Wenn ein Zensor dich nicht sperren kann, bremst er dich bis zum Stillstand — absichtlicher Paketverlust, der normale Proxys unbrauchbar macht. Der QUIC-Transport und die aggressive Staukontrolle von Hysteria2 sind genau dafür gebaut: Es durchbricht gedrosselte, verlustbehaftete Mobilfunknetze und sieht dabei wie gewöhnliches HTTP/3 aus. Deploye auf einer frischen Offshore-IP, in Krypto bezahlt.
Die meisten Proxys nutzen TCP, und TCP interpretiert Paketverlust als Stau — wenn ein Zensor also absichtlich Pakete verwirft, um dich zu drosseln, bremst ein TCP-Proxy höflich bis auf ein Rinnsal ab. Hysteria2 läuft über QUIC (UDP) mit einem Staukontroller, der darauf ausgelegt ist, sich durch Verluste zu kämpfen statt zurückzuweichen, sodass ein absichtlich frustrierend gestaltetes Netzwerk nutzbar bleibt. Auf der Leitung tarnt es sich als HTTP/3 — zunehmend verbreiteter, gewöhnlicher Traffic — und seine Salamander-Verschleierung würfelt die Paket-Header durcheinander, die eine DPI-Box betrachten würde. Wo REALITY auf Tarnung optimiert, optimiert Hysteria2 auf Tempo unter feindlichen Bedingungen.
Seine Staukontrolle kämpft sich durch Paketverlust, statt abzubremsen — der Unterschied zwischen einer nutzbaren und einer toten Verbindung in einem gedrosselten Netzwerk.
QUIC auf 443/UDP ist gewöhnlicher moderner Web-Traffic. Die Salamander-Verschleierung verbirgt die Header, sodass DPI nichts Meldenswertes sieht.
Kein Panel, keine Abhängigkeiten — eine einzige Binary und eine kurze YAML-Datei. In etwa zehn Minuten einsatzbereit.
QUIC bewältigt wechselnde Netzwerke und schwaches Signal elegant, sodass es auf den handygebundenen, gedrosselten Verbindungen standhält, auf die Zensur die Menschen drängt.
Was das Protokoll wirklich ist, wie es sich versteckt und wo es am stärksten ist — ehrlich beschrieben. Kein Proxy ist Magie; der richtige für dein Netzwerk schon.
| Server-Software | Hysteria 2 |
|---|---|
| Transport & Tarnung | QUIC / UDP + Salamander obfuscation |
| DPI-Resistenz | High — masquerades as ordinary HTTP/3 |
| Durchsatz | Best on lossy / throttled links (brutal congestion ctrl) |
| RAM-Bedarf | ≈ 40 MB |
| Einrichtung | single binary + one config, ≈ 10 min |
| Port(s) | 443 UDP |
| Am stärksten bei | Iran (throttled mobile), high packet-loss networks |
Ein Proxy ist ein winziger Prozess — er braucht eine saubere IP und stabile Bandbreite, keine große Maschine. Jeder Tarif ist ein NVMe-VPS ohne Volumenlimit mit vollem Root-Zugriff, per Token gemietet und in Krypto bezahlt.
Eine Person in einem gedrosselten Netzwerk: VPS-S betreibt Hysteria2 mühelos, und was du spürst, ist der Geschwindigkeitsgewinn, nicht die Specs.
Ein paar Nutzer, die Video durch ein schlechtes Netzwerk schieben: Die zusätzlichen Kerne und der 2 Gbps-Uplink des VPS-M halten alle schnell.
Viele in feindlichen Netzwerken bedienen: VPS-L bewältigt gleichzeitige QUIC-Sitzungen und hohen Durchsatz mit Reserve.
Die niedrigste Latenz zu Iran, der Türkei und am Golf kommt aus den Niederlanden und Rumänien; Moldau ist die Budget-Wahl. Für Russland ist jeder europäische Node in Ordnung. Die Verlusttoleranz von QUIC bedeutet, dass Hysteria2 einen längeren Pfad besser verzeiht als die meisten, sodass selbst ein etwas entfernter Node nutzbar bleibt.
| Standort | CPU | RAM | Speicher | Uplink | Preis | |
|---|---|---|---|---|---|---|
| Moldau Budget-Offshore | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $7.50/mo | Bestellung |
| Russland Westlich unangreifbar | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $7.50/mo | Bestellung |
| Panama Keine Vorratsdatenspeicherung | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $8.50/mo | Bestellung |
| Rumänien Anti-Vorratsdatenspeicherung | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $8.50/mo | Bestellung |
| Niederlande Bestes Peering | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $9.00/mo | Bestellung |
| Island Hafen der Meinungsfreiheit | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $10.00/mo | Bestellung |
| Schweiz Premium-Datenschutz | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $11.00/mo | Bestellung |
Vom leeren VPS zum funktionierenden Endpunkt. Die Befehle sind copy-paste-fertig für Ubuntu 24.04.
VPS-S reicht. Wähle die Jurisdiktion, die dir am nächsten liegt — Niederlande oder Rumänien für Iran und die Türkei. In Krypto bezahlen, Root auf einer sauberen IP erhalten.
Nur Key-basiertes SSH, dann erlaube UDP auf 443 in der Firewall — Hysteria2 ist UDP, nicht TCP, dieser Schritt ist also wichtig.
Ein offizielles Installationsskript legt die einzelne Binary und eine systemd-Unit ab.
bash <(curl -fsSL https://get.hy2.sh/)Ein kurzes YAML: Lauschen auf :443, ein selbstsigniertes Zertifikat (hier in Ordnung), Salamander-obfs mit einem Passwort und ein Auth-Passwort. Das ist die ganze Datei.
# /etc/hysteria/config.yaml
listen: :443
tls:
cert: /etc/hysteria/cert.pem # self-signed is fine
key: /etc/hysteria/key.pem
obfs:
type: salamander
salamander:
password: CHOOSE_A_SECRET
auth:
type: password
password: CHOOSE_A_SECRETImportiere die hy2://-URI in NekoBox, v2rayN, sing-box oder Streisand. In einem gedrosselten Netzwerk ist der Unterschied zu einem TCP-Proxy sofort spürbar.
systemctl enable --now hysteria-server
# import the hy2:// URI into NekoBox, v2rayN, sing-box or StreisandZensur ist nicht immer eine Mauer — oft ist sie ein Sumpf. Regulierungsbehörden weisen Netzbetreiber an, internationalen Traffic zu verschlechtern: Paketverlust einschleusen, Latenz hinzufügen, Durchsatz deckeln. TCP behandelt jedes verlorene Paket als Zeichen von Stau und weicht zurück, sodass ein TCP-basierter Proxy genau dann zum Stillstand kriecht, wenn du ihn brauchst. Hysteria2 läuft auf QUIC und nutzt einen Staukontroller (basierend auf Brutal), der Verluste als Rauschen behandelt, nicht als Stoppschild — es sendet weiter mit der Bandbreite, die du konfiguriert hast. In einem absichtlich miserabel gestalteten Netzwerk ist das der Unterschied zwischen einem Videoanruf, der zustande kommt, und einem, der ewig lädt.
Rohes QUIC hat einen erkennbaren Handshake, deshalb ergänzt Hysteria2 Salamander — eine Verschleierungsschicht, die die von einer DPI-Box inspizierten Paket-Header durcheinanderwürfelt, sodass der Stream wie generisches verschlüsseltes UDP aussieht. Kombiniert mit dem Betrieb auf 443/UDP (wo legitimes HTTP/3 lebt), gibt es für einen Zensor wenig zu fingerprinten, ohne QUIC pauschal zu sperren — was einen wachsenden Anteil des normalen Webs kaputtmacht und echte Kollateralkosten trägt. Setze ein starkes Salamander-Passwort und deine Verschleierung ist einzigartig für deinen Server.
Wenn dein Problem lautet 'sie erkennen, dass es ein Proxy ist, und sperren ihn', ist die Tarnung von REALITY die Antwort. Wenn dein Problem lautet 'er verbindet sich, ist aber unbrauchbar langsam', ist Hysteria2 die Antwort. In der Praxis macht Irans Drosselung Hysteria2 dort zum Favoriten, während Chinas aktives Probing REALITY zum Standard macht. Da du vollen Root-Zugriff hast, ist der pragmatische Schritt, beide auf einem VPS zu betreiben — Hysteria2 auf UDP/443, REALITY auf TCP/443 geht nicht auf demselben Port, nutze also einen zweiten Port — und die Clients zu wechseln, je nachdem, was das Netzwerk in der jeweiligen Woche macht.
Manche Netzwerke drosseln oder begrenzen UDP, und einige sperren QUIC während harter Vorgehen ganz — es ist das Hauptszenario, in dem Hysteria2 sich schwertut und ein TCP-Protokoll wie REALITY oder Shadowsocks gewinnt. Doch das pauschale Sperren von UDP/443 macht auch HTTP/3 für die gesamte Bevölkerung kaputt, weshalb Zensoren es ungern aufrechterhalten. Der ehrliche Rat: Probiere zuerst Hysteria2, wenn dein Problem die Geschwindigkeit ist; halte einen TCP-basierten Fallback auf derselben Maschine für die Zeiten bereit, in denen UDP eingeschnürt wird. Das Rotieren zwischen beiden deckt fast jede Situation ab.
Sein QUIC-Transport und die Brutal-basierte Staukontrolle senden durch Paketverlust weiter, statt wie TCP zurückzuweichen. In einem absichtlich gedrosselten Netzwerk ist das ein Unterschied wie Tag und Nacht; in einem sauberen Netzwerk ist es mit den anderen vergleichbar.
Das ist sein Heimspiel. Irans Ansatz setzt auf Drosselung und Paketverlust, genau das, wofür Hysteria2 gebaut ist, um sich durchzukämpfen. Viele iranische Nutzer machen es aus diesem Grund zu ihrem Alltags-Begleiter.
Manche drosseln UDP, und einige sperren QUIC während harter Vorgehen — das eine Szenario, in dem ein TCP-Protokoll gewinnt. Doch das Sperren von UDP/443 macht auch HTTP/3 für alle kaputt, weshalb es selten von Dauer ist. Halte für solche Phasen einen TCP-Fallback (REALITY oder Shadowsocks) auf demselben VPS bereit.
Nein — ein selbstsigniertes Zertifikat reicht für Hysteria2, und die Konfiguration entsteht in Minuten. Kein Domainkauf, keine CA, keine Zertifikatsverlängerung zu betreuen.
NekoBox und v2rayN auf Desktop/Android, sing-box überall, Streisand unter iOS, plus der offizielle Hysteria-Client. Importiere den hy2://-Link und du bist verbunden.
Ein VPS-S ab $7.50/Mon. betreibt es bequem mit unbegrenzter Bandbreite — wichtig, da der ganze Sinn von Hysteria2 darin besteht, Daten schnell zu übertragen, ohne dass ein Limit im Weg steht.
Weiterführende Lektüre: Selbst gehostetes VPN auf einem No-KYC-VPS: WireGuard vs. OpenVPN · Die erste Stunde VPS-Härtung: Eine Checkliste · Anwendungsfall: selbstgehostetes VPN
Hysteria2 auf einer frischen Offshore-IP, QUIC-Tempo durch die schlimmsten Netzwerke, in Krypto bezahlt. Ab $7.50/Mon., in Minuten live.