Hysteria 2 клиент: настройка, выбор приложения и режимы подключения

Что такое Hysteria 2 и почему он популярен

Hysteria 2 — это современный прокси-протокол, построенный на основе модифицированного QUIC. Его главные особенности — высокая скорость, устойчивость к потерям пакетов и способность маскироваться под стандартный трафик HTTP/3. Это делает его привлекательным для обхода блокировок и обеспечения приватности в интернете.

Протокол поддерживает несколько режимов работы: SOCKS5, HTTP-прокси, пересылку TCP/UDP и TUN (виртуальный сетевой интерфейс). Благодаря встроенной аутентификации и контролю доступа, Hysteria 2 подходит как для личного использования, так и для организации доступа для нескольких пользователей.

Важно понимать разницу между Hysteria и Hysteria 2: это разные протоколы, и клиент должен поддерживать именно вторую версию. Многие современные приложения уже включают поддержку Hysteria 2, но старые версии могут работать только с первой версией.

Официальный клиент Hysteria: CLI и базовые возможности

Официальный клиент Hysteria — это консольная утилита, доступная для Windows, Linux и macOS. Она не имеет графического интерфейса, но предоставляет все необходимые функции для подключения к серверу.

Для запуска достаточно скачать бинарник и создать файл конфигурации config.yaml рядом с ним. Минимальная конфигурация включает адрес сервера (server), пароль (auth) и хотя бы один режим — socks5 или http. Например:

server: your.domain.net:443
auth: Se7RAuFZ8Lzg
socks5:
  listen: 127.0.0.1:1080
http:
  listen: 127.0.0.1:8080

После запуска клиент выведет строку connected to server при успешном подключении. Также он может сгенерировать URI вида hysteria2://..., который удобно использовать в других клиентах.

Официальный клиент подходит для быстрой проверки сервера или для использования в скриптах, но для повседневного использования большинство пользователей предпочитают графические приложения.

Клиенты для Windows: Nekoray, Clash Verge Rev и другие

На Windows наиболее популярны два клиента с поддержкой Hysteria 2: Nekoray и Clash Verge Rev.

Nekoray — легковесный клиент с графическим интерфейсом, поддерживает импорт URI и подписок. Для полноценного TUN-режима требуется установка драйвера TUN, но в целом Nekoray прост в использовании и подходит для большинства задач.

Clash Verge Rev — более функциональный клиент на базе Clash Meta, предоставляет полный TUN-режим и удобную работу с подписками. Интерфейс может показаться перегруженным для новичков, но он даёт больше контроля над маршрутизацией и правилами.

Также можно использовать официальный CLI-клиент, но он не имеет графического интерфейса и не поддерживает TUN. Для пользователей, которым нужен системный VPN, лучше выбрать Clash Verge Rev или Nekoray с TUN.

При выборе клиента обращайте внимание на актуальность версии: поддержка Hysteria 2 появилась в Nekoray и Clash Verge относительно недавно, и старые сборки могут не работать.

Клиенты для Android: Clash Meta, sing-box и официальный APK

На Android наиболее удобными клиентами для Hysteria 2 являются Clash Meta for Android (CMFA) и sing-box. Оба поддерживают импорт URI и подписок, а также полноценный TUN-режим через системный VPN.

Clash Meta for Android — популярный выбор благодаря простому интерфейсу и поддержке подписок. Важно использовать актуальную версию, так как поддержка Hysteria 2 была добавлена в определённых релизах.

sing-box — более гибкий и мощный клиент, но требует ручной настройки конфигурации. Он поддерживает URI и подписки, а также TUN. Для опытных пользователей sing-box предоставляет больше возможностей.

Официальный APK Hysteria работает как локальный прокси, но не поддерживает TUN. Это значит, что он не создаёт системный VPN, и трафик нужно направлять через прокси вручную. Для большинства пользователей лучше выбрать CMFA или sing-box.

При установке любого клиента не забудьте выдать разрешение на создание VPN в настройках Android.

Клиенты для iOS и macOS: ограничения и альтернативы

На iOS нет официального клиента Hysteria из-за ограничений App Store. Поэтому используются сторонние приложения, такие как sing-box и Shadowrocket. Оба поддерживают импорт URI и подписок, а также TUN через системный VPN.

Shadowrocket — платное приложение, которое может быть недоступно в некоторых регионах. Оно имеет удобный интерфейс и широкую поддержку протоколов, включая Hysteria 2.

sing-box для iOS также доступен в App Store и поддерживает Hysteria 2. Он бесплатен, но настройка может быть сложнее.

На macOS официальный клиент Hysteria работает как CLI-утилита, но для графического интерфейса и TUN лучше использовать Clash Verge Rev. Он предоставляет полный TUN-режим и удобное управление профилями.

При выборе iOS-клиента обязательно проверяйте актуальную версию, так как поддержка Hysteria 2 может быть добавлена в последних обновлениях.

Импорт URI и подписок: как правильно подключиться

Большинство клиентов поддерживают два способа подключения: импорт URI и импорт подписки.

URI — это строка вида hysteria2://password@server:port?params, содержащая все параметры подключения. Она удобна для разовой настройки: достаточно скопировать ссылку и вставить её в клиент.

Подписка — это URL, который содержит набор конфигураций. Клиент автоматически обновляет список серверов, что удобно, если адрес или параметры меняются.

При импорте убедитесь, что URI начинается с hysteria2://, а не hysteria://. Некоторые старые версии клиентов могут неправильно распознать тип протокола и выдать ошибку. В этом случае обновите клиент или вручную укажите тип подключения.

Если сервер использует аутентификацию userpass, URI будет содержать username:password@server:port. В конфигурационном файле это указывается в поле auth в формате username:password.

Настройка скорости и алгоритм Brutal

Секция bandwidth в конфигурации клиента включает фирменный алгоритм управления перегрузкой Brutal. Он поддерживает фиксированную скорость и не проседает при потерях пакетов, что особенно полезно на нестабильных каналах.

Однако важно правильно задавать значения: они должны быть чуть ниже реальной пропускной способности вашего канала. Если завысить скорость, Brutal будет пытаться «выжать» её, что приведёт к перегрузке, нестабильности и потере данных.

Пример настройки:

bandwidth:
  up: 20 mbps
  down: 100 mbps

Если секцию bandwidth убрать, клиент будет использовать стандартный контроль перегрузки (по умолчанию BBR). Это может быть предпочтительно для каналов с низкими потерями.

При использовании TUN-режима Brutal также работает, но учтите, что он не поддерживает ICMP, поэтому ping через туннель не пройдёт.

TUN-режим: системный VPN и его особенности

TUN-режим создаёт виртуальный сетевой интерфейс и перехватывает весь трафик системы, превращая клиент в полноценный VPN. Это удобно, когда нужно защитить все приложения, а не только те, что настроены на прокси.

Для включения TUN в конфигурации клиента добавляется секция tun:

tun:
  name: "hytun"
  address:
    ipv4: 100.100.100.101/30
    ipv6: 2001::ffff:ffff:ffff:fff1/126
  route:
    ipv4: [0.0.0.0/0]
    ipv6: ["2000::/3"]
  ipv4Exclude: [192.0.2.1/32]
  ipv6Exclude: ["2001:db8::1/128"]

Важно добавить IP-адрес вашего Hysteria-сервера в ipv4Exclude или ipv6Exclude, иначе трафик до сервера попадёт в туннель, что создаст петлю маршрутизации и соединение не поднимется.

TUN поддерживает только TCP и UDP, ICMP не проксируется. На macOS имя интерфейса должно быть вида utunN (например, utun123). На FreeBSD TUN не поддерживается.

TUN-режим доступен в большинстве графических клиентов, таких как Clash Verge Rev, Nekoray, sing-box. Официальный CLI-клиент также поддерживает TUN, но требует ручной настройки.

TLS и безопасность: самоподписанные сертификаты и pinSHA256

Если сервер использует валидный сертификат (например, полученный через ACME), клиенту не требуется дополнительная настройка TLS. Однако при использовании самоподписанного сертификата необходимо настроить проверку.

Лучший вариант — не отключать проверку полностью, а закрепить отпечаток сертификата с помощью pinSHA256. Это защищает от атак «человек посередине» (MITM), так как клиент будет принимать только сертификат с указанным отпечатком.

Пример конфигурации:

tls:
  insecure: true
  pinSHA256: BA:88:45:17:A1...

insecure: true отключает стандартную проверку доверия, а pinSHA256 возвращает защиту. Без pinSHA256 соединение становится уязвимым для подмены.

Альтернатива — указать доверенный CA-файл:

tls:
  ca: ca.crt

Отпечаток можно получить из сертификата командой:

openssl x509 -noout -fingerprint -sha256 -in your_cert.crt

Рекомендуется использовать валидные сертификаты через ACME, чтобы избежать необходимости в insecure.

Частые ошибки и как их избежать

При настройке Hysteria 2 клиента пользователи часто сталкиваются с типичными проблемами.

Использование старой версии клиента. Поддержка Hysteria 2 появилась в определённых версиях приложений. Если клиент не распознаёт URI или выдаёт ошибки, проверьте актуальность версии и обновите её.

Путаница между Hysteria и Hysteria 2. Это разные протоколы. Убедитесь, что URI начинается с hysteria2://, а не hysteria://.

Официальный клиент без TUN. Если нужен системный VPN, выбирайте клиент с поддержкой TUN, например Clash Verge Rev или sing-box.

Неправильные права на TUN. На Android и Windows необходимо выдать приложению разрешение на создание VPN. Без этого TUN не заработает.

Завышенные значения bandwidth. Это приводит к нестабильности. Ставьте значения чуть ниже реальной скорости.

Отсутствие исключений маршрутов в TUN. Если не добавить IP сервера в исключения, возникнет петля маршрутизации.

Скачивание клиентов из непроверенных источников. Всегда используйте официальные релизы с GitHub или проверенные магазины приложений.

Вопросы и ответы