Khi bên kiểm duyệt không thể chặn bạn, họ sẽ làm bạn chậm đến mức bò lết — cố tình gây mất gói tin khiến các proxy thông thường trở nên vô dụng. Giao thức truyền tải QUIC và cơ chế kiểm soát tắc nghẽn mạnh mẽ của Hysteria2 được sinh ra chính cho việc đó: nó xuyên thủng các mạng di động bị bóp băng thông, mất gói tin, và trông giống HTTP/3 bình thường trong lúc làm điều đó. Triển khai trên một IP nước ngoài còn mới, thanh toán bằng crypto.
Phần lớn proxy chạy trên nền TCP, mà TCP lại diễn giải mất gói tin là dấu hiệu tắc nghẽn — nên khi bên kiểm duyệt cố tình làm rớt gói tin để bóp băng thông của bạn, một proxy dựa trên TCP sẽ 'lịch sự' chậm dần đến mức nhỏ giọt. Hysteria2 chạy trên nền QUIC (UDP) với một bộ kiểm soát tắc nghẽn được thiết kế để xuyên qua mất gói tin thay vì lùi bước, nên một mạng bị cố tình biến thành khó chịu vẫn có thể dùng được. Trên đường truyền, nó giả dạng thành HTTP/3 — loại lưu lượng thông thường ngày càng phổ biến — và lớp ngụy trang Salamander của nó xáo trộn các header gói tin mà một hộp DPI sẽ soi vào. Trong khi REALITY tối ưu cho khả năng ẩn mình, Hysteria2 tối ưu cho tốc độ trong điều kiện thù địch.
Cơ chế kiểm soát tắc nghẽn của nó xuyên qua mất gói tin thay vì chậm lại — sự khác biệt giữa một đường truyền dùng được và một đường truyền chết hẳn trên một mạng bị bóp băng thông.
QUIC trên cổng 443/UDP là lưu lượng web hiện đại thông thường. Lớp ngụy trang Salamander giấu đi các header, nên DPI không thấy gì đáng để đánh dấu cả.
Không bảng điều khiển, không phụ thuộc phần mềm nào khác — chỉ một file binary duy nhất và một file YAML ngắn gọn. Sẵn sàng hoạt động trong khoảng mười phút.
QUIC xử lý mượt mà việc đổi mạng và tín hiệu yếu, nên nó vẫn trụ vững trên các kết nối phát wifi từ điện thoại, bị bóp băng thông mà tình trạng kiểm duyệt đẩy người dùng vào.
Giao thức này thực chất là gì, nó ẩn mình ra sao, và nó mạnh nhất ở đâu — mô tả thẳng thắn, không tô hồng. Không có proxy nào là phép màu — chỉ có proxy phù hợp với mạng của bạn mới là phép màu thực sự.
| Phần mềm máy chủ | Hysteria 2 |
|---|---|
| Giao thức truyền tải & ngụy trang | QUIC / UDP + Salamander obfuscation |
| Khả năng chống DPI | High — masquerades as ordinary HTTP/3 |
| Thông lượng | Best on lossy / throttled links (brutal congestion ctrl) |
| Mức tiêu thụ RAM | ≈ 40 MB |
| Cài đặt | single binary + one config, ≈ 10 min |
| Cổng | 443 UDP |
| Mạnh nhất khi | Iran (throttled mobile), high packet-loss networks |
Một proxy chỉ là một tiến trình nhỏ gọn — thứ nó cần là một IP sạch và băng thông ổn định, không phải một cỗ máy khủng. Mọi gói đều là VPS NVMe không giới hạn lưu lượng với toàn quyền root, thuê bằng token và thanh toán bằng crypto.
Một người trên một mạng bị bóp băng thông: VPS-S chạy Hysteria2 dễ dàng, và tốc độ tăng lên mới là điều bạn sẽ cảm nhận được, không phải thông số kỹ thuật.
Vài người dùng cùng đẩy video qua một mạng tồi: các nhân xử lý bổ sung và đường truyền lên 2 Gbps của VPS-M giữ cho mọi người đều nhanh.
Phục vụ nhiều người trên các mạng khắc nghiệt: VPS-L xử lý nhiều phiên QUIC đồng thời và thông lượng nặng với dư địa thoải mái.
Độ trễ gần nhất đến Iran, Thổ Nhĩ Kỳ và vùng Vịnh đến từ Hà Lan và Romania; Moldova là lựa chọn tiết kiệm. Với Nga, bất kỳ node nào ở châu Âu cũng đều ổn. Khả năng chịu mất gói tin của QUIC nghĩa là Hysteria2 khoan dung với một đường truyền dài hơn tốt hơn hầu hết các giao thức khác, nên ngay cả một node hơi xa vẫn dùng tốt.
| Vị trí | CPU | RAM | Lưu trữ | Uplink | Giá | |
|---|---|---|---|---|---|---|
| Moldova Offshore giá rẻ | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $7.50/mo | Đặt mua |
| Russia Ngoài tầm với của phương Tây | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $7.50/mo | Đặt mua |
| Panama Không lưu giữ dữ liệu | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $8.50/mo | Đặt mua |
| Romania Chống lưu giữ dữ liệu | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $8.50/mo | Đặt mua |
| Netherlands Kết nối peering tốt nhất | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $9.00/mo | Đặt mua |
| Iceland Thiên đường tự do ngôn luận | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $10.00/mo | Đặt mua |
| Switzerland Quyền riêng tư cao cấp | 2 vCPU | 4 GB DDR4 | 60 GB NVMe | 1 Gbps | $11.00/mo | Đặt mua |
Từ một VPS trống đến một endpoint hoạt động hoàn chỉnh. Các lệnh đã sẵn sàng copy-paste cho Ubuntu 24.04.
SSH chỉ dùng key, sau đó cho phép UDP trên cổng 443 trong firewall — Hysteria2 dùng UDP, không phải TCP, nên bước này rất quan trọng.
Một script cài đặt chính thức duy nhất sẽ đặt vào file binary và một dịch vụ systemd.
bash <(curl -fsSL https://get.hy2.sh/)Một file YAML ngắn gọn: lắng nghe ở cổng :443, một chứng chỉ tự ký (ở đây hoàn toàn ổn), lớp ngụy trang Salamander kèm mật khẩu, và một mật khẩu xác thực. Cả file cấu hình chỉ có vậy.
# /etc/hysteria/config.yaml
listen: :443
tls:
cert: /etc/hysteria/cert.pem # self-signed is fine
key: /etc/hysteria/key.pem
obfs:
type: salamander
salamander:
password: CHOOSE_A_SECRET
auth:
type: password
password: CHOOSE_A_SECRETNhập URI hy2:// vào NekoBox, v2rayN, sing-box hoặc Streisand. Trên một mạng bị bóp băng thông, sự khác biệt so với một proxy TCP sẽ thấy ngay lập tức.
systemctl enable --now hysteria-server
# import the hy2:// URI into NekoBox, v2rayN, sing-box or StreisandKiểm duyệt không phải lúc nào cũng là một bức tường — thường thì nó là một đầm lầy. Các cơ quan quản lý yêu cầu nhà mạng làm suy giảm lưu lượng quốc tế: cố tình gây mất gói tin, thêm độ trễ, giới hạn thông lượng. TCP coi mỗi gói tin bị mất là dấu hiệu tắc nghẽn rồi lùi bước, nên một proxy dựa trên TCP sẽ bò lết đến mức đứng hình đúng vào lúc bạn cần nó nhất. Hysteria2 chạy trên QUIC và dùng một bộ kiểm soát tắc nghẽn (dựa trên Brutal) coi mất gói tin chỉ là nhiễu, không phải tín hiệu dừng lại — nó tiếp tục gửi dữ liệu ở mức băng thông bạn đã cấu hình. Trên một mạng bị biến thành khốn khổ có chủ đích, đó là sự khác biệt giữa một cuộc gọi video kết nối được và một cuộc gọi cứ xoay vòng mãi không dứt.
QUIC thuần có một handshake dễ nhận diện, nên Hysteria2 bổ sung Salamander — một lớp ngụy trang xáo trộn các header gói tin mà một hộp DPI sẽ kiểm tra, khiến luồng dữ liệu trông giống UDP mã hóa thông thường. Kết hợp với việc chạy trên 443/UDP (nơi HTTP/3 hợp lệ vẫn tồn tại), gần như không có gì để bên kiểm duyệt nhận diện được, trừ khi họ chặn toàn bộ QUIC — điều sẽ phá vỡ một phần ngày càng lớn của web bình thường và kéo theo thiệt hại lan rộng thực sự. Đặt một mật khẩu Salamander đủ mạnh và lớp ngụy trang của bạn sẽ là duy nhất, chỉ thuộc về máy chủ của bạn.
Nếu vấn đề của bạn là 'họ nhận ra đây là proxy và chặn nó', khả năng ẩn mình của REALITY chính là câu trả lời. Nếu vấn đề của bạn là 'nó vẫn kết nối được nhưng chậm đến mức không dùng nổi', Hysteria2 chính là câu trả lời. Trong thực tế, tình trạng bóp băng thông ở Iran khiến Hysteria2 trở thành lựa chọn ưa thích ở đó, trong khi dò quét chủ động ở Trung Quốc khiến REALITY trở thành lựa chọn mặc định. Vì bạn có toàn quyền root, cách làm thực tế nhất là chạy cả hai trên cùng một VPS — Hysteria2 trên UDP/443, còn REALITY trên TCP/443 không thể dùng chung một cổng nên hãy dùng một cổng thứ hai — rồi chuyển đổi client tùy theo tình hình mạng trong tuần đó.
Một số mạng bóp băng thông hoặc giới hạn tốc độ UDP, và một số ít chặn hẳn QUIC trong các đợt siết chặt kiểm duyệt — đây là kịch bản chính khiến Hysteria2 gặp khó khăn và một giao thức dựa trên TCP như REALITY hay Shadowsocks giành phần thắng. Nhưng việc chặn toàn bộ UDP/443 cũng phá vỡ HTTP/3 cho toàn bộ dân số, nên bên kiểm duyệt thường ngần ngại duy trì việc này lâu dài. Lời khuyên thẳng thắn: hãy thử Hysteria2 trước nếu vấn đề của bạn là tốc độ; giữ sẵn một phương án dự phòng dựa trên TCP trên cùng máy cho những giai đoạn UDP bị siết chặt. Luân phiên giữa hai giao thức này bao quát được gần như mọi tình huống.
Giao thức truyền tải QUIC và cơ chế kiểm soát tắc nghẽn dựa trên Brutal của nó tiếp tục gửi dữ liệu xuyên qua mất gói tin thay vì lùi bước như TCP vẫn làm. Trên một mạng bị cố tình bóp băng thông, đó là sự khác biệt một trời một vực; trên một mạng sạch, nó tương đương với các giao thức khác.
Đó là sân nhà của nó. Cách tiếp cận của Iran dựa vào bóp băng thông và gây mất gói tin, chính là thứ Hysteria2 được sinh ra để xuyên qua. Nhiều người dùng Iran biến nó thành 'xe chính' hằng ngày vì lý do đó.
Một số bóp băng thông UDP, và một số ít chặn QUIC trong các đợt siết chặt — kịch bản duy nhất mà một giao thức TCP giành phần thắng. Nhưng chặn UDP/443 cũng phá vỡ HTTP/3 cho tất cả mọi người, nên hiếm khi được duy trì lâu. Hãy giữ sẵn một phương án dự phòng TCP (REALITY hoặc Shadowsocks) trên cùng một VPS cho những giai đoạn đó.
Không — một chứng chỉ tự ký là đủ cho Hysteria2, và file cấu hình chỉ mất vài phút để tạo. Không phải mua tên miền, không cần CA, không có chứng chỉ nào để canh chừng gia hạn.
NekoBox và v2rayN trên desktop/Android, sing-box trên mọi nền tảng, Streisand trên iOS, cùng với client Hysteria chính thức. Nhập link hy2:// là bạn đã kết nối.
Một VPS-S từ $7.50/tháng chạy nó thoải mái với băng thông không giới hạn — điều này quan trọng, vì toàn bộ mục đích của Hysteria2 là đẩy dữ liệu thật nhanh mà không bị một hạn mức nào cản đường.
Bài viết liên quan: VPN Tự Lưu Trữ trên VPS No-KYC: WireGuard vs OpenVPN · Giờ Đầu Tiên Gia Cố VPS: Một Checklist · Trường hợp sử dụng: tự lưu trữ VPN
Hysteria2 trên một IP nước ngoài còn mới, tốc độ QUIC xuyên qua những mạng tồi tệ nhất, thanh toán bằng crypto. Từ $7.50/tháng, hoạt động chỉ trong vài phút.