Hysteria2-Protokoll: QUIC-Transport, brutale Geschwindigkeit und eine Tarnung als HTTP/3

Hysteria2 ist ein Open-Source-Proxy-Protokoll (MIT-Lizenz, eine Binärdatei, die als Server oder Client funktioniert), das TCP- und UDP-Datenverkehr über QUIC transportiert, das auf UDP basierende Transportprotokoll für HTTP/3. Es verbirgt sich hinter dem Erscheinungsbild eines gewöhnlichen Webservers, authentifiziert Clients mit einem Passwort und bezieht seine Geschwindigkeit aus einer Congestion Control namens Brutal. Es ist ein Protokoll und eine Software, kein VPN-Unternehmen: Ein Anbieter, eine Client-App oder ein selbst gehostetes Panel kann es unterstützen, und Sie können es auch auf Ihrem eigenen VPS betreiben.

Was passiert, wenn ein Client sich verbindet

Die Verbindung wird als standardmäßige QUIC-Sitzung gemäß RFC 9000 aufgebaut, daher muss der Server ein TLS-Zertifikat besitzen und lauscht standardmäßig auf UDP 443, dem Port, auf dem HTTP/3 normalerweise läuft. Nach dem Handshake sendet der Client eine HTTP/3-POST-Anfrage an /auth mit den Zugangsdaten in einem Header. Bei Erfolg erhält er eine Antwort mit dem Statuscode 233; ein falsches oder fehlendes Passwort führt zu gewöhnlichem Webserver-Verhalten, sodass ein Sondierer eine Website statt eines Proxys sieht. Nach der Authentifizierung wird jede TCP-Verbindung auf einen eigenen QUIC-Stream abgebildet, während UDP-Pakete als unzuverlässige Datagramme übertragen werden. Zu große UDP-Pakete werden in Fragmente aufgeteilt, und der Verlust eines einzigen Fragments vernichtet das gesamte Paket.

Brutal und die Bandbreite, die Sie eingeben

Die meisten Congestion Controls interpretieren Paketverlust als Überlastung und drosseln die Geschwindigkeit. Brutal macht das Gegenteil: Es behält die angegebene Rate bei und sendet sogar etwas schneller, um gemessenen Verlust auszugleichen. Der Haken: Brutal läuft nur in eine Richtung, in der tatsächlich ein Bandbreitenwert gesetzt ist; ohne einen fällt Hysteria2 auf BBR (oder Reno) zurück, und eine Serveroption kann Bandbreitenhinweise von Clients vollständig ablehnen. Wenn beide Seiten einen Wert angeben, gilt der niedrigere. Die dokumentierte Falle: Setzen Sie die Bandbreite nie höher, als die Leitung wirklich hergibt, sonst erhalten Sie eine langsame, instabile Verbindung und verschwendete Daten. Ein zu niedrig angesetzter Wert wirkt einfach als Geschwindigkeitslimit.

Drei Arten, wie sich der Server versteckt

Masquerade besiegt aktive Sondierung; Salamander richtet sich an Netzwerke, die QUIC oder HTTP/3 selbst blockieren, aber UDP durchlassen.

Port-Hopping, wenn ein UDP-Port gedrosselt wird

Wenn ein Internetanbieter einen einzelnen langlebigen UDP-Port drosselt, kann der Client in Abständen von mindestens fünf Sekunden über eine Liste oder einen Bereich von Ports springen (auf Wunsch mit Zufallsintervall zwischen einem Minimum und Maximum). Unter Linux belegt der Server den gesamten Portbereich und richtet die Firewall-Weiterleitung automatisch ein. Gegen einen netzweiten UDP-Block hilft das nichts. Es gibt auch einen Mimic-Fake-TCP-Modus, aber das ist eine Nischenlösung: nur unter Linux, erfordert Root und ein Kernel-Modul und lässt sich nicht mit Port-Hopping kombinieren.

Wo Hysteria2 punktet und wo es hakt

Verlustanfällige, überlastete oder weit entfernte Verbindungen (mobile Daten, überfülltes WLAN, interkontinentale Routen) sind sein Terrain, genau dort, wo TCP-typischer Backoff den Durchsatz killt. Büro- und Campus-Netzwerke, die UDP verwerfen oder drosseln, sind der Ort, an dem es still stirbt. Die sing-box-Dokumentation warnt außerdem, dass UDP-basierte Proxys auffälligere Verkehrsmuster haben als TCP-basierte, und ein gleichmäßiger Brutal-Datenstrom mit hoher Rate sieht nicht wie Browser-Datenverkehr aus. Behalten Sie VLESS mit Reality über TCP als Ausweichoption; der Vergleich von Hysteria2 und VLESS Reality erklärt, welches Protokoll Sie in welchem Netzwerk zuerst einsetzen sollten. TUIC ist die weitere QUIC-basierte Option, die einen Blick wert ist.

Hysteria2 in VPN-Diensten und -Apps

Von 543 Privatkunden-VPNs in der VPNRadarLab-Datenbank geben 23 Dienste an, Hysteria2 anzubieten, 126 führen es als nicht unterstützt, und die übrigen 394 veröffentlichen nichts zu dem Thema, was nicht dasselbe ist wie ein Nein. Das Ranking von Hysteria2-Anbietern, Clients und Panels umfasst 37 Einträge, davon 10 im Hauptranking, von Anbietern mit eigenen Servern über kostenlose Client-Apps bis hin zu selbst gehosteten Panels. Der offizielle Client bietet SOCKS5- und HTTP-Proxy-Ports, TCP/UDP-Weiterleitung, einen transparenten Proxy unter Linux und den TUN-Modus unter Windows, Linux und macOS; TUN transportiert nur TCP und UDP, daher wird ICMP-Ping lokal beantwortet.

Hysteria2-FAQ

Ist Hysteria2 ein VPN?

Hysteria2 selbst ist ein Proxy-Protokoll, kein VPN-Dienst. Wenn es das gesamte Gerät abdecken soll, erstellt der TUN-Modus des Clients einen virtuellen Netzwerkadapter und leitet den gesamten Datenverkehr darüber.

Braucht Hysteria2 eine Domain und ein Zertifikat?

Ein Zertifikat, ja. Eine Domain mit einem ACME-Zertifikat macht die Masquerade überzeugender, aber auch ein selbst signiertes Zertifikat mit einem gepinnten SHA-256-Fingerprint (pinSHA256) funktioniert und ist sicherer als das Flag insecure.

Was ist SNI bei Hysteria2?

Der Servername, den der Client für die Zertifikatsprüfung verwendet; ist er nicht gesetzt, wird standardmäßig die Serveradresse verwendet.

Funktioniert eine Hysteria-1-Konfiguration?

Nein. Version 2 ist eine Neuentwicklung ohne Interoperabilität mit 1.x; beide Enden müssen dieselbe Hauptversion verwenden.

Hysteria2 in Kürze

Ein passwortgeschützter QUIC-Tunnel, getarnt als HTTP/3-Website, schnell in schlechten Netzwerken, die UDP noch zulassen, nutzlos, wo UDP selbst blockiert ist. Setzen Sie die Bandbreite ehrlich an, denken Sie daran, UDP 443 in der Firewall zu öffnen (ein klassischer Fehler: nur TCP 443 offen, und der Client wartet ohne Fehlermeldung auf das Timeout), und führen Sie eine TCP-Ausweichoption mit. Die offizielle Protokollspezifikation behandelt die Details des auf der Verbindung übertragenen Protokollformats.