Hysteria2 з портхопінгом: обхід шейпінгу UDP на VPS

Hysteria2 з портхопінгом: як обійти шейпінг UDP на власному сервері

Щоб ефективно обійти шейпінг UDP на своєму сервері з Hysteria2 та запобігти падінню швидкості через кілька хвилин, налаштуйте портхопінг із діапазоном портів, наприклад, 10000-20000, і активуйте обфускацію Salamander. Це дозволяє динамічно змінювати порти з'єднання, роблячи трафік менш помітним для систем глибокого аналізу пакетів (DPI), які часто «ріжуть» або уповільнюють UDP-трафік на одному й тому самому порту.

Що таке Hysteria2 Port Hopping і навіщо він потрібен?

Hysteria2 — це високопродуктивний протокол на базі QUIC (UDP), стійкий до цензури, який завоював популярність завдяки своїй швидкості та здатності обходити блокування. Однак, попри всі його переваги, багато користувачів стикаються з проблемою, коли через кілька хвилин після початку використання Hysteria2 швидкість з'єднання різко падає, а пінг зростає. Це явна ознака того, що провайдер, найімовірніше, застосовує шейпінг або активно «ріже» UDP-трафік на конкретному порту. Саме в таких сценаріях `hysteria2 port hopping` стає незамінним інструментом. Портхопінг (port hopping) — це механізм, за якого сервер і клієнт Hysteria2 динамічно змінюють порти UDP для кожного нового з'єднання або сесії, вибираючи їх із заздалегідь заданого діапазону. Замість того, щоб постійно використовувати один і той самий порт (наприклад, стандартний 443 або 8443), з'єднання може використовувати порти 10001, потім 10002, потім 10005 тощо. Для провайдера це виглядає як безліч короткочасних UDP-сесій на різних портах, що значно ускладнює їх ідентифікацію та блокування за патернами. Якщо провайдер намагається шейпити трафік на конкретному порту, перемикання на інший порт у діапазоні дозволяє обійти це обмеження. Проблема `hysteria2 udp режут` (коли ріжуть UDP) виникає, коли системи DPI виявляють тривалі UDP-з'єднання на певних портах, характерні для VPN-трафіку, і починають їх примусово обмежувати. Стандартні методи обфускації, такі як TLS-маскування, можуть бути ефективними для приховування вмісту трафіку, але не для зміни його мережевих характеристик. Портхопінг же змінює саме ці характеристики, роблячи з'єднання більш "шумним" і менш передбачуваним для систем DPI.

Як працює шейпінг UDP і чому Hysteria2 працює повільно?

Шейпінг трафіку — це процес регулювання швидкості передачі даних для певних типів трафіку або користувачів. Провайдери використовують його для керування навантаженням на мережу, запобігання зловживанням і, на жаль, для обмеження доступу до певних сервісів, включно з VPN. UDP-трафік, на якому базується Hysteria2, часто стає мішенню для шейпінгу з кількох причин: 1. **Відсутність встановлення з'єднання (connectionless):** На відміну від TCP, UDP не має фази встановлення та завершення з'єднання, що робить його складнішим для контролю та аналізу на рівні DPI. Це, своєю чергою, провокує провайдерів на агресивніші методи, включно з блокуванням або уповільненням усього UDP-трафіку на певних портах, якщо він здається підозрілим. 2. **Висока пропускна здатність:** UDP часто використовується для потокової передачі даних, онлайн-ігор та інших застосунків, що вимагають низької затримки. Hysteria2, використовуючи QUIC, прагне максимальної швидкості, що може бути сприйнято системами DPI як потенційна загроза або небажаний трафік. 3. **Використання нестандартних портів:** Хоча Hysteria2 може працювати на порту 443 (який зазвичай асоціюється з HTTPS/TLS і рідше шейпиться), використання інших, менш поширених портів (наприклад, 8443, 50000+) може привернути увагу DPI, особливо якщо на цих портах спостерігається високий обсяг UDP-трафіку. 4. **Тривалі сесії:** Якщо Hysteria2 постійно використовує один і той самий порт для тривалої сесії, це створює чіткий патерн для DPI. Системи можуть почати уповільнювати або блокувати цей порт після певного обсягу переданих даних або після закінчення часу. Саме тому `hysteria2 працює повільно` стає проблемою через кілька хвилин. Коли `hysteria2 udp ріжуть`, це проявляється не тільки в падінні швидкості, але й у збільшенні затримки (пінгу), втраті пакетів та нестабільності з'єднання. Портхопінг у поєднанні з обфускацією, такою як `hysteria2 salamander`, дозволяє зробити трафік менш впізнаваним і більш динамічним, що суттєво ускладнює його ідентифікацію та подальший шейпінг провайдером. Щоб глибше зрозуміти відмінності між протоколами та вибрати найбільш підходящий для ваших завдань, ознайомтеся з нашим порівнянням Reality vs Shadowsocks-2022 vs Hysteria2: який протокол обрати у 2026.

Підготовка сервера: вибір VPS для Hysteria2 та налаштування ядра

Перш ніж приступати до налаштування `hysteria2 port hopping`, необхідно переконатися, що ваш VPS відповідає вимогам для стабільної та швидкої роботи.

Вибір оптимального VPS для Hysteria2

Для Hysteria2 критично важливі: * **Високошвидкісний мережевий канал:** Мінімум 1 Гбіт/с, а краще 10 Гбіт/с, особливо якщо ви плануєте обслуговувати кількох користувачів або передавати великі обсяги даних. * **Локація сервера:** Чим ближче сервер до вашого місцеперебування, тим нижчою буде затримка (пінг), що критично важливо для Hysteria2. Вибирайте сервер у регіоні, який географічно близький до вас або ваших користувачів, але знаходиться за межами юрисдикцій, що активно застосовують цензуру. * **Ліміти трафіку:** Переконайтеся, що тарифний план VPS включає достатній обсяг трафіку. Hysteria2 може споживати значні обсяги даних, особливо при активному використанні. Деякі провайдери пропонують безлімітний трафік, що є ідеальним варіантом. * **CPU та RAM:** Для одного-двох користувачів достатньо 1 vCPU та 1 GB RAM. Для 10-20 активних користувачів знадобиться 2-4 vCPU та 2-4 GB RAM. Hysteria2 не надто вимоглива до ресурсів, але обфускація та обробка безлічі UDP-з'єднань можуть збільшити навантаження. * **NVMe-диск:** Хоча Hysteria2 не активно використовує дискову підсистему, швидкий NVMe-диск завжди кращий для загальної продуктивності системи. Для 50 одночасних користувачів Hysteria2 достатньо 4 vCPU, 8 GB RAM та NVMe-диска на 80 GB.

Користувачів	vCPU	RAM	Диск	Порт	Ціна (орієнтовно, Valebyte, 2024)
1-5	1	1 GB	20 GB NVMe	1 Gbps	від $5/міс
5-20	2	2-4 GB	40 GB NVMe	1 Gbps	від $10/міс
20-50	4	4-8 GB	80 GB NVMe	1 Gbps	від $20/міс
50-100+	6-8	8-16 GB	160+ GB NVMe	10 Gbps	від $40/міс

Налаштування ядра Linux для Hysteria2

Для оптимальної роботи Hysteria2, особливо з великою кількістю одночасних з'єднань та портхопінгом, рекомендується збільшити ліміти файлових дескрипторів та буферів UDP. 1. **Збільшення лімітів файлових дескрипторів:** Відкрийте файл `/etc/sysctl.conf` та додайте такі рядки:

    fs.file-max = 1000000
    net.ipv4.tcp_max_syn_backlog = 65536
    net.ipv4.tcp_fin_timeout = 10
    net.ipv4.tcp_tw_reuse = 1
    net.ipv4.ip_local_port_range = 1024 65535
    

Потім застосуйте зміни:

sudo sysctl -p

2. **Збільшення буферів UDP:** Також у `/etc/sysctl.conf` додайте:

    net.core.rmem_max = 2500000
    net.core.wmem_max = 2500000
    net.core.rmem_default = 2500000
    net.core.wmem_default = 2500000
    net.core.netdev_max_backlog = 65536
    

Застосуйте зміни:

sudo sysctl -p

Ці налаштування допоможуть Hysteria2 ефективніше обробляти UDP-трафік та безліч з'єднань, що особливо важливо для `hysteria2 port hopping`. Якщо ви ще не налаштовували Hysteria2 на своєму сервері, рекомендуємо ознайомитися з нашою покроковою інструкцією з базового встановлення: Hysteria2 на VPS: встановлення та налаштування для обходу DPI у 2026.

Покрокове налаштування Hysteria2 з портхопінгом на сервері

Налаштування `hysteria2 порт хопінг` вимагає зміни конфігурації сервера Hysteria2 та правил фаєрволу.

Конфігурація діапазону портів у Hysteria2

Передбачається, що у вас вже встановлено Hysteria2. Якщо ні, зверніться до офіційної документації або нашої статті з базового встановлення. Відкрийте файл конфігурації Hysteria2 на сервері, зазвичай це `/etc/hysteria/config.json` або `/etc/hysteria2/config.json`. Для увімкнення портхопінгу вам потрібно вказати діапазон портів у параметрі `listen`. Замість одного порту використовуйте формат `IP:початковий_порт-кінцевий_порт`. Приклад конфігурації сервера з портхопінгом та обфускацією `hysteria2 salamander`:

{
  "listen": ":10000-20000",
  "acme": {
    "domains": [
      "your.domain.com"
    ],
    "email": "[email protected]"
  },
  "tls": {
    "cert": "/etc/hysteria/cert.pem",
    "key": "/etc/hysteria/key.pem",
    "acme": true
  },
  "auth": {
    "type": "password",
    "password": "your_strong_password"
  },
  "bandwidth": {
    "up": "100 Mbps",
    "down": "1 Gbps"
  },
  "obfs": "salamander",
  "obfsConf": "your_obfs_password",
  "quic": {
    "initStreamReceiveWindow": 8388608,
    "maxStreamReceiveWindow": 16777216,
    "initConnReceiveWindow": 16777216,
    "maxConnReceiveWindow": 33554432,
    "disablePathMTUDiscovery": false
  },
  "resolver": "https://1.1.1.1/dns-query"
}

У цьому прикладі: * `"listen": ":10000-20000"`: Вказує Hysteria2 прослуховувати всі доступні IP-адреси на портах у діапазоні від 10000 до 20000. * `"obfs": "salamander"`: Активує обфускацію Salamander. * `"obfsConf": "your_obfs_password"`: Встановлює пароль для обфускації Salamander. Цей пароль має збігатися на клієнті. * `"acme"`: Конфігурація для автоматичного отримання TLS-сертифікатів через Let's Encrypt. Це краще, ніж ручні сертифікати. Переконайтеся, що ваш домен коректно налаштований і вказує на IP вашого VPS. Після внесення змін перезапустіть сервіс Hysteria2:

sudo systemctl restart hysteria2

Правила iptables/nftables для перенаправлення діапазону

Для того щоб Hysteria2 міг використовувати вказаний діапазон портів, необхідно відкрити ці порти у фаєрволі сервера. **Для iptables:** Якщо ви використовуєте `iptables`, виконайте такі команди. Замініть `10000:20000` на ваш діапазон портів.

sudo iptables -A INPUT -p udp --dport 10000:20000 -j ACCEPT
sudo iptables -A OUTPUT -p udp --sport 10000:20000 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT # Для ACME HTTP-01 challenge
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT # Для ACME TLS-ALPN challenge
sudo netfilter-persistent save

Не забудьте зберегти правила, щоб вони збереглися після перезавантаження. Для систем з `ufw` це робиться командою `sudo ufw allow 10000:20000/udp`. **Для nftables:** Якщо ви використовуєте `nftables`, створіть або відредагуйте файл правил, наприклад, `/etc/nftables.conf`.

table ip filter {
    chain input {
        type filter hook input priority 0; policy drop;
        # allow established connections
        ct state {established, related} accept

        # allow SSH
        tcp dport 22 accept

        # allow Hysteria2 UDP port range
        udp dport 10000-20000 accept

        # allow ACME for TLS certs
        tcp dport { 80, 443 } accept

        # drop invalid packets
        ct state invalid drop
    }
}

Потім застосуйте правила:

sudo systemctl enable nftables
sudo systemctl start nftables
sudo nft -f /etc/nftables.conf

Переконайтеся, що ваш фаєрвол не блокує трафік, інакше `hysteria2 працюватиме повільно` не через провайдера, а через неправильне налаштування сервера.

Синхронне налаштування клієнта та увімкнення обфускації

Для коректної роботи `hysteria2 port hopping` клієнтський застосунок Hysteria2 також має бути налаштований на використання діапазону портів і ту саму обфускацію `hysteria2 salamander`, що й сервер.

Налаштування клієнта Hysteria2 для портхопінгу

На більшості клієнтських застосунків Hysteria2 (наприклад, на iOS, Android, Windows, macOS) налаштування портхопінгу виконується шляхом зазначення діапазону портів у полі "Port" або "Server Port". Приклад клієнтської конфігурації (для CLI-клієнта або текстового файлу):

{
  "server": "your.domain.com:10000-20000",
  "auth": {
    "type": "password",
    "password": "your_strong_password"
  },
  "tls": {
    "sni": "your.domain.com",
    "insecure": false,
    "pinSHA256": []
  },
  "obfs": "salamander",
  "obfsConf": "your_obfs_password",
  "bandwidth": {
    "up": "100 Mbps",
    "down": "1 Gbps"
  },
  "quic": {
    "initStreamReceiveWindow": 8388608,
    "maxStreamReceiveWindow": 16777216,
    "initConnReceiveWindow": 16777216,
    "maxConnReceiveWindow": 33554432,
    "disablePathMTUDiscovery": false
  },
  "resolver": "https://1.1.1.1/dns-query"
}

Ключові параметри: * `"server": "your.domain.com:10000-20000"`: Вказує клієнту, що сервер слухає на цьому домені та використовуватиме порти з діапазону 10000-20000. Клієнт випадковим чином вибиратиме порт із цього діапазону для кожного нового з'єднання. * `"obfs": "salamander"` та `"obfsConf": "your_obfs_password"`: Ці параметри мають точно збігатися з серверними для успішного встановлення з'єднання.

Hysteria2 Salamander: налаштування обфускації

Обфускація `hysteria2 salamander` — це вбудований механізм Hysteria2, який допомагає приховати сигнатури протоколу, роблячи його трафік менш відмінним від звичайного веб-трафіку (наприклад, HTTPS). У поєднанні з портхопінгом, `hysteria2 налаштування обфускації` Salamander значно підвищує стійкість до DPI. Для активації Salamander достатньо додати до конфігурації сервера та клієнта такі рядки: * Сервер:

    "obfs": "salamander",
    "obfsConf": "your_obfs_password"
    

* Клієнт:

    "obfs": "salamander",
    "obfsConf": "your_obfs_password"
    

Важливо використовувати досить складний та унікальний пароль `obfsConf`. Не використовуйте той самий пароль, що й для `auth`. Після налаштування клієнта запустіть його та перевірте з'єднання. Якщо `hysteria2 працює повільно` продовжує проявлятися, переходьте до діагностики.

Діагностика та усунення проблем: як відрізнити шейпінг від втрати пакетів

Коли `hysteria2 udp ріжуть` або `hysteria2 працює повільно`, важливо правильно діагностувати причину. Це може бути шейпінг провайдером, втрата пакетів на маршруті або проблеми із самим VPS.

Як відрізнити шейпінг від втрати пакетів?

1. **Спостереження за поведінкою швидкості:** * **Шейпінг:** Швидкість зазвичай висока в перші кілька хвилин, а потім різко або плавно падає до дуже низьких значень. Пінг може залишатися стабільним або незначно збільшуватися. Це характерно, коли провайдер виявляє та обмежує довготривалі з'єднання на певних портах. * **Втрата пакетів:** Швидкість може бути нестабільною із самого початку, з частими провалами. Пінг буде дуже високим і нестабільним, можливі дисконекти. Це може бути викликано перевантаженням мережі, поганим каналом зв'язку між вами та VPS, або проблемами на самому VPS. 2. **Використання утиліт діагностики:** * **Ping та MTR (My Traceroute):** * `ping your.domain.com`: Перевірте середній пінг та стабільність. Високий та нестабільний пінг вказує на проблеми з маршрутом або втратою пакетів. * `mtr -T -P 443 your.domain.com` (для TCP) або `mtr -U -P 10000 your.domain.com` (для UDP): MTR покаже кожен хоп на шляху до сервера та відсоток втрати пакетів на кожному з них. Якщо втрати пакетів значно зростають на будь-якому вузлі, це вказує на проблему з маршрутом. * **iperf3:** Це найкращий інструмент для вимірювання реальної пропускної здатності. * На сервері (після встановлення `sudo apt install iperf3`):

iperf3 -s -p 5201

* На клієнті:

iperf3 -c your.domain.com -p 5201 -u -b 100M -t 30

(де `-u` для UDP, `-b` для пропускної здатності, `-t` для тривалості). Запустіть тест *спочатку без Hysteria2*, а потім *через Hysteria2*. Порівняйте результати. Якщо швидкість без Hysteria2 стабільна, а через Hysteria2 падає після кількох хвилин, це майже напевно шейпінг. 3. **Моніторинг ресурсів сервера:** Використовуйте `htop`, `nmon` або `glances` на VPS, щоб переконатися, що проблема не пов'язана з перевантаженням CPU, RAM або мережевого інтерфейсу вашого сервера. Якщо завантаження CPU досягає 100% або RAM закінчується, це може бути причиною уповільнення.

Рекомендації щодо усунення проблем:

* **Перевірте фаєрвол:** Переконайтеся, що всі необхідні порти (діапазон для Hysteria2, 80 та 443 для ACME) відкриті. * **Змініть діапазон портів:** Якщо провайдер активно блокує певні діапазони, спробуйте змінити `10000-20000` на інший, наприклад, `30000-40000`. * **Використовуйте інший домен:** У рідкісних випадках провайдери можуть блокувати домени, асоційовані з VPN. * **Оновіть Hysteria2:** Переконайтеся, що у вас встановлена остання версія Hysteria2 як на сервері, так і на клієнті. Розробники постійно випускають оновлення з покращеннями обходу цензури. * **Спробуйте інший протокол:** Якщо `hysteria2 udp ріжуть` попри всі зусилля, можливо, у вашому регіоні провайдер надто агресивно блокує UDP. У цьому випадку варто розглянути альтернативи, такі як TUIC v5 або Reality. На нашому блозі є порівняння TUIC v5 на VPS у 2026: налаштування, тюнінг та порівняння з Hysteria2, яке допоможе вам вибрати. * **Перевірте локацію VPS:** Іноді проблема не в шейпінгу, а в поганому маршруті до певної локації. Спробуйте VPS в іншому місті або країні. * **Перевірте час життя TTL:** Переконайтеся, що ваш VPS коректно налаштований і не має проблем з часом життя пакетів (TTL), що може впливати на маршрутизацію. * **Перевірте DNS-резолвер:** Переконайтеся, що DNS-резолвер на сервері та клієнті працює стабільно. Використання публічних DNS-серверів (наприклад, 1.1.1.1 або 8.8.8.8) у конфігурації Hysteria2 може допомогти.

Вимоги до VPS для оптимальної роботи Hysteria2

Для того щоб `hysteria2 port hopping` та обфускація `hysteria2 salamander` працювали максимально ефективно, ваш VPS повинен володіти певними характеристиками. * **Потужний мережевий канал:** Як уже згадувалося, 1 Гбіт/с — це мінімум, але 10 Гбіт/с значно покращить продуктивність, особливо при передачі великих файлів або стрімінгу 4K-відео. У Valebyte.com ми пропонуємо VPS з високошвидкісними портами, що критично важливо для Hysteria2. * **Достатні ліміти трафіку:** Вибирайте тарифи зі щедрими лімітами трафіку або, в ідеалі, з безлімітним трафіком. Hysteria2 споживає стільки ж трафіку, скільки ви використовуєте в інтернеті, плюс невеликі накладні витрати протоколу. Якщо `hysteria2 працює повільно` через вичерпання ліміту, це не шейпінг, а обмеження провайдера. * **Близька локація:** Фізична відстань до сервера безпосередньо впливає на затримку. Вибирайте сервер у регіоні, який мінімізує пінг до вас. Наприклад, якщо ви знаходитесь у Східній Європі, сервер у Німеччині або Фінляндії буде кращим за сервер у США. Низький пінг (менше 50 мс) — запорука комфортного використання Hysteria2. * **Виділена IP-адреса:** Усі VPS від Valebyte.com надаються з виділеною IP-адресою, що виключає проблеми, пов'язані з блокуванням спільних IP-адрес. * **Сучасне обладнання:** Процесори з високою тактовою частотою та NVMe-диски забезпечують загальну продуктивність системи, хоча Hysteria2 не є дискоємним застосунком, вона виграє від швидкого CPU для обробки шифрування та обфускації. Вибір надійного хостинг-провайдера, такого як Valebyte.com, з якісними VPS-серверами та широким вибором локацій, є ключовим фактором для успішного розгортання Hysteria2 з `hysteria2 port hopping`.

Часті запитання

Чому Hysteria2 працює повільно через кілька хвилин, хоча спочатку швидкість чудова?

Це класичний симптом шейпінгу UDP-трафіку з боку інтернет-провайдера. Провайдери часто використовують DPI для виявлення та обмеження довготривалих UDP-з'єднань на певних портах, характерних для VPN. У перші 1-5 хвилин з'єднання може працювати на повній швидкості, доки система DPI не ідентифікує його і не почне застосовувати обмеження.

Чи допоможе портхопінг, якщо провайдер блокує весь UDP-трафік?

Якщо провайдер повністю блокує весь UDP-трафік, портхопінг не допоможе, оскільки немає можливості встановити навіть початкове UDP-з'єднання. Однак такі повні блокування всього UDP трапляються рідко. Найчастіше блокується або шейпиться UDP-трафік на конкретних портах або за певними патернами, що портхопінг та обфускація Salamander (з унікальним паролем) ефективно обходять, змінюючи порт і маскуючи трафік.

Чи можна використовувати портхопінг з іншими протоколами, такими як Shadowsocks або Reality?

Портхопінг — це специфічна функція, реалізована в Hysteria2 завдяки його основі на QUIC (UDP). Інші протоколи, такі як Shadowsocks або Reality (на базі TCP), мають свої механізми обходу блокувань. Shadowsocks-2022, наприклад, фокусується на сильній обфускації трафіку, а Reality — на маскуванні під легітимний TLS-трафік відомих сайтів. Ці протоколи не підтримують портхопінг у тому вигляді, як це робить Hysteria2, оскільки їхні принципи роботи відрізняються. Докладніше про Shadowsocks можна прочитати у статті: Shadowsocks-2022 на VPS: налаштування та обхід блокувань у 2026.

Який діапазон портів краще обрати для портхопінгу?

Рекомендується використовувати діапазон із кількох тисяч портів, наприклад, від 10000 до 20000 або від 30000 до 40000. Уникайте загальновідомих системних портів (0-1023) та портів, які часто використовуються іншими сервісами (наприклад, 22, 80, 443, 8080, 8443), якщо тільки ви не маскуєтеся під них. Більший діапазон дає більше варіативності та ускладнює аналіз для DPI, а обфускація Salamander (з паролем) додатково приховує протокол.

Висновки

Hysteria2 з `hysteria2 port hopping` та обфускацією `hysteria2 salamander` є потужним рішенням для обходу шейпінгу UDP та підтримки високої швидкості з'єднання. Налаштування діапазону портів на сервері та клієнті, а також активація надійної обфускації, критично важливі для протидії системам DPI. Вибір високопродуктивного VPS з достатнім мережевим каналом та близькою локацією, як пропонує Valebyte.com, забезпечить оптимальну базу для стабільної та швидкої роботи Hysteria2.