手搓Hysteria 2

📅 2026-05-09 📝 1441 字 ⏱️ 5 分钟 👁️ 1

**Hysteria 2**的完整实施步骤，**服务端**最终配置以及**客户端**图文对应填写指南。请按顺序执行：相关指令： ```bash # 启动命令 systemctl start hysteria-server.service && systemctl status hysteria-server.service # 重载服务 systemctl restart hysteria-server.service && systemctl status hysteria-server.service # 停止服务 systemctl stop hysteria-server.service && systemctl status hysteria-server.service # 实时日志 journalctl --no-pager -e -u hysteria-server.service # 配置文件 etc/hysteria/config.yaml # 开机自启 systemctl enable --now hysteria-server.service # 安装或升级 bash <(curl -fsSL https://get.hy2.sh/) # 卸载相关服务 bash <(curl -fsSL https://get.hy2.sh/) --remove # 获取证书指纹（SHA-256） openssl x509 -in /你的证书路径/证书文件.crt -noout -fingerprint -sha256 | sed 's/.*=//; s/://g' ``` --- ### 第一阶段：服务器环境准备 **1. 放行甲骨文云网页端防火墙（极为关键）** * 登录甲骨文云网页控制台 -> 实例 -> 点击 **虚拟云网络 (VCN)** * 进入 **安全列表 (Security Lists)** -> 点击默认安全列表 * 点击 **添加入站规则 (Add Ingress Rules)**： * 源 CIDR：`0.0.0.0/0` * IP 协议：选择 `UDP` * 目标端口范围：`30000-50000` * 保存。 **2. SSH 连接服务器，执行底层网络优化与本地防火墙放行** 复制以下整段命令并在您的甲骨文 SSH 终端中一键运行放行端口： ```bash sudo bash -c ' # 1. 重置为全部放行，防止执行中断导致失联 iptables -P INPUT ACCEPT iptables -F # 2. 添加【保命核心】规则（回环、已建立连接、22端口SSH远程） iptables -A INPUT -i lo -j ACCEPT iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j ACCEPT # 3. 添加您指定的端口放行规则 iptables -A INPUT -p tcp --dport 80 -j ACCEPT iptables -A INPUT -p tcp --dport 443 -j ACCEPT iptables -A INPUT -p udp --dport 443 -j ACCEPT iptables -A INPUT -p tcp --dport 12580 -j ACCEPT iptables -A INPUT -p udp --dport 30000:50000 -j ACCEPT # 4. 开启防火墙“白名单模式”（拦截其余所有未知的入站请求） iptables -P INPUT DROP # 5. 安装持久化工具并保存规则 DEBIAN_FRONTEND=noninteractive apt-get update DEBIAN_FRONTEND=noninteractive apt-get install -y iptables-persistent netfilter-persistent netfilter-persistent save netfilter-persistent reload echo "==========================================================" echo "✅ 防火墙规则已成功更新并永久保存！" echo "✅ 目前仅放行: 22(SSH), 80(TCP), 443(TCP/UDP), 12580(TCP), 30000-50000(UDP)" echo "==========================================================" ' ``` **优化系统 UDP 缓冲区 (看 4K 和下载不丢包的关键)** ```bash echo "net.core.rmem_max=33554432" >> /etc/sysctl.conf echo "net.core.wmem_max=33554432" >> /etc/sysctl.conf sysctl -p ``` --- ### 第二阶段：安装与配置服务端 **1. 一键安装 Hysteria 2 并生成证书** 继续在 SSH 终端运行： ```bash # 安装 Hysteria 2 bash <(curl -fsSL https://get.hy2.sh/) # 生成 100 年有效期的伪装自签证书 mkdir -p /etc/hysteria openssl ecparam -genkey -name prime256v1 -out /etc/hysteria/server.key openssl req -new -x509 -days 36500 -key /etc/hysteria/server.key -out /etc/hysteria/server.crt -subj "/CN=www.bing.com" ``` **2. 覆写服务端配置文件** 直接运行以下命令，系统会自动将最完美的配置写入 `config.yaml`（直接全部复制并回车）： ```bash cat << 'EOF' > /etc/hysteria/config.yaml # 防运营商 QoS 限速 listen: :30000-50000 # TLS 与伪装 tls: cert: /etc/hysteria/server.crt key: /etc/hysteria/server.key # 密码验证 auth: type: password password: YourStrongPassword2026! # 【绝对隐身】Salamander 混淆，让流量在 GFW 眼里变成随机无意义的噪点 obfs: type: salamander salamander: password: ObfsSalamanderKey888! # 【速度天花板】服务器端放开限制，交由客户端 Brutal 算法按需索取 bandwidth: up: 30 mbps down: 50 mbps # 【协议嗅探】还原真实域名，提高连接成功率 sniff: enable: true timeout: 2s rewriteDomain: true tcpPorts: 80,443,8000-9000 udpPorts: all # 【纯净解析】强制通过 TLS 加密请求 1.1.1.1，彻底防止 DNS 污染 resolver: type: tls tls: addr: 1.1.1.1:853 timeout: 10s sni: cloudflare-dns.com insecure: false # 保持长连接不断线 udpIdleTimeout: 120s # 5. 重度下载与流媒体优化，针对bandwidth黄金比例 quic: initStreamReceiveWindow: 4194304 # 4 MB maxStreamReceiveWindow: 4194304 # 4 MB initConnReceiveWindow: 10485760 # 10 MB maxConnReceiveWindow: 10485760 # 10 MB # 【服务器级防封号 ACL】(就算客户端漏了 BT 流量，也会在这里被服务器一脚踢飞！) acl: inline: - reject(geosite:category-pt) # 绝对屏蔽所有已知 BT/PT/迅雷追踪器，保甲骨文不被 DMCA 投诉 - reject(geoip:cn) # 拦截回国流量，防止无意义的绕路和 GFW 审查追踪 - reject(geoip:kp) # 拦截朝鲜等高危地区 - direct(all) # 剩下的正常流量（看油管、正常下载）全部放行直连 # 出站规则默认 IPv4/IPv6 智能双栈 outbounds: - name: direct type: direct direct: mode: auto EOF ``` *(注：如果需要，您可以将上面的 `YourStrongPassword2026!` 改成您想要的密码)* **3. 启动节点** ```bash systemctl enable hysteria-server.service systemctl restart hysteria-server.service systemctl status hysteria-server.service ``` *(看到绿色的 `active (running)` 字样，恭喜！服务端配置彻底完成。)* --- ### 第三阶段：客户端配置对应 v2rayN 请打开您的客户端界面，严格按照以下参数填写： * **别名 (remarks):** `新加坡安全稳定节点` * **地址 (address):** `您甲骨文服务器的公网 IP` * **端口 (port):** `443` （随意填即可，会被下方跳跃覆盖） **【核心防护与速度控制】** * **密码 (password):** `YourStrongPassword2026!` * **混淆密码 (obfs password):** `ObfsSalamanderKey888!` * **跳跃端口范围:** `30000-50000` * **端口跳跃间隔:** `30` * **Hysteria 最大带宽 (Up):** `30` *(对应您想要的 30 兆)* * **Hysteria 最大带宽 (Down):** `50` *(对应您想要的 50 兆)* **【TLS/安全与伪装】** * **传输层安全 (TLS):** `tls` * **SNI:** `www.bing.com` * **Fingerprint:** `chrome` * **Alpn:** `h3` * **跳过证书验证 (allowInsecure):** `false`（这一步极其重要，不选必连不上） * **使用这个条指令获取【证书指纹(SHA-256)】:`openssl x509 -in /你的自签证书路径/证书文件.crt -noout -fingerprint -sha256 | sed 's/.*=//; s/://g'`** 其它选项留空，点击 **“确定”** 保存节点。 --- **请确认：** 在客户端的路由设置 (Routing) 中，已经配置了 `BT/P2P` 流量为**直连 (Direct) 或拦截 (Block)**，不要让迅雷等软件的流量经过这个节点，方可保这台机器寿终正寝。

# 节点

💬 评论

0/1000

加载中...

**Hysteria 2**的完整实施步骤，**服务端**最终配置以及**客户端**图文对应填写指南。请按顺序执行：

相关指令：

```bash
# 启动命令
systemctl start hysteria-server.service && systemctl status hysteria-server.service

# 重载服务
systemctl restart hysteria-server.service && systemctl status hysteria-server.service

# 停止服务
systemctl stop hysteria-server.service && systemctl status hysteria-server.service

# 实时日志  
journalctl --no-pager -e -u hysteria-server.service

# 配置文件
etc/hysteria/config.yaml

# 开机自启
systemctl enable --now hysteria-server.service

# 安装或升级
bash <(curl -fsSL https://get.hy2.sh/)

# 卸载相关服务
bash <(curl -fsSL https://get.hy2.sh/) --remove

# 获取证书指纹（SHA-256）
openssl x509 -in /你的证书路径/证书文件.crt -noout -fingerprint -sha256 | sed 's/.*=//; s/://g'

```

---

### 第一阶段：服务器环境准备

**1. 放行甲骨文云网页端防火墙（极为关键）**

* 登录甲骨文云网页控制台 -> 实例 -> 点击 **虚拟云网络 (VCN)**
* 进入 **安全列表 (Security Lists)** -> 点击默认安全列表
* 点击 **添加入站规则 (Add Ingress Rules)**：
  * 源 CIDR：`0.0.0.0/0`
  * IP 协议：选择 `UDP`
  * 目标端口范围：`30000-50000`
* 保存。

**2. SSH 连接服务器，执行底层网络优化与本地防火墙放行**
复制以下整段命令并在您的甲骨文 SSH 终端中一键运行放行端口：

```bash
sudo bash -c '
# 1. 重置为全部放行，防止执行中断导致失联
iptables -P INPUT ACCEPT
iptables -F

# 2. 添加【保命核心】规则（回环、已建立连接、22端口SSH远程）
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 3. 添加您指定的端口放行规则
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -p udp --dport 443 -j ACCEPT
iptables -A INPUT -p tcp --dport 12580 -j ACCEPT
iptables -A INPUT -p udp --dport 30000:50000 -j ACCEPT

# 4. 开启防火墙“白名单模式”（拦截其余所有未知的入站请求）
iptables -P INPUT DROP

# 5. 安装持久化工具并保存规则
DEBIAN_FRONTEND=noninteractive apt-get update
DEBIAN_FRONTEND=noninteractive apt-get install -y iptables-persistent netfilter-persistent
netfilter-persistent save
netfilter-persistent reload

echo "=========================================================="
echo "✅ 防火墙规则已成功更新并永久保存！"
echo "✅ 目前仅放行: 22(SSH), 80(TCP), 443(TCP/UDP), 12580(TCP), 30000-50000(UDP)"
echo "=========================================================="
'
```

**优化系统 UDP 缓冲区 (看 4K 和下载不丢包的关键)**

```bash
echo "net.core.rmem_max=33554432" >> /etc/sysctl.conf
echo "net.core.wmem_max=33554432" >> /etc/sysctl.conf
sysctl -p

```

---

### 第二阶段：安装与配置服务端

**1. 一键安装 Hysteria 2 并生成证书**
继续在 SSH 终端运行：

```bash
# 安装 Hysteria 2
bash <(curl -fsSL https://get.hy2.sh/)

# 生成 100 年有效期的伪装自签证书
mkdir -p /etc/hysteria
openssl ecparam -genkey -name prime256v1 -out /etc/hysteria/server.key
openssl req -new -x509 -days 36500 -key /etc/hysteria/server.key -out /etc/hysteria/server.crt -subj "/CN=www.bing.com"
```

**2. 覆写服务端配置文件**
直接运行以下命令，系统会自动将最完美的配置写入 `config.yaml`（直接全部复制并回车）：

```bash
cat << 'EOF' > /etc/hysteria/config.yaml
# 防运营商 QoS 限速
listen: :30000-50000

# TLS 与伪装
tls:
  cert: /etc/hysteria/server.crt
  key: /etc/hysteria/server.key

# 密码验证
auth:
  type: password
  password: YourStrongPassword2026!

# 【绝对隐身】Salamander 混淆，让流量在 GFW 眼里变成随机无意义的噪点
obfs:
  type: salamander
  salamander:
    password: ObfsSalamanderKey888!

# 【速度天花板】服务器端放开限制，交由客户端 Brutal 算法按需索取
bandwidth:
  up: 30 mbps
  down: 50 mbps

# 【协议嗅探】还原真实域名，提高连接成功率
sniff:
  enable: true
  timeout: 2s
  rewriteDomain: true
  tcpPorts: 80,443,8000-9000
  udpPorts: all

# 【纯净解析】强制通过 TLS 加密请求 1.1.1.1，彻底防止 DNS 污染
resolver:
  type: tls
  tls:
    addr: 1.1.1.1:853
    timeout: 10s
    sni: cloudflare-dns.com
    insecure: false

# 保持长连接不断线
udpIdleTimeout: 120s

# 5. 重度下载与流媒体优化，针对bandwidth黄金比例
quic:
  initStreamReceiveWindow: 4194304   # 4 MB
  maxStreamReceiveWindow: 4194304    # 4 MB
  initConnReceiveWindow: 10485760    # 10 MB
  maxConnReceiveWindow: 10485760     # 10 MB

# 【服务器级防封号 ACL】(就算客户端漏了 BT 流量，也会在这里被服务器一脚踢飞！)
acl:
  inline:
    - reject(geosite:category-pt)   # 绝对屏蔽所有已知 BT/PT/迅雷 追踪器，保甲骨文不被 DMCA 投诉
    - reject(geoip:cn)              # 拦截回国流量，防止无意义的绕路和 GFW 审查追踪
    - reject(geoip:kp)              # 拦截朝鲜等高危地区
    - direct(all)                   # 剩下的正常流量（看油管、正常下载）全部放行直连

# 出站规则默认 IPv4/IPv6 智能双栈
outbounds:
  - name: direct
    type: direct
    direct:
      mode: auto
EOF
```

*(注：如果需要，您可以将上面的 `YourStrongPassword2026!` 改成您想要的密码)*

**3. 启动节点**

```bash
systemctl enable hysteria-server.service
systemctl restart hysteria-server.service
systemctl status hysteria-server.service
```

*(看到绿色的 `active (running)` 字样，恭喜！服务端配置彻底完成。)*

---

### 第三阶段：客户端配置 对应 v2rayN

请打开您的客户端界面，严格按照以下参数填写：

* **别名 (remarks):** `新加坡安全稳定节点`
* **地址 (address):** `您甲骨文服务器的公网 IP`
* **端口 (port):** `443` （随意填即可，会被下方跳跃覆盖）

**【核心防护与速度控制】**

* **密码 (password):** `YourStrongPassword2026!`
* **混淆密码 (obfs password):** `ObfsSalamanderKey888!`
* **跳跃端口范围:** `30000-50000`
* **端口跳跃间隔:** `30`
* **Hysteria 最大带宽 (Up):** `30` *(对应您想要的 30 兆)*
* **Hysteria 最大带宽 (Down):** `50` *(对应您想要的 50 兆)*

**【TLS/安全与伪装】**

* **传输层安全 (TLS):** `tls`
* **SNI:** `www.bing.com`
* **Fingerprint:** `chrome`
* **Alpn:** `h3`
* **跳过证书验证 (allowInsecure):** `false`（这一步极其重要，不选必连不上）
* **使用这个条指令获取【证书指纹(SHA-256)】:`openssl x509 -in /你的自签证书路径/证书文件.crt -noout -fingerprint -sha256 | sed 's/.*=//; s/://g'`**

其它选项留空，点击 **“确定”** 保存节点。

---

**请确认：** 在客户端的路由设置 (Routing) 中，已经配置了 `BT/P2P` 流量为**直连 (Direct) 或拦截 (Block)**，不要让迅雷等软件的流量经过这个节点，方可保这台机器寿终正寝。