Hysteria2 och TUIC-uppsättning

Idag är VPN- och proxytekniker alltmer efterfrågade. Användare använder dem för säker internetåtkomst, kringgå censur och skydda mot externa hot. När du ansluter till en sådan server går all din trafik genom en krypterad tunnel, och servern blir din gateway till nätverket.

Klassiska protokoll som OpenVPN eller WireGuard presterar bra under stabila förhållanden men lider ofta av hastighetsförluster vid dåliga anslutningar med hög paketförlust (mobilnätverk, offentligt Wi-Fi, länder med strikt censur). Det är här moderna protokoll som Hysteria2 och TUIC kommer in i bilden. De är byggda ovanpå QUIC och erbjuder hög hastighet, låg latens och effektiv trafikförvirring som vanlig HTTPS (HTTP/3).

Hysteria2 använder algoritmen "Brutal", som aggressivt utnyttjar den tillgängliga bandbredden. TUIC (version 5) kännetecknas av minimal overhead, utmärkt UDP-stöd och 0-RTT-anslutningsetablering.

I den här artikeln går vi igenom hur man konfigurerar servern på Ubuntu/Debian och ansluter från Windows.

Det här behöver du: en VPS som kör Ubuntu 22.04/24.04 eller Debian 12, root-åtkomst och serverns IP-adress. Ingen domän krävs.

Ansluter till servern

Windows (PuTTY): öppna PuTTY, ange YOUR_SERVER_IP som värd, 22 som port och logga in som root med lösenordet från din VPS-leverantörs e-postadress.

Linux/macOS (terminal):

ssh root@YOUR_SERVER_IP

Alla kommandon nedan körs på servern, i samma session.

Serverförberedelse (Ubuntu/Debian)

Aktivera IP-vidarebefordran

Detta gör att servern kan vidarebefordra klientpaket vidare till internet.

nano /etc/sysctl.conf

Ange eller skapa ett lösenord (använd endast engelska bokstäver och siffror, inga mellanslag).

Hitta och avkommentera (ta bort # i början) eller lägg till följande rad:

net.ipv4.ip_forward=1

Spara filen (Ctrl+O, Enter) och avsluta (Ctrl+X). Verkställ ändringarna utan att starta om:

sysctl -p

NAT-konfiguration (maskerad)

Den här inställningen gör det möjligt för klienter att komma åt internet via din server med hjälp av dess IP-adress.

Ta reda på namnet på ditt externa nätverksgränssnitt (det som är riktat mot internet):

ip link show

Vanligtvis är detta eth0, ens3 eller enp1s0. Kopiera eller kom ihåg det, lägg sedan till maskeringsregeln i iptables — ersätt eth0 med ditt eget gränssnittsnamn:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Sparar iptables-regler

För att förhindra att reglerna återställs efter en omstart av servern måste de sparas.

apt update
apt install iptables-persistent -y
netfilter-persistent save

Under installationen kan du se en uppmaning att spara de aktuella IPv4/IPv6-reglerna — svara "Ja" båda gångerna.

Brandväggsinstallation (UFW)

Vi öppnar alla portar vi behöver direkt, så det finns ingen anledning att gå tillbaka till det här steget senare: 22 för SSH (om vi hoppar över detta låser vi dig ute från servern), 443/udp för Hysteria2 och 8443/udp för TUIC.

apt install ufw -y
ufw allow 22/tcp
ufw allow 443/udp
ufw allow 8443/udp
ufw --force enable
ufw status

Utdata från ufw status bör lista alla tre regler som aktiva.

Hysteri2

Installera Hysteria2-servern

chmod +x hysteria-linux-amd64
mv hysteria-linux-amd64 /usr/local/bin/hysteria
hysteria version

Se till att versionsutdata visas utan fel – detta bekräftar att binärfilen fungerar korrekt.

Skapa ett självsignerat SSL-certifikat

Vi behöver våra egna krypteringsnycklar för att skydda trafiken mellan din dator och servern. Eftersom vi inte har någon domän genererar vi ett självsignerat certifikat som är giltigt i 365 dagar. På grund av detta måste du aktivera "Skip Cert Verify" i klienten senare.

mkdir -p /etc/hysteria
chmod 755 /etc/hysteria
 
openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /etc/hysteria/private.key \
  -out /etc/hysteria/cert.crt \
  -subj "/CN=YOUR_SERVER_IP"

ls -la /etc/hysteria/

Både cert.crt och private.key ska listas.

Skapa konfigurationsfilen

nano /etc/hysteria/config.yaml

Klistra in följande och ersätt DITT_LÖSENORD med ditt eget lösenord (endast engelska bokstäver och siffror, inga mellanslag):

listen: :443
 
tls:
  cert: /etc/hysteria/cert.crt
  key: /etc/hysteria/private.key
 
auth:
  type: password
  password: "YOUR_PASSWORD"
 
masquerade:
  type: proxy
  proxy:
    url: https://cloudflare.com
    rewriteHost: true

Maskeradblocket gör att servern ser ut som en vanlig webbplats om någon öppnar dess IP-adress i en webbläsare, snarare än att avslöja tecken på en proxy.

Spara (Ctrl+O, Enter) och avsluta (Ctrl+X).

Konfigurera autostart

nano /etc/systemd/system/hysteria.service

Systemd-enhetsfilen för Hysteria2 autostart. 

[Unit]
Description=Hysteria2 Server
After=network.target
 
[Service]
Type=simple
ExecStart=/usr/local/bin/hysteria server --config /etc/hysteria/config.yaml
Restart=on-failure
RestartSec=5
 
[Install]
WantedBy=multi-user.target
systemctl daemon-reload
systemctl enable --now hysteria.service
systemctl status hysteria.service

Statusen ska visa aktiv (körs). Om konsolen har "fastnat" i loggvyn, tryck på Q för att avsluta den.

TUIC v5

Ladda ner och installera TUIC

mkdir -p /usr/local/sbin/tuic

Kontrollera tillgängliga utgåvor:

curl -s https://api.github.com/repos/tuic-protocol/tuic/releases | grep -Po '"tag_name": "\K[^"]*' | head -10

Ladda ner serverns binärfil — ersätt 1.0.0 med det aktuella versionsnumret:

wget https://github.com/tuic-protocol/tuic/releases/download/1.0.0/tuic-server-1.0.0-x86_64-unknown-linux-gnu \
  -O /usr/local/sbin/tuic/tuic-server

chmod +x /usr/local/sbin/tuic/tuic-server
/usr/local/sbin/tuic/tuic-server --version

Skapa ett självsignerat certifikat för TUIC

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /usr/local/sbin/tuic/privkey.pem \
  -out /usr/local/sbin/tuic/fullchain.pem \
  -subj "/CN=YOUR_SERVER_IP"
 
ls -la /usr/local/sbin/tuic/

Generera ett UUID

apt install uuid-runtime -y

uuidgen

Kopiera det resulterande UUID:t – du behöver det både i serverkonfigurationen nedan och i klientinställningarna.

Skapa konfigurationsfilen

Den färdiga config.json-filen för TUIC-servern:

nano /usr/local/sbin/tuic/config.json
{
    "server": "[::]:8443",
    "users": {
        "YOUR_UUID": "YOUR_TUIC_PASSWORD"
    },
    "certificate": "/usr/local/sbin/tuic/fullchain.pem",
    "private_key": "/usr/local/sbin/tuic/privkey.pem",
    "congestion_control": "bbr",
    "alpn": ["h3"],
    "log_level": "warn"
}

Vi använder port 8443 här eftersom 443 redan är upptagen av Hysteria2. Ersätt YOUR_UUID med värdet från steg 4.3 och YOUR_TUIC_PASSWORD med ditt eget lösenord.

Spara (Ctrl+O, Enter) och avsluta (Ctrl+X).

Testa en manuell start

/usr/local/sbin/tuic/tuic-server -c /usr/local/sbin/tuic/config.json

Om inga fel visas är konfigurationen giltig. Avsluta den med Ctrl+C och gå vidare till att konfigurera autostart.

Konfigurera autostart

nano /etc/systemd/system/tuic-server.service

[Unit]
Description=TUIC Server
After=network.target nss-lookup.target
 
[Service]
User=root
WorkingDirectory=/usr/local/sbin/tuic
ExecStart=/usr/local/sbin/tuic/tuic-server -c config.json
Restart=on-failure
RestartPreventExitStatus=1
RestartSec=5
 
[Install]
WantedBy=multi-user.target
systemctl daemon-reload
systemctl enable --now tuic-server.service
systemctl status tuic-server.service

Statusen ska visa aktiv (körs).

Nu körs två av de bästa och snabbaste moderna protokollen parallellt på servern, båda maskerade som vanlig QUIC/HTTPS-trafik: Hysteria2 på standardporten 443/udp och TUIC v5 på port 8443/udp.

Ansluta från Windows

Installera Hiddify

Ladda ner och installera Hiddify för Windows från den officiella webbplatsen: https://hiddify.com. Klicka igenom installationsprogrammet med "Nästa" / "Installera". Om Windows SmartScreen visas, välj "Mer information" → "Kör ändå".

Hysteria2-profil

Klicka på + (Ny profil) → "Manuell inmatning" → protokoll Hysteria2 och fyll i:

Hoppa över certifikatverifiering måste aktiveras eftersom certifikatet är självsignerat – det finns ingen betrodd certifikatutfärdare bakom det.

TUIC v5-profil

Klicka på + (Ny profil) → "Manuell inmatning" → protokoll TUIC och fyll i:

Ansluter och verifierar

Välj en profil och klicka sedan på den stora runda knappen "Anslut". Statusen bör ändras till "Ansluten".

För att bekräfta att trafiken faktiskt dirigeras via din server, öppna valfri IP-kontrolltjänst i din webbläsare – adressen som visas ska matcha YOUR_SERVER_IP.

Slutsats

Genom att slutföra den här guiden har du två snabba nästa generations protokoll som körs parallellt på din server: Hysteria2 på port 443/UDP och TUIC v5 på port 8443/UDP. Båda protokollen döljer överförd trafik som en standardkrypterad QUIC-anslutning (HTTP/3), vilket säkerställer en stabil anslutning även på extremt instabila kanaler.

De konfigurerade profilerna kan inte bara användas på Windows utan även importeras till Hiddify-mobilappen för Android eller iOS med liknande inställningar.

Om du stöter på anslutningsproblem, kontrollera först tjänstens status med hjälp av systemctl status-kommandot hysteria.service (eller tuic-server.service), se till att brandväggsreglerna är aktiva (ufw status) och dubbelkolla att IP-adressen, UUID och lösenorden är korrekt angivna. Observera: utfärdade självsignerade certifikat är giltiga i 365 dagar, så efter exakt ett år måste de förnyas med samma openssl req-kommando.