Hysteria2 搭建教程：QUIC 弱网加速与参数调优-CatTzi

Hysteria2 走的是 QUIC（UDP），在丢包严重的移动网络和跨境长链路上，体感往往比 TCP 方案快一倍以上。代价是 UDP 特征明显，部分地区会直接限速或阻断。这篇讲部署、证书、调优和它真正擅长的场景。

一、它为什么快

普通 TCP 代理在丢包时会被拥塞控制拖死：一个包丢了，窗口直接减半。跨境线路丢包率常年 1%～5%，速度就这么没了。Hysteria2 基于 QUIC，自带 BBR 类拥塞控制和前向纠错，丢包时不等重传、靠冗余包恢复，所以弱网优势明显。

它另外支持端口跳跃（一段 UDP 端口都能收），对运营商的 UDP QoS 有一定缓解作用。

二、服务端安装

apt update && apt -y install curl ufw
bash <(curl -fsSL https://get.hy2.sh/)

# Hysteria2 走 UDP，防火墙别只放 TCP
ufw allow 443/udp
ufw allow 22/tcp
ufw --force enable

# 高带宽必须调大 UDP 缓冲
cat >> /etc/sysctl.conf <<'EOF'
net.core.rmem_max=16777216
net.core.wmem_max=16777216
EOF
sysctl -p

三、证书：两条路

有域名就用 ACME 签真证书，没域名就自签加客户端跳过校验。

# 路线 A：真证书
apt -y install certbot
certbot certonly --standalone -d your-domain.com --agree-tos -m you@example.com

# 路线 B：自签（无域名）
mkdir -p /etc/hysteria
openssl req -x509 -nodes -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 \
  -keyout /etc/hysteria/key.pem -out /etc/hysteria/cert.pem \
  -subj "/CN=www.bing.com" -days 3650

四、服务端配置

cat > /etc/hysteria/config.yaml <<'EOF'
listen: :443

tls:
  cert: /etc/hysteria/cert.pem
  key: /etc/hysteria/key.pem

auth:
  type: password
  password: 换成你的强密码

masquerade:
  type: proxy
  proxy:
    url: https://news.ycombinator.com/
    rewriteHost: true

bandwidth:
  up: 200 mbps
  down: 500 mbps
EOF

systemctl restart hysteria-server
systemctl status hysteria-server --no-pager
journalctl -u hysteria-server -n 20 --no-pager

配置项	作用	建议
`masquerade`	密码不对时伪装成访问某个网站	填真实存在的站
`bandwidth`	告诉服务端链路带宽，影响拥塞控制	按实际带宽的 80% 写
`listen`	监听端口	UDP 443，与 TCP 443 互不冲突

五、客户端

hysteria2://密码@服务器IP:443/?sni=www.bing.com&insecure=1#hy2-node

有真证书就去掉 insecure=1，把 sni 换成你的域名。客户端支持：Hysteria2 官方客户端、sing-box、Mihomo 1.18+、NekoBox。

六、排错

现象	原因	处理
客户端一直连接中	UDP 端口没放行	`ufw status`，确认 443/udp
连上几秒断	证书域名与 sni 不匹配	sni 必须等于证书 CN
速度上不去	bandwidth 写太小	按实际带宽重设并重启
部分地区完全不通	UDP 被 QoS	换端口（8443 等）或改走 TCP 方案
大文件传输中断	UDP 缓冲不足	调 `net.core.rmem_max`