Hysteria2 og TUIC-oppsett

I dag er VPN- og proxy-teknologier stadig mer etterspurt. Brukere bruker dem for sikker internettilgang, omgåelse av sensur og beskyttelse mot eksterne trusler. Når du kobler deg til en slik server, går all trafikken din gjennom en kryptert tunnel, og serveren blir din inngangsport til nettverket.

Klassiske protokoller som OpenVPN eller WireGuard fungerer bra under stabile forhold, men lider ofte av hastighetsfall på dårlige forbindelser med høyt pakketap (mobilnettverk, offentlig Wi-Fi, land med streng sensur). Det er her moderne protokoller som Hysteria2 og TUIC kommer inn i bildet. De er bygget oppå QUIC, og tilbyr høy hastighet, lav latens og effektiv trafikkforvirring som vanlig HTTPS (HTTP/3).

Hysteria2 bruker «Brutal»-algoritmen, som aggressivt utnytter den tilgjengelige båndbredden. TUIC (versjon 5) kjennetegnes av minimal overhead, utmerket UDP-støtte og etablering av 0-RTT-tilkobling.

I denne artikkelen skal vi gå gjennom oppsett av serveren på Ubuntu/Debian og tilkobling fra Windows.

Det du trenger: en VPS som kjører Ubuntu 22.04/24.04 eller Debian 12, root-tilgang og serverens IP-adresse. Domene er ikke nødvendig.

Koble til serveren

Windows (PuTTY): åpne PuTTY, skriv inn YOUR_SERVER_IP som vert, 22 som port, og logg inn som root med passordet fra e-postadressen til VPS-leverandøren din.

Linux/macOS (terminal):

ssh root@YOUR_SERVER_IP

Alle kommandoene nedenfor kjøres på serveren, i samme økt.

Serverforberedelse (Ubuntu/Debian)

Aktiver IP-videresending

Dette lar serveren videresende klientpakker videre til internett.

nano /etc/sysctl.conf

Skriv inn eller opprett et passord (bruk kun engelske bokstaver og tall, ingen mellomrom).

Finn og fjern kommenteringen (fjern #-tegnet i begynnelsen) eller legg til følgende linje:

net.ipv4.ip_forward=1

Lagre filen (Ctrl+O, Enter) og avslutt (Ctrl+X). Bruk endringene uten å starte datamaskinen på nytt:

sysctl -p

NAT-oppsett (maskering)

Denne innstillingen lar klienter få tilgang til internett via serveren din ved hjelp av IP-adressen.

Finn ut navnet på det eksterne nettverksgrensesnittet ditt (det som vender mot internett):

ip link show

Vanligvis er dette eth0, ens3 eller enp1s0. Kopier eller husk den, og legg deretter til maskeringsregelen i iptables – erstatt eth0 med ditt eget grensesnittnavn:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Lagrer iptables-regler

For å forhindre at reglene blir tilbakestilt etter en omstart av serveren, må de lagres.

apt update
apt install iptables-persistent -y
netfilter-persistent save

Under installasjonen kan det hende du ser en melding om å lagre gjeldende IPv4/IPv6-regler – svar «Ja» begge gangene.

Brannmuroppsett (UFW)

Vi åpner alle portene vi trenger med en gang, så det er ikke nødvendig å gå tilbake til dette trinnet senere: 22 for SSH (hvis du hopper over dette, blir du låst ute av serveren), 443/udp for Hysteria2 og 8443/udp for TUIC.

apt install ufw -y
ufw allow 22/tcp
ufw allow 443/udp
ufw allow 8443/udp
ufw --force enable
ufw status

Utdataene fra ufw status bør liste alle tre reglene som aktive.

Hysteri2

Installere Hysteria2-serveren

chmod +x hysteria-linux-amd64
mv hysteria-linux-amd64 /usr/local/bin/hysteria
hysteria version

Sørg for at versjonsutdataene vises uten feil – dette bekrefter at binærfilen fungerer som den skal.

Opprette et selvsignert SSL-sertifikat

Vi trenger våre egne krypteringsnøkler for å beskytte trafikken mellom datamaskinen din og serveren. Siden vi ikke har et domene, genererer vi et selvsignert sertifikat som er gyldig i 365 dager. På grunn av dette må du aktivere «Hopp over sertifikatverifisering» i klienten senere.

mkdir -p /etc/hysteria
chmod 755 /etc/hysteria
 
openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /etc/hysteria/private.key \
  -out /etc/hysteria/cert.crt \
  -subj "/CN=YOUR_SERVER_IP"

ls -la /etc/hysteria/

Både cert.crt og private.key skal være oppført.

Opprette konfigurasjonsfilen

nano /etc/hysteria/config.yaml

Lim inn følgende, og erstatt DITT_PASSORD med ditt eget passord (kun engelske bokstaver og tall, ingen mellomrom):

listen: :443
 
tls:
  cert: /etc/hysteria/cert.crt
  key: /etc/hysteria/private.key
 
auth:
  type: password
  password: "YOUR_PASSWORD"
 
masquerade:
  type: proxy
  proxy:
    url: https://cloudflare.com
    rewriteHost: true

Maskeradeblokkeringen får serveren til å se ut som et vanlig nettsted hvis noen åpner IP-adressen i en nettleser, i stedet for å avsløre tegn på en proxy.

Lagre (Ctrl+O, Enter) og avslutt (Ctrl+X).

Konfigurere autostart

nano /etc/systemd/system/hysteria.service

Systemd-enhetsfilen for Hysteria2 autostart. 

[Unit]
Description=Hysteria2 Server
After=network.target
 
[Service]
Type=simple
ExecStart=/usr/local/bin/hysteria server --config /etc/hysteria/config.yaml
Restart=on-failure
RestartSec=5
 
[Install]
WantedBy=multi-user.target
systemctl daemon-reload
systemctl enable --now hysteria.service
systemctl status hysteria.service

Statusen skal vise aktiv (kjører). Hvis konsollen "står fast" i loggvisningen, trykker du på Q for å avslutte den.

TUIC v5

Laster ned og installerer TUIC

mkdir -p /usr/local/sbin/tuic

Sjekk tilgjengelige utgivelser:

curl -s https://api.github.com/repos/tuic-protocol/tuic/releases | grep -Po '"tag_name": "\K[^"]*' | head -10

Last ned serverbinærfilen – erstatt 1.0.0 med gjeldende versjonsnummer:

wget https://github.com/tuic-protocol/tuic/releases/download/1.0.0/tuic-server-1.0.0-x86_64-unknown-linux-gnu \
  -O /usr/local/sbin/tuic/tuic-server

chmod +x /usr/local/sbin/tuic/tuic-server
/usr/local/sbin/tuic/tuic-server --version

Opprette et selvsignert sertifikat for TUIC

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /usr/local/sbin/tuic/privkey.pem \
  -out /usr/local/sbin/tuic/fullchain.pem \
  -subj "/CN=YOUR_SERVER_IP"
 
ls -la /usr/local/sbin/tuic/

Generering av en UUID

apt install uuid-runtime -y

uuidgen

Kopier den resulterende UUID-en – du trenger den både i serverkonfigurasjonen nedenfor og i klientinnstillingene.

Opprette konfigurasjonsfilen

Den ferdige config.json-filen for TUIC-serveren:

nano /usr/local/sbin/tuic/config.json
{
    "server": "[::]:8443",
    "users": {
        "YOUR_UUID": "YOUR_TUIC_PASSWORD"
    },
    "certificate": "/usr/local/sbin/tuic/fullchain.pem",
    "private_key": "/usr/local/sbin/tuic/privkey.pem",
    "congestion_control": "bbr",
    "alpn": ["h3"],
    "log_level": "warn"
}

Vi bruker port 8443 her fordi 443 allerede er tatt av Hysteria2. Erstatt YOUR_UUID med verdien fra trinn 4.3 og YOUR_TUIC_PASSWORD med ditt eget passord.

Lagre (Ctrl+O, Enter) og avslutt (Ctrl+X).

Testing av manuell start

/usr/local/sbin/tuic/tuic-server -c /usr/local/sbin/tuic/config.json

Hvis det ikke vises noen feil, er konfigurasjonen gyldig. Stopp den med Ctrl+C og gå videre til å sette opp autostart.

Konfigurere autostart

nano /etc/systemd/system/tuic-server.service

[Unit]
Description=TUIC Server
After=network.target nss-lookup.target
 
[Service]
User=root
WorkingDirectory=/usr/local/sbin/tuic
ExecStart=/usr/local/sbin/tuic/tuic-server -c config.json
Restart=on-failure
RestartPreventExitStatus=1
RestartSec=5
 
[Install]
WantedBy=multi-user.target
systemctl daemon-reload
systemctl enable --now tuic-server.service
systemctl status tuic-server.service

Statusen skal vise aktiv (kjører).

Nå kjører to av de beste og raskeste moderne protokollene parallelt på serveren, begge utgir seg for å være vanlig QUIC/HTTPS-trafikk: Hysteria2 på standardport 443/udp, og TUIC v5 på port 8443/udp.

Koble til fra Windows

Installere Hiddify

Last ned og installer Hiddify for Windows fra det offisielle nettstedet: https://hiddify.com. Klikk gjennom installasjonsprogrammet med "Neste" / "Installer". Hvis Windows SmartScreen vises, velg "Mer info" → "Kjør likevel".

Hysteria2-profilen

Klikk på + (Ny profil) → "Manuell inntasting" → protokoll Hysteria2 , og fyll ut:

Hopp over sertifikatverifisering må aktiveres fordi sertifikatet er selvsignert – det er ingen klarert sertifiseringsinstans bak det.

TUIC v5-profil

Klikk på + (Ny profil) → "Manuell inntasting" → protokoll TUIC , og fyll ut:

Tilkobling og verifisering

Velg en profil, og klikk deretter på den store runde «Koble til»-knappen. Statusen skal endres til «Tilkoblet».

For å bekrefte at trafikken faktisk rutes gjennom serveren din, åpner du en hvilken som helst IP-sjekktjeneste i nettleseren din – adressen som vises skal samsvare med YOUR_SERVER_IP.

Konklusjon

Ved å fullføre denne veiledningen har du to høyhastighetsprotokoller av neste generasjon som kjører parallelt på serveren din: Hysteria2 på port 443/UDP og TUIC v5 på port 8443/UDP. Begge protokollene skjuler overført trafikk som en standard kryptert QUIC-tilkobling (HTTP/3), noe som sikrer en stabil forbindelse selv på ekstremt ustabile kanaler.

De konfigurerte profilene kan ikke bare brukes på Windows, men også importeres til Hiddify-mobilappen for Android eller iOS med lignende innstillinger.

Hvis du støter på tilkoblingsproblemer, må du først sjekke tjenestestatusene ved å bruke systemctl status-kommandoen hysteria.service (eller tuic-server.service), sørge for at brannmurreglene er aktive (ufw status), og dobbeltsjekke at IP-adressen, UUID og passordene er skrevet inn riktig. Merk: utstedte selvsignerte sertifikater er gyldige i 365 dager, så etter nøyaktig ett år må de fornyes ved å bruke den samme openssl req-kommandoen.