicheren (Ctrl+O, Enter) a Schluss maachen (Ctrl+X).

Test vun engem manuelle Start

/usr/local/sbin/tuic/tuic-server -c /usr/local/sbin/tuic/config.json

Wann keng Feelermeldungen optrieden, ass d'Konfiguratioun gëlteg. Stoppt se mat Ctrl+C a gitt weider mam Astellen vum Autostart.

Automatesch Startkonfiguratioun

nano /etc/systemd/system/tuic-server.service

[Unit]
Description=TUIC Server
After=network.target nss-lookup.target
 
[Service]
User=root
WorkingDirectory=/usr/local/sbin/tuic
ExecStart=/usr/local/sbin/tuic/tuic-server -c config.json
Restart=on-failure
RestartPreventExitStatus=1
RestartSec=5
 
[Install]
WantedBy=multi-user.target
systemctl daemon-reload
systemctl enable --now tuic-server.service
systemctl status tuic-server.service

De Status soll aktiv (laafend) uginn.

Elo lafen zwou vun de beschten a schnellsten modernen Protokoller parallel um Server, béid verkleed als normale QUIC/HTTPS-Verkéier: Hysteria2 um Standardport 443/udp, an TUIC v5 um Port 8443/udp.

Verbindung vu Windows aus

Hiddify installéieren

Luet Hiddify fir Windows vun der offizieller Websäit erof an installéiert en: https://hiddify.com. Klickt op den Installateur mat "Weider" / "Installéieren". Wann Windows SmartScreen erschéngt, wielt "Méi Informatiounen" → "Trotzdem ausféieren".

Hysteria2 Profil

Klickt op + (Neie Profil) → "Manuell Eingabe" → Protokoll Hysteria2 , a fëllt aus:

"Skip Cert Verify" muss aktivéiert sinn, well den Zertifikat selwersignéiert ass - et gëtt keng vertrauenswierdeg Zertifikatsautoritéit hannendrun.

TUIC v5 Profil

Klickt op + (Neie Profil) → "Manuell Eingabe" → Protokoll TUIC , a fëllt aus:

Verbannen a verifizéieren

Wielt e Profil aus a klickt dann op de grousse ronne Knäppchen "Verbinden". De Status sollt sech op "Verbonnen" änneren.

Fir ze bestätegen, datt den Traffic tatsächlech iwwer Äre Server geleet gëtt, maacht en IP-Kontrollservice an Ärem Browser op - d'Adress, déi ugewise gëtt, soll mat YOUR_SERVER_IP iwwereneestëmmen.

Conclusioun

Wann Dir dëse Guide ausfëllt, hutt Dir zwou High-Speed-Protokoller vun der nächster Generatioun, déi parallel op Ärem Server lafen: Hysteria2 um Port 443/UDP an TUIC v5 um Port 8443/UDP. Béid Protokoller verstoppen den iwwerdroene Verkéier als eng verschlësselte Standard-QUIC-Verbindung (HTTP/3), wat eng stabil Verbindung och op extrem onstabile Kanäl garantéiert.

Déi konfiguréiert Profiler kënnen net nëmmen op Windows benotzt ginn, mä och an d'Hiddify mobil App fir Android oder iOS mat ähnlechen Astellungen importéiert ginn.

Wann Dir Verbindungsschwieregkeeten hutt, kontrolléiert als éischt de Servicestatus mat dem systemctl status Kommando hysteria.service (oder tuic-server.service), gitt sécher datt d'Firewall-Regele aktiv sinn (ufw status), a kontrolléiert nach eng Kéier ob d'IP Adress, d'UUID an d'Passwierder richteg aginn sinn. Opgepasst: Ausgestallt selbstsignéiert Zertifikater si 365 Deeg gëlteg, dofir musse se no genau engem Joer mat dem selwechten openssl req Kommando erneiert ginn.