Hysteria2 con port hopping: evita el shaping UDP en tu VPS

Cómo configurar Hysteria2 con port hopping para evitar el shaping UDP en tu servidor

Para evitar eficazmente el shaping UDP en tu servidor con Hysteria2 y prevenir la caída de velocidad tras unos minutos, configura el port hopping con un rango de puertos, por ejemplo, 10000-20000, y activa la ofuscación Salamander, lo que permite cambiar dinámicamente los puertos de conexión haciendo el tráfico menos visible para los sistemas de análisis profundo de paquetes (DPI) que a menudo "cortan" o ralentizan el tráfico UDP en un mismo puerto.

¿Qué es el port hopping de Hysteria2 y por qué lo necesitas?

Hysteria2 es un protocolo de alto rendimiento, resistente a la censura y basado en QUIC (UDP), que ha ganado popularidad por su velocidad y capacidad para evadir bloqueos. Sin embargo, a pesar de todas sus ventajas, muchos usuarios se enfrentan al problema de que, a los pocos minutos de empezar a usar Hysteria2, la velocidad de conexión cae drásticamente y el ping aumenta. Esto es una señal clara de que el proveedor, muy probablemente, está aplicando shaping o "cortando" activamente el tráfico UDP en un puerto específico. Es precisamente en estos escenarios donde el `hysteria2 port hopping` se convierte en una herramienta indispensable. El port hopping es un mecanismo mediante el cual el servidor y el cliente de Hysteria2 cambian dinámicamente los puertos UDP para cada nueva conexión o sesión, seleccionándolos de un rango predefinido. En lugar de usar constantemente el mismo puerto (por ejemplo, el estándar 443 o 8443), la conexión puede usar los puertos 10001, luego 10002, luego 10005, y así sucesivamente. Para el proveedor, esto parece una multitud de sesiones UDP de corta duración en diferentes puertos, lo que dificulta significativamente su identificación y bloqueo por patrones. Si el proveedor intenta aplicar shaping al tráfico en un puerto específico, el cambio a otro puerto dentro del rango permite eludir esta restricción. El problema de que `Hysteria2 UDP es cortado` surge cuando los sistemas DPI detectan conexiones UDP de larga duración en puertos específicos, característicos del tráfico VPN, y comienzan a limitarlas forzosamente. Los métodos de ofuscación estándar, como el enmascaramiento TLS, pueden ser efectivos para ocultar el contenido del tráfico, pero no para cambiar sus características de red. El port hopping, en cambio, modifica precisamente estas características, haciendo la conexión más "ruidosa" y menos predecible para los sistemas DPI.

Cómo funciona el shaping UDP y por qué Hysteria2 se ralentiza

El shaping de tráfico es un proceso de regulación de la velocidad de transferencia de datos para ciertos tipos de tráfico o usuarios. Los proveedores lo utilizan para gestionar la carga de la red, prevenir abusos y, lamentablemente, para restringir el acceso a ciertos servicios, incluyendo las VPN. El tráfico UDP, en el que se basa Hysteria2, a menudo es un objetivo para el shaping por varias razones: 1. **Ausencia de establecimiento de conexión (connectionless):** A diferencia de TCP, UDP no tiene una fase de establecimiento y finalización de conexión, lo que lo hace más complejo de controlar y analizar a nivel de DPI. Esto, a su vez, provoca que los proveedores recurran a métodos más agresivos, incluyendo el bloqueo o la ralentización de todo el tráfico UDP en puertos específicos si parece sospechoso. 2. **Alto ancho de banda:** UDP se utiliza a menudo para streaming, juegos en línea y otras aplicaciones que requieren baja latencia. Hysteria2, al usar QUIC, busca la máxima velocidad, lo que puede ser percibido por los sistemas DPI como una amenaza potencial o tráfico no deseado. 3. **Uso de puertos no estándar:** Aunque Hysteria2 puede funcionar en el puerto 443 (que generalmente se asocia con HTTPS/TLS y rara vez se le aplica shaping), el uso de otros puertos menos comunes (por ejemplo, 8443, 50000+) puede llamar la atención del DPI, especialmente si se observa un alto volumen de tráfico UDP en esos puertos. 4. **Sesiones de larga duración:** Si Hysteria2 utiliza constantemente el mismo puerto para una sesión prolongada, esto crea un patrón claro para el DPI. Los sistemas pueden comenzar a ralentizar o bloquear ese puerto después de un cierto volumen de datos transferidos o al expirar un tiempo. Por eso `Hysteria2 lento` se convierte en un problema después de unos minutos. Cuando `el UDP de Hysteria2 es limitado`, esto se manifiesta no solo en una caída de velocidad, sino también en un aumento de la latencia (ping), pérdida de paquetes e inestabilidad de la conexión. El port hopping, en combinación con la ofuscación, como `hysteria2 salamander`, permite que el tráfico sea menos reconocible y más dinámico, lo que dificulta sustancialmente su identificación y posterior shaping por parte del proveedor. Para comprender mejor las diferencias entre los protocolos y elegir el más adecuado para tus tareas, consulta nuestra comparación Reality vs Shadowsocks-2022 vs Hysteria2: qué protocolo elegir en 2026.

Preparación del servidor: cómo elegir un VPS para Hysteria2 y optimizar el kernel

Antes de proceder con la configuración de `hysteria2 port hopping`, es necesario asegurarse de que tu VPS cumpla con los requisitos para un funcionamiento estable y rápido.

Selección del VPS óptimo para Hysteria2

Para Hysteria2, son críticamente importantes: * **Canal de red de alta velocidad:** Mínimo 1 Gbit/s, y preferiblemente 10 Gbit/s, especialmente si planeas atender a varios usuarios o transferir grandes volúmenes de datos. * **Ubicación del servidor:** Cuanto más cerca esté el servidor de tu ubicación, menor será la latencia (ping), lo cual es crucial para Hysteria2. Elige un servidor en una región geográficamente cercana a ti o a tus usuarios, pero fuera de jurisdicciones que apliquen activamente la censura. * **Límites de tráfico:** Asegúrate de que el plan de tu VPS incluya un volumen de tráfico suficiente. Hysteria2 puede consumir cantidades significativas de datos, especialmente con un uso activo. Algunos proveedores ofrecen tráfico ilimitado, lo cual es la opción ideal. * **CPU y RAM:** Para uno o dos usuarios, es suficiente 1 vCPU y 1 GB de RAM. Para 10-20 usuarios activos, se requerirán 2-4 vCPU y 2-4 GB de RAM. Hysteria2 no es excesivamente exigente en recursos, pero la ofuscación y el procesamiento de múltiples conexiones UDP pueden aumentar la carga. * **Disco NVMe:** Aunque Hysteria2 no utiliza activamente el subsistema de disco, un disco NVMe rápido siempre es preferible para el rendimiento general del sistema. Para 50 usuarios simultáneos de Hysteria2, son suficientes 4 vCPU, 8 GB de RAM y un disco NVMe de 80 GB.

Usuarios	vCPU	RAM	Disco	Puerto	Precio (estimado, Valebyte, 2024)
1-5	1	1 GB	20 GB NVMe	1 Gbps	desde $5/mes
5-20	2	2-4 GB	40 GB NVMe	1 Gbps	desde $10/mes
20-50	4	4-8 GB	80 GB NVMe	1 Gbps	desde $20/mes
50-100+	6-8	8-16 GB	160+ GB NVMe	10 Gbps	desde $40/mes

Configuración del kernel Linux para Hysteria2

Para un funcionamiento óptimo de Hysteria2, especialmente con un gran número de conexiones simultáneas y port hopping, se recomienda aumentar los límites de descriptores de archivo y búferes UDP. 1. **Aumento de los límites de descriptores de archivo:** Abre el archivo `/etc/sysctl.conf` y añade las siguientes líneas:

    fs.file-max = 1000000
    net.ipv4.tcp_max_syn_backlog = 65536
    net.ipv4.tcp_fin_timeout = 10
    net.ipv4.tcp_tw_reuse = 1
    net.ipv4.ip_local_port_range = 1024 65535
    

Luego, aplica los cambios:

sudo sysctl -p

2. **Aumento de los búferes UDP:** También en `/etc/sysctl.conf`, añade:

    net.core.rmem_max = 2500000
    net.core.wmem_max = 2500000
    net.core.rmem_default = 2500000
    net.core.wmem_default = 2500000
    net.core.netdev_max_backlog = 65536
    

Aplica los cambios:

sudo sysctl -p

Estas configuraciones ayudarán a Hysteria2 a procesar el tráfico UDP y múltiples conexiones de manera más eficiente, lo cual es especialmente importante para el `hysteria2 port hopping`. Si aún no has configurado Hysteria2 en tu servidor, te recomendamos consultar nuestra guía paso a paso para la instalación básica: Hysteria2 en VPS: instalación y configuración para evitar el DPI en 2026.

Guía paso a paso para configurar Hysteria2 con port hopping en el servidor

La configuración de `hysteria2 port hopping` requiere modificar la configuración del servidor Hysteria2 y las reglas del firewall.

Configuración del rango de puertos en Hysteria2

Se asume que ya tienes Hysteria2 instalado. Si no es así, consulta la documentación oficial o nuestro artículo sobre la instalación básica. Abre el archivo de configuración de Hysteria2 en el servidor, que suele ser `/etc/hysteria/config.json` o `/etc/hysteria2/config.json`. Para activar el port hopping, debes especificar un rango de puertos en el parámetro `listen`. En lugar de un solo puerto, usa el formato `IP:puerto_inicial-puerto_final`. Ejemplo de configuración del servidor con port hopping y ofuscación `hysteria2 salamander`:

{
  "listen": ":10000-20000",
  "acme": {
    "domains": [
      "your.domain.com"
    ],
    "email": "[email protected]"
  },
  "tls": {
    "cert": "/etc/hysteria/cert.pem",
    "key": "/etc/hysteria/key.pem",
    "acme": true
  },
  "auth": {
    "type": "password",
    "password": "your_strong_password"
  },
  "bandwidth": {
    "up": "100 Mbps",
    "down": "1 Gbps"
  },
  "obfs": "salamander",
  "obfsConf": "your_obfs_password",
  "quic": {
    "initStreamReceiveWindow": 8388608,
    "maxStreamReceiveWindow": 16777216,
    "initConnReceiveWindow": 16777216,
    "maxConnReceiveWindow": 33554432,
    "disablePathMTUDiscovery": false
  },
  "resolver": "https://1.1.1.1/dns-query"
}

En este ejemplo: * `"listen": ":10000-20000"`: Indica a Hysteria2 que escuche en todas las direcciones IP disponibles en el rango de puertos de 10000 a 20000. * `"obfs": "salamander"`: Activa la ofuscación Salamander. * `"obfsConf": "your_obfs_password"`: Establece la contraseña para la ofuscación Salamander. Esta contraseña debe coincidir en el cliente. * `"acme"`: Configuración para la obtención automática de certificados TLS a través de Let's Encrypt. Esto es preferible a los certificados manuales. Asegúrate de que tu dominio esté configurado correctamente y apunte a la IP de tu VPS. Después de realizar los cambios, reinicia el servicio Hysteria2:

sudo systemctl restart hysteria2

Reglas de iptables/nftables para el redireccionamiento del rango de puertos

Para que Hysteria2 pueda utilizar el rango de puertos especificado, es necesario abrir estos puertos en el firewall del servidor. **Para iptables:** Si utilizas `iptables`, ejecuta los siguientes comandos. Reemplaza `10000:20000` con tu rango de puertos.

sudo iptables -A INPUT -p udp --dport 10000:20000 -j ACCEPT
sudo iptables -A OUTPUT -p udp --sport 10000:20000 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT # Para ACME HTTP-01 challenge
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT # Para ACME TLS-ALPN challenge
sudo netfilter-persistent save

No olvides guardar las reglas para que persistan después de un reinicio. Para sistemas con `ufw`, esto se hace con el comando `sudo ufw allow 10000:20000/udp`. **Para nftables:** Si utilizas `nftables`, crea o edita el archivo de reglas, por ejemplo, `/etc/nftables.conf`.

table ip filter {
    chain input {
        type filter hook input priority 0; policy drop;
        # allow established connections
        ct state {established, related} accept

        # allow SSH
        tcp dport 22 accept

        # allow Hysteria2 UDP port range
        udp dport 10000-20000 accept

        # allow ACME for TLS certs
        tcp dport { 80, 443 } accept

        # drop invalid packets
        ct state invalid drop
    }
}

Luego, aplica las reglas:

sudo systemctl enable nftables
sudo systemctl start nftables
sudo nft -f /etc/nftables.conf

Asegúrate de que tu firewall no bloquee el tráfico, de lo contrario, `Hysteria2 lento` no será por el proveedor, sino por una configuración incorrecta del servidor.

Configuración sincronizada del cliente y activación de la ofuscación

Para un funcionamiento correcto del `hysteria2 port hopping`, la aplicación cliente de Hysteria2 también debe configurarse para usar el rango de puertos y la misma ofuscación `hysteria2 salamander` que el servidor.

Cómo configurar el cliente Hysteria2 para port hopping

En la mayoría de las aplicaciones cliente de Hysteria2 (por ejemplo, en iOS, Android, Windows, macOS), la configuración del port hopping se realiza especificando el rango de puertos en el campo "Port" o "Server Port". Ejemplo de configuración del cliente (para cliente CLI o archivo de texto):

{
  "server": "your.domain.com:10000-20000",
  "auth": {
    "type": "password",
    "password": "your_strong_password"
  },
  "tls": {
    "sni": "your.domain.com",
    "insecure": false,
    "pinSHA256": []
  },
  "obfs": "salamander",
  "obfsConf": "your_obfs_password",
  "bandwidth": {
    "up": "100 Mbps",
    "down": "1 Gbps"
  },
  "quic": {
    "initStreamReceiveWindow": 8388608,
    "maxStreamReceiveWindow": 16777216,
    "initConnReceiveWindow": 16777216,
    "maxConnReceiveWindow": 33554432,
    "disablePathMTUDiscovery": false
  },
  "resolver": "https://1.1.1.1/dns-query"
}

Parámetros clave: * `"server": "your.domain.com:10000-20000"`: Indica al cliente que el servidor escucha en este dominio y utilizará puertos del rango 10000-20000. El cliente seleccionará aleatoriamente un puerto de este rango para cada nueva conexión. * `"obfs": "salamander"` y `"obfsConf": "your_obfs_password"`: Estos parámetros deben coincidir exactamente con los del servidor para establecer la conexión con éxito.

Hysteria2 Salamander: configuración de la ofuscación

La ofuscación `hysteria2 salamander` es un mecanismo integrado en Hysteria2 que ayuda a ocultar las firmas del protocolo, haciendo que su tráfico sea menos distinguible del tráfico web normal (por ejemplo, HTTPS). En combinación con el port hopping, la `configuración de ofuscación de Hysteria2` Salamander aumenta significativamente la resistencia al DPI. Para activar Salamander, basta con añadir las siguientes líneas en la configuración del servidor y del cliente: * Servidor:

    "obfs": "salamander",
    "obfsConf": "your_obfs_password"
    

* Cliente:

    "obfs": "salamander",
    "obfsConf": "your_obfs_password"
    

Es importante usar una contraseña `obfsConf` suficientemente compleja y única. No uses la misma contraseña que para `auth`. Después de configurar el cliente, ejecútalo y verifica la conexión. Si `Hysteria2 lento` persiste, procede al diagnóstico.

Diagnóstico y solución de problemas: cómo diferenciar el shaping de la pérdida de paquetes

Cuando `el UDP de Hysteria2 es limitado` o `Hysteria2 lento`, es importante diagnosticar correctamente la causa. Esto puede ser shaping por parte del proveedor, pérdida de paquetes en la ruta o problemas con el propio VPS.

Cómo distinguir el shaping de la pérdida de paquetes?

1. **Observación del comportamiento de la velocidad:** * **Shaping:** La velocidad suele ser alta durante los primeros minutos y luego cae abrupta o gradualmente a valores muy bajos. El ping puede permanecer estable o aumentar ligeramente. Esto es característico cuando el proveedor detecta y limita las conexiones de larga duración en puertos específicos. * **Pérdida de paquetes:** La velocidad puede ser inestable desde el principio, con caídas frecuentes. El ping será muy alto e inestable, y son posibles las desconexiones. Esto puede ser causado por una congestión de la red, un canal de comunicación deficiente entre tú y el VPS, o problemas en el propio VPS. 2. **Uso de utilidades de diagnóstico:** * **Ping y MTR (My Traceroute):** * `ping your.domain.com`: Verifica el ping promedio y la estabilidad. Un ping alto e inestable indica problemas de ruta o pérdida de paquetes. * `mtr -T -P 443 your.domain.com` (para TCP) o `mtr -U -P 10000 your.domain.com` (para UDP): MTR mostrará cada salto en la ruta al servidor y el porcentaje de pérdida de paquetes en cada uno. Si la pérdida de paquetes aumenta significativamente en algún nodo, esto indica un problema con la ruta. * **iperf3:** Es la mejor herramienta para medir el ancho de banda real. * En el servidor (después de instalar `sudo apt install iperf3`):

iperf3 -s -p 5201

* En el cliente:

iperf3 -c your.domain.com -p 5201 -u -b 100M -t 30

(donde `-u` es para UDP, `-b` para el ancho de banda, `-t` para la duración). Ejecuta la prueba *primero sin Hysteria2*, y luego *a través de Hysteria2*. Compara los resultados. Si la velocidad sin Hysteria2 es estable, y a través de Hysteria2 cae después de unos minutos, es casi seguro que es shaping. 3. **Monitoreo de recursos del servidor:** Usa `htop`, `nmon` o `glances` en el VPS para asegurarte de que el problema no esté relacionado con una sobrecarga de CPU, RAM o la interfaz de red de tu servidor. Si la carga de CPU alcanza el 100% o la RAM se agota, esto puede ser la causa de la ralentización.

Recomendaciones para la resolución de problemas:

* **Verifica el firewall:** Asegúrate de que todos los puertos necesarios (el rango para Hysteria2, 80 y 443 para ACME) estén abiertos. * **Cambia el rango de puertos:** Si el proveedor bloquea activamente ciertos rangos, intenta cambiar `10000-20000` a otro, por ejemplo, `30000-40000`. * **Usa otro dominio:** En raras ocasiones, los proveedores pueden bloquear dominios asociados con VPN. * **Actualiza Hysteria2:** Asegúrate de tener instalada la última versión de Hysteria2 tanto en el servidor como en el cliente. Los desarrolladores lanzan constantemente actualizaciones con mejoras para la evasión de la censura. * **Prueba otro protocolo:** Si `el UDP de Hysteria2 es limitado` a pesar de todos los esfuerzos, es posible que en tu región el proveedor bloquee el UDP de forma demasiado agresiva. En este caso, vale la pena considerar alternativas como TUIC v5 o Reality. En nuestro blog, hay una comparación TUIC v5 en VPS en 2026: configuración, optimización y comparación con Hysteria2, que te ayudará a elegir. * **Verifica la ubicación del VPS:** A veces el problema no es el shaping, sino una mala ruta a una ubicación específica. Prueba un VPS en otra ciudad o país. * **Verifica el tiempo de vida (TTL):** Asegúrate de que tu VPS esté configurado correctamente y no tenga problemas con el tiempo de vida de los paquetes (TTL), lo que puede afectar el enrutamiento. * **Verifica el resolvedor DNS:** Asegúrate de que el resolvedor DNS en el servidor y el cliente funcione de manera estable. El uso de servidores DNS públicos (por ejemplo, 1.1.1.1 o 8.8.8.8) en la configuración de Hysteria2 puede ayudar.

Requisitos de VPS para un rendimiento óptimo de Hysteria2

Para que el `hysteria2 port hopping` y la ofuscación `hysteria2 salamander` funcionen con la máxima eficacia, tu VPS debe tener ciertas características. * **Canal de red potente:** Como ya se mencionó, 1 Gbit/s es el mínimo, pero 10 Gbit/s mejorará significativamente el rendimiento, especialmente al transferir archivos grandes o transmitir video 4K. En Valebyte.com ofrecemos VPS con puertos de alta velocidad, lo cual es críticamente importante para Hysteria2. * **Límites de tráfico suficientes:** Elige planes con límites de tráfico generosos o, idealmente, con tráfico ilimitado. Hysteria2 consume la misma cantidad de tráfico que utilizas en internet, más una pequeña sobrecarga del protocolo. Si `Hysteria2 lento` se debe al agotamiento del límite, no es shaping, sino una restricción del proveedor. * **Ubicación cercana:** La distancia física al servidor afecta directamente la latencia. Elige un servidor en una región que minimice el ping hasta ti. Por ejemplo, si te encuentras en Europa del Este, un servidor en Alemania o Finlandia será preferible a uno en Estados Unidos. Un ping bajo (menos de 50 ms) es la clave para un uso cómodo de Hysteria2. * **Dirección IP dedicada:** Todos los VPS de Valebyte.com se proporcionan con una dirección IP dedicada, lo que elimina los problemas asociados con el bloqueo de direcciones IP compartidas. * **Hardware moderno:** Los procesadores con alta frecuencia de reloj y los discos NVMe garantizan el rendimiento general del sistema, aunque Hysteria2 no es una aplicación intensiva en disco, se beneficia de una CPU rápida para el procesamiento de cifrado y ofuscación. La elección de un proveedor de hosting fiable, como Valebyte.com, con servidores VPS de calidad y una amplia selección de ubicaciones, es un factor clave para el despliegue exitoso de Hysteria2 con `hysteria2 port hopping`.

Preguntas Frecuentes

¿Por qué Hysteria2 funciona lento después de unos minutos, aunque al principio la velocidad es excelente?

Es un síntoma clásico del shaping de tráfico UDP por parte del proveedor de internet. Los proveedores a menudo utilizan DPI para detectar y limitar las conexiones UDP de larga duración en puertos específicos, característicos del tráfico VPN. Durante los primeros 1-5 minutos, la conexión puede funcionar a máxima velocidad hasta que el sistema DPI la identifica y comienza a aplicar restricciones.

¿Ayudará el port hopping si el proveedor bloquea todo el tráfico UDP?

Si el proveedor bloquea completamente todo el tráfico UDP, el port hopping no ayudará, ya que no es posible establecer ni siquiera una conexión UDP inicial. Sin embargo, estos bloqueos completos de todo el UDP son raros. Lo más común es que se bloquee o se aplique shaping al tráfico UDP en puertos específicos o según ciertos patrones, lo cual el port hopping y la ofuscación Salamander (con una contraseña única) evitan eficazmente al cambiar el puerto y enmascarar el tráfico.

¿Se puede usar port hopping con otros protocolos como Shadowsocks o Reality?

El port hopping es una función específica implementada en Hysteria2 gracias a su base en QUIC (UDP). Otros protocolos, como Shadowsocks o Reality (basados en TCP), tienen sus propios mecanismos para evadir bloqueos. Shadowsocks-2022, por ejemplo, se enfoca en una fuerte ofuscación del tráfico, mientras que Reality lo hace en el enmascaramiento bajo tráfico TLS legítimo de sitios web conocidos. Estos protocolos no soportan el port hopping de la misma manera que Hysteria2, ya que sus principios de funcionamiento son diferentes. Puedes leer más sobre Shadowsocks en el artículo: Shadowsocks-2022 en VPS: configuración y evasión de bloqueos en 2026.

¿Qué rango de puertos es mejor elegir para el port hopping?

Se recomienda utilizar un rango de varios miles de puertos, por ejemplo, de 10000 a 20000 o de 30000 a 40000. Evita los puertos de sistema conocidos (0-1023) y los puertos que a menudo son utilizados por otros servicios (por ejemplo, 22, 80, 443, 8080, 8443), a menos que te estés enmascarando bajo ellos. Un rango más amplio ofrece mayor variabilidad y dificulta el análisis para el DPI, y la ofuscación Salamander (con contraseña) oculta adicionalmente el protocolo.

Conclusiones

Hysteria2 con `hysteria2 port hopping` y ofuscación `hysteria2 salamander` es una solución potente para evitar el shaping UDP y mantener una alta velocidad de conexión. La configuración del rango de puertos en el servidor y el cliente, así como la activación de una ofuscación fiable, son cruciales para contrarrestar los sistemas DPI. La elección de un VPS de alto rendimiento con un canal de red suficiente y una ubicación cercana, como ofrece Valebyte.com, proporcionará la base óptima para un funcionamiento estable y rápido de Hysteria2.