Hysteria2

Hysteria2(简称 hy2)是一款基于 QUIC/UDP 的高性能代理协议,是 Hysteria 项目的第二代。它的设计核心是面向恶劣网络环境(高丢包、高延迟、跨境长肥管道)优化吞吐,通过自定义的拥塞控制(尤其是可选的 Brutal 暴力模式)在丢包严重的链路上仍维持较高速度,这与传统 TCP 在丢包时急剧降速形成鲜明对比。Hysteria2 在第一代基础上重新设计了协议结构与认证方式,简化了配置、改善了兼容性与伪装能力,适合追求速度与弱网体验、尤其是跨境观看高清视频或大文件传输的用户。

背景与由来

跨境网络常见高延迟与丢包,而基于 TCP 的代理在这种链路上因拥塞控制保守(如 Cubic 在丢包时大幅退避)而表现不佳,典型症状是带宽明明充裕却跑不满、速度忽高忽低。Hysteria 初代借鉴了QUIC + 激进拥塞控制的思路,允许用户根据自身实际带宽手动设定收发速率,从而在丢包环境下不被常规算法误判而盲目降速,显著提升了弱网吞吐。但一代在协议设计、伪装与配置上仍有改进空间。Hysteria2 则吸取一代经验,统一并简化了协议,改用更标准的 QUIC 实现与基于 HTTP/3 风格的认证外观,使其更易部署、更难被一眼识别,并修正了一代的若干兼容性问题。

设计目标

• 弱网高吞吐:在高丢包/高延迟链路上仍尽量跑满带宽,大幅改善跨境体验,这是其最核心的卖点。
• UDP/QUIC 原生:充分利用 QUIC 的多路复用、0-RTT 快速握手、连接迁移等现代特性。
• 简化与统一:相比一代,减少配置项与概念,统一 TCP/UDP 转发的处理路径,降低上手难度。
• 可伪装:握手层尽量贴近正常 HTTP/3 / QUIC 流量,并提供对未授权连接的伪装回落,降低识别概率。

工作原理与拥塞控制

Hysteria2 在 QUIC 之上构建代理通道。认证方面,hy2 采用基于 HTTP/3 风格的认证握手:客户端在 QUIC 连接内发起一个携带认证凭据(用户名密码或 auth 字符串)的请求,服务器校验通过后建立代理会话;未通过者可被导向伪装站点(masquerade),使探测者看到一个正常的 HTTP/3 网站响应,从而隐藏代理身份。其最具特色的是拥塞控制策略:

• Brutal(暴力)模式:不依赖网络反馈做自适应,而是按用户预先声明的固定带宽恒速发送数据。只要用户准确填写自己链路的真实上下行带宽,该模式就能在高丢包下维持设定速率,因为它不会因零星丢包而退避,丢失的包通过重传补齐而不降速。
• 也可选择更标准、对网络更友好的拥塞控制。Brutal 模式的代价在于:若带宽填写过高,会对共享链路造成不公平挤占(占用本不属于自己的带宽),因此需要用户诚实、谨慎地按实际带宽设置,这也是该模式常被讨论的伦理与公平性议题。

传输加密由 QUIC 内置的 TLS 1.3 提供,因此 hy2 天然具备机密性与完整性,无需自造加密层;其证书可用自签(配合客户端跳过验证或 pin)或经 ACME 签发的真实证书。

传输特性

• 基于 UDP:整个协议运行在 UDP 之上,这既带来 QUIC 的多路复用与抗队头阻塞优势,也意味着在封锁或限速 UDP 的网络中可能明显受影响,这是其最大的环境依赖。
• 多路复用:借助 QUIC 的多流机制,多条逻辑连接复用单一 QUIC 连接,且各流相互独立、无 TCP 式队头阻塞。
• TCP 与 UDP 转发:可同时代理 TCP(网页、API、下载)与 UDP(游戏、QUIC、DNS、实时音视频)应用,UDP 转发的体验通常优于在 TCP 隧道里封装 UDP。
• 端口跳跃(port hopping):支持在一段 UDP 端口范围内跳跃收发,以对抗针对单端口的 QoS 限速或封锁,是其应对 UDP 限速的实用手段。
• 0-RTT / 连接迁移:握手快,且网络切换(如 Wi-Fi 转移动数据)时连接可迁移而不中断。
• 混淆(obfuscation):hy2 提供如 Salamander 等可选混淆,对 QUIC 数据包做轻量变换,削弱其作为标准 QUIC 的可识别特征,以应对针对 QUIC 指纹的封锁。

为何 hy2 在弱网下明显快于 TCP 系协议,根源在于 TCP 把可靠性、有序性与拥塞控制耦合在一起:一旦丢包,TCP 既要等待重传补齐有序字节流(队头阻塞),又会触发拥塞窗口大幅收缩。而 QUIC 的多流相互独立、避免了跨流队头阻塞,Hysteria2 又用基于带宽声明的拥塞控制把丢包与降速解耦,使零星丢包不再误导发送速率。两者叠加,正是其在高丢包长肥管道上跑满带宽的底层原因。

演进关系与对比

• 相对 Hysteria 1:hy2 协议更统一、配置更简、认证与伪装更现代,并修复了一代的兼容性与体验问题。
• 相对 基于 TCP+TLS 的 Trojan/VLESS:hy2 在弱网下速度优势明显,但因走 UDP,在限制或封锁 UDP 的环境中不如 TCP 系稳定可靠,二者常作为互补方案并存。
• 相对 TUIC(另一种基于 QUIC 的代理):两者思路相近,都利用 QUIC 提升弱网体验;hy2 以暴力拥塞控制与端口跳跃见长。
• 相对 WireGuard 等 UDP VPN:hy2 是应用层代理且专注抗封锁、限速对抗与弱网加速,而非通用三层组网。

实现与客户端生态

Hysteria2 由官方 Go 实现提供服务端与客户端,并被 sing-box、Clash.Meta(Mihomo)、v2rayN、NekoBox、Hiddify 等广泛集成,分享链接以 hysteria2:// 或 hy2:// 形式携带认证、混淆(可选 salamander 等)、带宽与 TLS/SNI 参数。服务端通常需要一个 TLS 证书(自签或 ACME)与一个用于伪装的 masquerade 回落地址(如代理到某真实网站),配置相对简洁。

适用与局限

Hysteria2 特别适合跨境高丢包、追求速度的场景,在弱网下常能显著超越 TCP 系协议,是看高清流媒体、大流量传输的有力选择。其局限在于:强依赖 UDP,在运营商对 UDP 整体限速、封锁或施加严苛 QoS 的环境中可能掉速甚至不可用(端口跳跃只能部分缓解);Brutal 模式若被滥用(虚报带宽)会损害网络公平性;且 UDP/QUIC 大流量在部分网络中本身较为显眼,可能成为被针对的对象。总体而言,它是弱网加速方向上极具代表性的现代代理协议,把 QUIC 的潜力与激进拥塞控制结合,树立了高速代理的标杆。在实际选型中,许多用户会同时准备一条 hy2 节点用于追求速度、一条 TCP+TLS(如 VLESS+Reality)节点用于在 UDP 受限或需要极致隐蔽时兜底,两类协议各扬其长、互为补充,这也反映出当代抗封锁实践已从单一协议走向多协议组合、按网络环境动态切换的成熟阶段。