🦎 Hysteria 2 — конфиг сервера

О чём заметка

Как написать рабочий серверный config.yaml для Hysteria 2: получение TLS-сертификата (ACME или свой), пароль аутентификации, маскировка под сайт (masquerade) и запуск. Установка бинарника — в отдельной заметке. Полный справочник по всем полям — в официальной документации Full Server Config.

TL;DR

• Конфиг — это YAML-файл (/etc/hysteria/config.yaml при установке скриптом). Минимум для рабочего сервера: сертификат + auth (пароль) + опционально masquerade.
• С доменом проще всего использовать acme — Hysteria сама получит и обновит бесплатный сертификат Let’s Encrypt/ZeroSSL. Без домена — свой tls с самоподписанным сертификатом (тогда на клиенте нужен insecure + pinSHA256).
• masquerade заставляет сервер отвечать на HTTP-запросы как настоящий сайт (режим proxy «ворует» контент чужого сайта). Это ключ к обходу цензуры — без него сервер на любой HTTP-запрос отдаёт «404 Not Found», что выглядит подозрительно.
• Обязательно замените пароль на свой — это и есть единственная защита от чужих подключений.
• После правки конфига — systemctl restart hysteria-server.service.

Где лежит конфиг и как запускается

При установке официальным скриптом конфиг — это /etc/hysteria/config.yaml, а сервис управляется через systemd (systemctl restart hysteria-server.service). При ручной установке вы сами кладёте config.yaml рядом с бинарником и запускаете ./hysteria server (файл config.yaml подхватывается по умолчанию) или ./hysteria server -c whatever.yaml для произвольного имени.

Вариант A — сертификат через ACME (есть домен)

Это рекомендуемый путь: указываете домен и email, Hysteria сама получает валидный TLS-сертификат и автоматически его продлевает. Домен должен указывать на IP сервера (A/AAAA-запись).

# listen: :443
 
acme:
  domains:
    - your.domain.net
  email: your@email.com
 
auth:
  type: password
  password: Se7RAuFZ8Lzg
 
masquerade:
  type: proxy
  proxy:
    url: https://news.ycombinator.com/
    rewriteHost: true

Что здесь что:

• listen — адрес и порт. По умолчанию :443 (слушает и IPv4, и IPv6). Строку можно не указывать; раскомментируйте и поменяйте, только если нужен другой порт. 0.0.0.0:443 — только IPv4, [::]:443 — только IPv6.
• acme.domains — ваш домен (можно несколько). acme.email — почта для регистрации в центре сертификации.
• auth — аутентификация клиентов. type: password — простой общий пароль. Обязательно замените password на свой сильный пароль. Он же указывается в клиенте.
• masquerade — маскировка (см. ниже).

Вариант B — собственный сертификат

Если сертификат вы получаете сами (или он самоподписанный):

# listen: :443
 
tls:
  cert: your_cert.crt
  key: your_key.key
 
auth:
  type: password
  password: Se7RAuFZ8Lzg
 
masquerade:
  type: proxy
  proxy:
    url: https://news.ycombinator.com/
    rewriteHost: true

tls.cert и tls.key — пути к файлам сертификата и ключа. Сертификаты перечитываются при каждом TLS-рукопожатии, поэтому обновлять файлы можно без перезапуска сервера. Если сертификат самоподписанный, на клиенте придётся указать insecure: true вместе с pinSHA256 — подробнее в конфиге клиента.

Нельзя одновременно tls и acme

В конфиге может быть либо секция acme, либо секция tls, но не обе сразу. Выбираете один способ получения сертификата.

Masquerade — маскировка под настоящий сайт

Одна из ключевых причин устойчивости Hysteria к цензуре — способность прикидываться обычным HTTP/3-трафиком. Мало того что пакеты выглядят как HTTP/3 для DPI — сервер ещё и отвечает на HTTP-запросы как нормальный веб-сервер. Но для правдоподобия сервер должен реально отдавать какой-то контент.

Проще всего — режим proxy: сервер работает обратным прокси и «ворует» контент чужого сайта. Поменяйте url на сайт, под который хотите мимикрировать. rewriteHost: true подменяет заголовок Host на адрес проксируемого сайта — это нужно, если целевой сервер по Host решает, какой сайт отдавать.

Другие режимы masquerade:

• file — раздавать статические файлы из каталога (dir: /www/masq).
• string — всегда возвращать заданную строку (content: ..., опционально свои headers и statusCode).
• proxy — обратный прокси на чужой сайт (пример выше).

Без masquerade сервер выдаёт «404»

Если убрать секцию masquerade целиком, Hysteria на любой HTTP-запрос будет отвечать «404 Not Found». Само по себе это не ломает прокси, но для стороннего наблюдателя (или цензора, который решит постучаться на ваш домен браузером) сервер, отдающий голый 404 на всё, выглядит подозрительнее, чем нормальный сайт. Если обход цензуры — цель, оставляйте masquerade.

Проверить маскировку можно браузером

Чтобы убедиться, что маскировка работает, запустите Chrome с флагом форс-QUIC: chrome --origin-to-force-quic-on=your.site.com:443 (перед этим полностью закройте все процессы Chrome, иначе флаг не подействует), затем откройте https://your.site.com — должна отобразиться замаскированная страница.

Запуск и проверка

Если ставили скриптом — просто перезапустите сервис после правки конфига:

systemctl restart hysteria-server.service
journalctl --no-pager -e -u hysteria-server.service

Если запускаете бинарник вручную:

sudo setcap cap_net_bind_service=+ep ./hysteria   # разрешить порт 443 без root
./hysteria server                                 # config.yaml подхватится сам

Признак успеха — в логах строка «server up and running» без ошибок. Дальше настройте клиент.

Полезные необязательные поля

В полном справочнике сервера есть много опций сверх минимума: несколько пользователей (auth.type: userpass), HTTP-аутентификация через свой бэкенд, лимиты скорости (bandwidth — см. Скорость и Brutal), ACL и outbound’ы для маршрутизации разного трафика по-разному, Traffic Stats API для мониторинга, обфускация (см. Обфускация и port hopping). Если у сервера нет белого IP — его можно поднять за NAT через Realms.

📚 См. также

• Установка сервера — предыдущий шаг: как получить бинарник и сервис.
• Конфиг клиента — следующий шаг: настройка устройства.
• Скорость и Brutal — про поле bandwidth и контроль перегрузки.
• Обфускация и port hopping — если QUIC режется провайдером.
• ACL и маршрутизация трафика — блокировка адресов и разведение по outbound’ам.
• Traffic Stats API — мониторинг и управление пользователями.
• Realms: сервер за NAT — если нет белого IP.
• 🔗 Server tutorial · Full Server Config

---

🤖 Эти статьи открыты — можно обучать на них ИИ

При желании вы можете натренировать ИИ на наших статьях. Исходное форматирование и скачивание всего репозитория одним zip-архивом доступны в Forgejo: исходник этой заметки · весь репозиторий.