Hysteria2

Hysteria вырос из наблюдения, что главная беда плохого канала — не узкая полоса, а потери. Обычное соединение считает потерянный пакет признаком перегрузки и в ответ сбрасывает скорость. На проводе это разумно, в мобильной сети — вредно: там пакеты теряются от помех и переключения между вышками, а вовсе не от того, что канал забит.

Первая версия решала это довольно грубо и требовала от пользователя вручную указывать скорость канала. Вторая, 2023 года, переписана заново поверх QUIC — стандартного транспорта, на котором работает современный веб, — и научилась подстраиваться сама. Побочный выигрыш оказался не меньше основного: раз транспорт стандартный, поток перестал выделяться на общем фоне.

Отсюда и область применения: протокол делался не для того, чтобы прятаться, а для того, чтобы работать на плохой связи. Незаметность досталась ему в наследство от QUIC. Выбирая между ним и протоколами, которые маскировкой занимаются целенаправленно, учитывайте это.

Соединение идёт поверх UDP и снаружи выглядит как поток QUIC — тот самый, на котором работают YouTube и многие крупные сайты. Это не редкий и не подозрительный транспорт: у любого провайдера его много, и отличить один поток от другого по внешним признакам трудно.

Внутри — обычное TLS-рукопожатие с сертификатом, который выпускается автоматически при установке. Наблюдателю видно, что соединение защищено, но не видно, что именно внутри, — ровно как у любого сайта.

Слабое место маскировки здесь не в самом протоколе, а в отношении сетей к UDP. Некоторые корпоративные и гостиничные сети режут его целиком или сильно ограничивают, не разбираясь, что там внутри. Тогда Hysteria2 не пройдёт не потому, что его узнали, а потому, что закрыт весь транспорт.

Hysteria2 работает поверх QUIC, а QUIC без TLS не бывает: серверу нужен сертификат, и клиент сверяет имя в нём с адресом, к которому подключается. Обычно для этого покупают домен. Второй распространённый путь — самоподписанный сертификат и режим insecure в клиенте, но тогда клиент перестаёт проверять, что на той стороне именно ваш сервер.

toNet обходится без обоих. Сервер получает имя вида «IP-сервера.sslip.io»: публичный DNS-сервис sslip.io отвечает на такое имя тем самым IP, который в нём записан. На это имя при установке выпускается настоящий сертификат Let’s Encrypt, продлевается он на сервере сам. Клиент проверяет сертификат как обычно, режим insecure не нужен.

Если выпустить сертификат не удалось — например, DNS не ответил или порт для проверки оказался занят, — Hysteria2 не включается: подключение с непроверяемым сертификатом toNet клиенту не отдаёт. VLESS + Reality и Shadowsocks от сертификата не зависят и в этом случае работают.

Устойчивость к потерям — главное, ради чего его берут. Мобильная сеть теряет пакеты постоянно: при переходе между вышками, в метро, на краю зоны покрытия. Обычный протокол на каждой такой потере замирает и разгоняется заново, и это ощущается как «интернет тормозит». Hysteria2 в тех же условиях продолжает ехать.

Быстрый старт соединения. QUIC совмещает установку связи и рукопожатие защиты, поэтому первое открытие страницы не ждёт нескольких обменов подряд. На канале с большой задержкой — мобильном или до далёкой страны — экономия заметна на глаз.

Переживает смену сети. Переключились с Wi-Fi на мобильный интернет или наоборот — соединение не начинает всё сначала, потому что QUIC опознаёт сессию не только по адресу. Для телефона, который весь день ходит между сетями, это важнее пиковой скорости.

Хорошо переносит длинный маршрут. Если сервер взят в далёкой стране, разница с обычным протоколом растёт вместе с задержкой — как раз потому, что меньше зависит от ожидания подтверждений.

Сети, где UDP закрыт, отсекают его целиком. Это самая частая причина, по которой он не работает: не фильтрация содержимого, а запрет транспорта на рабочем или гостевом Wi-Fi. Решение простое — переключиться на протокол поверх TCP: такие на сервере уже настроены.

На стабильном проводном канале выигрыша нет. Когда потерь нет, спасать нечего, и по чистой скорости он уступит протоколам, которые не тратятся на собственный контроль передачи.

Требует сертификата, а значит, привязан к процедуре его выпуска и продления. Всё это делается без вашего участия, но это ещё одна деталь, которая может сломаться, — у протоколов без сертификата такой детали нет.

Расходует на устройстве больше памяти и процессора, чем простые протоколы: работу, которую в обычном случае делает ядро операционной системы, здесь выполняет само приложение. На современном телефоне это незаметно, на слабом старом — заметно по батарее.

Первый кандидат, если проблемы начинаются в мобильной сети: видео буферизуется, страницы открываются рывками, звонки разваливаются. Симптом «дома всё хорошо, на улице плохо» — это про потери пакетов, и это его задача.

Ставьте его на телефон основным, а протокол поверх TCP держите запасным: он выручит там, где UDP закрыт.

На домашнем компьютере с проводным интернетом переключаться на него незачем: остальные работают там не хуже, а сложностей с ними меньше.

Hysteria2 и VLESS + Reality делят работу по типу сети. На проводе и стабильном Wi-Fi Reality быстрее и проходит там, где закрыт UDP. В мобильной сети с потерями впереди Hysteria2: потерянный пакет не останавливает остальной поток.

AmneziaWG и WireGuard тоже живут на UDP и тоже переживают смену сети. Они быстрее и экономнее к батарее, но потери на канале у них отрабатывает TCP внутри туннеля, и на плохой связи Hysteria2 держится лучше. WireGuard к тому же легко опознаётся.

• Hysteria2

  Транспорт

  UDP

  Как выглядит в сети

  QUIC, как HTTP/3

  Сертификат

  выпускается сам

  Если UDP закрыт

  не проходит

  Скорость

  средняя, держится при потерях

  Батарея

  выше среднего

  Мобильная сеть

  лучше всех

• VLESS + Reality

  Транспорт

  TCP

  Как выглядит в сети

  HTTPS к известному сайту

  Сертификат

  не нужен

  Если UDP закрыт

  проходит

  Скорость

  высокая

  Батарея

  средний расход

  Мобильная сеть

  средне

• AmneziaWG

  Транспорт

  UDP

  Как выглядит в сети

  неопознанный UDP-поток

  Сертификат

  не нужен

  Если UDP закрыт

  не проходит

  Скорость

  очень высокая

  Батарея

  минимальный расход

  Мобильная сеть

  хорошо

• WireGuard

  Транспорт

  UDP

  Как выглядит в сети

  узнаваемый WireGuard

  Сертификат

  не нужен

  Если UDP закрыт

  не проходит

  Скорость

  самая высокая

  Батарея

  минимальный расход

  Мобильная сеть

  хорошо

Скорость и расход батареи — сравнительные оценки, а не замеры. Свой домен не нужен ни одному протоколу: где нужен сертификат, он выпускается на служебное имя сервера автоматически.

Подробнее: VLESS Reality vs Hysteria2 vs AmneziaWG. Все протоколы в одной таблице — на странице о протоколах.

Приложения бесплатные, ссылки ведут в официальные магазины и на страницы релизов разработчиков.

• Android: Happ, Hiddify; подойдут и v2rayNG, NekoBox
• iPhone и iPad: Happ, Hiddify, Incy; подойдут и Streisand, v2Box, Shadowrocket
• Windows: Happ, Hiddify; подойдут и v2rayN
• macOS: Happ, Hiddify, Incy; подойдут и V2Box
• Linux: Happ, Hiddify; подойдут и sing-box CLI

Как добавить: скопируйте ссылку-подписку в личном кабинете и вставьте её в приложение («+» → «Добавить из буфера обмена») или отсканируйте QR-код — в списке появятся все протоколы сервера, включая этот.

Протоколу нужен настоящий сертификат: он выпускается и продлевается при установке автоматически, от вас тут ничего не требуется.

Пошаговые инструкции по платформам: Android, iPhone и iPad, Windows, macOS, Linux; все вместе — в разделе инструкций.

Протокол прячет содержимое соединения от сети по дороге, но не делает вас анонимным: сайты по-прежнему узнают вас по учётным записям и cookie, хостинг видит трафик своего сервера, а объём и время соединений скрыть нельзя. Что при этом видит сам сервис, разобрано в разделе о безопасности.

Выбирать один протокол не нужно: на сервере поднимаются все сразу, каждый на своём порту, и переключение занимает пару нажатий. Разбор остальных — на странице о протоколах.