Hysteria2 自建节点完全配置指南 2026：服务端部署 + 客户端配置 + 伪装 + 多端口跳跃

Hysteria2 是基于 QUIC 协议（UDP） 的新一代高性能代理，在高丢包、高延迟的国际网络链路上速度优势极为突出——在普通 VPS 上实测下载速度可达 300-800 Mbps，远超同链路的 TCP 协议代理。

本文从零开始，完整讲解 Hysteria2 的服务端部署、TLS 证书配置、伪装设置、端口跳跃，以及全平台客户端配置。

一、Hysteria2 与其他协议对比#

协议	底层传输	速度（高丢包链路）	抗识别	稳定性	适合场景
Hysteria2	QUIC（UDP）	⭐⭐⭐⭐⭐ 极快	⭐⭐⭐⭐	⭐⭐⭐⭐	下载大文件/流媒体/链路质量一般
VLESS + Reality	TCP	⭐⭐⭐⭐	⭐⭐⭐⭐⭐ 最强	⭐⭐⭐⭐⭐	日常上网/抗封锁优先/优质线路
VMess + WS + TLS	TCP + WS	⭐⭐⭐	⭐⭐⭐⭐	⭐⭐⭐⭐	CDN 套壁/IP 被封续命
Shadowsocks 2022	TCP/UDP	⭐⭐⭐⭐	⭐⭐⭐	⭐⭐⭐⭐	低配置需求/快速部署

Hysteria2 最适合的场景：

VPS 到国内链路质量一般（丢包率 > 3%，延迟 > 100ms）
需要高速下载（BT/大文件/YouTube 8K）
流媒体观看（Netflix 4K/YouTube Premium）

二、前置准备#

1
# 需要：一台境外 VPS + 域名（可选，但推荐）
2

3
# 检查 VPS 的 UDP 端口是否可用（在 VPS 上运行）
4
nc -u -l 12345 &
5
# 在本地运行：
6
echo "hello" | nc -u your.server.ip 12345
7

8
# 开放防火墙（Hysteria2 使用 UDP）
9
ufw allow 443/udp    # 主端口（伪装成 HTTPS）
10
ufw allow 20000:40000/udp   # 端口跳跃范围（可选）

三、安装 Hysteria2 服务端#

1
# 官方一键安装脚本（推荐）
2
bash <(curl -fsSL https://get.hy2.sh/)
3

4
# 安装完成后：
5
# 二进制：/usr/local/bin/hysteria
6
# 配置文件：/etc/hysteria/config.yaml
7
# 服务管理：systemctl status hysteria-server.service
8

9
hysteria version
10
# Hysteria2 app 2.x.x

四、服务端配置（两种方案）#

4.1 方案一：使用自签证书（无需域名，快速部署）#

1
# ── 监听地址 ──────────────────────────────────────────────────
2
listen: :443              # 监听所有接口的 443 UDP 端口（伪装成 HTTPS）
3

4
# ── TLS：自签证书 ──────────────────────────────────────────────
5
tls:
6
  cert: /etc/hysteria/server.crt    # 自签证书路径
7
  key:  /etc/hysteria/server.key    # 自签私钥路径
8

9
# ── 认证方式 ──────────────────────────────────────────────────
10
auth:
11
  type: password
12
  password: "your-super-secret-password-change-this"   # 改成强密码！
13

14
# ── 带宽配置（重要！）────────────────────────────────────────
15
# 设置服务器实际上行带宽，Hysteria2 用于 BBR 拥塞控制
16
bandwidth:
17
  up:   200 mbps    # 服务器上行带宽（根据 VPS 实际带宽设置）
18
  down: 1 gbps      # 服务器下行带宽
19

20
# ── 伪装（masquerade）─────────────────────────────────────────
21
# 让 Hysteria2 的 QUIC 流量对外表现为正常的 HTTPS 服务器
22
masquerade:
23
  type: proxy       # 代理一个真实 HTTPS 网站
24
  proxy:
25
    url: https://www.bing.com   # 伪装目标（建议选知名网站）
26
    rewriteHost: true
27

28
# ── 可选：日志级别 ────────────────────────────────────────────
29
log:
30
  level: warn       # debug/info/warn/error

生成自签证书：

1
# 生成自签 TLS 证书（有效期 10 年）
2
openssl req -x509 -newkey rsa:4096 \
3
  -keyout /etc/hysteria/server.key \
4
  -out /etc/hysteria/server.crt \
5
  -days 3650 -nodes \
6
  -subj "/CN=your.server.ip"
7

8
chmod 600 /etc/hysteria/server.key

4.2 方案二：使用 Let’s Encrypt 证书（有域名时推荐）#

1
listen: :443
2

3
# ── TLS：ACME 自动申请和续期 Let's Encrypt ────────────────────
4
acme:
5
  domains:
6
    - your.domain.com           # 你的域名（需要提前解析到这台 VPS）
7
  email: your@email.com         # Let's Encrypt 账号邮箱
8

9
auth:
10
  type: password
11
  password: "your-super-secret-password-change-this"
12

13
bandwidth:
14
  up:   200 mbps
15
  down: 1 gbps
16

17
masquerade:
18
  type: proxy
19
  proxy:
20
    url: https://www.bing.com
21
    rewriteHost: true

使用 ACME 方案时，需要确保 443 TCP 端口也可访问（ACME HTTP-01 验证）。

4.3 端口跳跃（Port Hopping）配置#

端口跳跃让流量分散到多个 UDP 端口，有效对抗运营商对 443 UDP 的 QoS 限速：

1
# 在现有配置基础上添加：
2

3
# ── 端口跳跃 ──────────────────────────────────────────────────
4
# 客户端将在 20000-40000 范围内随机切换端口
5
# 服务端需要监听这些端口（通过 iptables 转发实现）

1
# 在服务器上配置 iptables，将 20000-40000 的 UDP 流量转发到 443
2
iptables -t nat -A PREROUTING -p udp --dport 20000:40000 -j DNAT --to-destination :443
3

4
# 永久保存（Debian/Ubuntu）
5
apt install iptables-persistent -y
6
netfilter-persistent save

五、启动与验证服务#

1
# 启动服务
2
systemctl enable hysteria-server.service
3
systemctl start hysteria-server.service
4
systemctl status hysteria-server.service
5

6
# 查看日志
7
journalctl -u hysteria-server.service -f --no-pager
8

9
# 验证 UDP 端口监听
10
ss -ulnp | grep 443
11
# 应看到：udp UNCONN 0 0 *:443 *:* users:(("hysteria",pid=xxx,fd=xx))
12

13
# 从本地测试连接（客户端机器上执行）
14
# 先安装 hysteria 客户端，然后：
15
hysteria client --log-level debug

六、客户端配置#

6.1 Clash Verge Rev（Windows/macOS）#

在覆写或订阅中添加 Hysteria2 节点：

1
proxies:
2
  # 方案一：自签证书（需要 skip-cert-verify）
3
  - name: "HY2-US-自签"
4
    type: hysteria2
5
    server: your.server.ip       # 或域名
6
    port: 443
7
    password: "your-super-secret-password-change-this"
8
    skip-cert-verify: true       # 自签证书必须设为 true
9
    sni: your.server.ip          # 与证书 CN 一致
10
    up: "50 Mbps"                # 客户端上行限速（根据本地带宽设置）
11
    down: "200 Mbps"             # 客户端下行限速
12

13
  # 方案二：Let's Encrypt 证书（域名）
14
  - name: "HY2-US-域名"
15
    type: hysteria2
16
    server: your.domain.com
17
    port: 443
18
    password: "your-super-secret-password-change-this"
19
    sni: your.domain.com
20
    up: "50 Mbps"
21
    down: "200 Mbps"
22

23
  # 方案三：端口跳跃
24
  - name: "HY2-US-PortHop"
25
    type: hysteria2
26
    server: your.domain.com
27
    port: 443
28
    ports: "20000-40000"         # 端口跳跃范围
29
    password: "your-super-secret-password-change-this"
30
    sni: your.domain.com
31
    up: "50 Mbps"
32
    down: "200 Mbps"

6.2 sing-box（全平台）#

1
{
2
  "outbounds": [
3
    {
4
      "type": "hysteria2",
5
      "tag": "HY2-US",
6
      "server": "your.domain.com",
7
      "server_port": 443,
8
      "up_mbps": 50,
9
      "down_mbps": 200,
10
      "password": "your-super-secret-password-change-this",
11
      "tls": {
12
        "enabled": true,
13
        "server_name": "your.domain.com",
14
        "insecure": false           // 自签证书时改为 true
15
      }
16
    }
17
  ]
18
}

6.3 Shadowrocket（iOS）#

在 Shadowrocket 中手动添加节点：

1
类型：Hysteria2
2
服务器：your.domain.com（或 IP）
3
端口：443
4
密码：your-super-secret-password-change-this
5
SNI：your.domain.com
6
允许不安全：关（域名证书）/ 开（自签证书）
7
上行：50 Mbps
8
下行：200 Mbps

6.4 带宽参数设置建议#

Hysteria2 的 up / down 参数非常重要——这是 BBR 算法的参考值，设置不当会影响速度：

1
up（上行）：本地网络的实际上行速度，略小于真实值
2
  家庭宽带（100M）：up = 10-15 Mbps
3
  家庭宽带（500M）：up = 50-80 Mbps
4
  千兆带宽：        up = 100-200 Mbps
5

6
down（下行）：本地网络的实际下行速度，略小于真实值
7
  家庭宽带（100M）：down = 80-100 Mbps
8
  家庭宽带（500M）：down = 400-500 Mbps
9
  千兆带宽：        down = 800-1000 Mbps
10

11
⚠️ 不要设置得比实际带宽大，否则会导致拥塞丢包，反而变慢

七、性能调优与故障排查#

7.1 连接测速#

1
# 在客户端机器上，通过 Hysteria2 代理测速
2
# 方法一：SpeedTest（需要客户端已配置系统代理）
3
curl -x socks5h://127.0.0.1:7891 -o /dev/null https://speed.cloudflare.com/__down?bytes=100000000
4

5
# 方法二：iperf3（需要在服务器上运行 iperf3 -s）
6
iperf3 -c your.server.ip -p 5201 -R   # 测下行速度

7.2 常见问题#

问题	原因	解决方案
连接立即超时	UDP 端口未开放	检查服务端 ufw + 云服务商安全组的 UDP 443
速度很慢（<1 Mbps）	带宽参数设置过小	调大 up/down 参数（但不要超过实际带宽）
连接断断续续	运营商 QoS 限制 UDP	开启端口跳跃 hopping
证书验证错误	自签证书未设 insecure	客户端配置 `skip-cert-verify: true`
ACME 证书申请失败	443 TCP 端口被占用	先停止占用 443 的服务，再启动 hysteria
流媒体解锁失败	VPS IP 被识别	换更适合流媒体的 VPS（DMIT/CN2 GIA 线路）

八、Hysteria2 + VLESS Reality 双协议部署#

建议同时部署两套协议，互为备用：

1
# Xray（提供 VLESS Reality）监听 8443 UDP+TCP
2
# Hysteria2（提供 QUIC 代理）监听 443 UDP
3

4
# 两套服务共存，互不干扰
5
systemctl status xray
6
systemctl status hysteria-server

使用场景切换建议：

1
网络状况好（低丢包、优质线路）→ VLESS Reality（更稳定）
2
下载大文件 / 看高清视频    → Hysteria2（更快）
3
普通 UDP 被限速            → VLESS Reality（TCP 不受影响）

相关文章：

Hysteria2 更新活跃，请定期通过 bash <(curl -fsSL https://get.hy2.sh/) 更新到最新版本。配置字段以 Hysteria2 官方文档为准。