🦎 Hysteria 2 — port hopping вручную (DNAT)

О чём заметка

Как настроить серверную часть port hopping вручную через правила фаервола (iptables/nftables DNAT), когда встроенный диапазон в listen не подходит. Что такое сам port hopping, зачем он нужен и как настраивается клиент — разобрано в заметке про обфускацию и port hopping; здесь — только про ручной проброс на сервере. Обзор протокола — тут.

TL;DR

• Port hopping — приём против блокировки/троттлинга UDP на конкретном порту: клиент постоянно перескакивает между портами из диапазона. Полная механика и настройка клиента — в основной заметке.
• Обычно серверу достаточно встроенного диапазона в listen: :20000-50000 — Hysteria сама поднимет правила фаервола. Ручной DNAT нужен редко — когда встроенный способ не подходит (нестандартная сеть, свой контроль над правилами, конфликт с существующим фаерволом).
• Идея ручного способа: сервер слушает один порт (например, 443), а правило DNAT перенаправляет на него весь UDP-трафик с диапазона портов (например, 20000–50000).
• Правила сбрасываются при перезагрузке — сделайте их постоянными или выполняйте при старте системы.

Когда нужен ручной способ

По умолчанию серверную часть port hopping делать вручную не надо: на Linux достаточно указать диапазон прямо в listen, и Hysteria сама настроит и уберёт правила фаервола (подробнее — в разделе «На сервере» основной заметки):

listen: :20000-50000

Ручной проброс через DNAT нужен в исключительных случаях:

• Встроенный способ по каким-то причинам не работает или недоступен в вашей сети.
• Вы хотите сами управлять правилами фаервола (например, они уже сложные, и автоматические правила Hysteria конфликтуют с ними).
• Сервер слушает фиксированный порт, и вы отдельно администрируете сетевой стек.

Во всех остальных случаях проще и надёжнее встроенный диапазон в listen — он же сам подчищает правила при остановке сервера.

Как это работает

Идея простая: сервер Hysteria слушает один порт (в примерах — 443), а фаервол перенаправляет (DNAT/REDIRECT) на этот порт весь UDP-трафик, приходящий на любой порт из диапазона. Для клиента это выглядит так, будто сервер отвечает на всех портах диапазона, — а физически он слушает один.

Проще говоря: клиент стучится на случайные порты 20000–50000, фаервол ловит эти пакеты и молча переставляет им адрес назначения на порт 443, где реально сидит Hysteria. Сам Hysteria о диапазоне даже не знает.

--dport 20000:50000 — это диапазон, а не два порта

В iptables двоеточие в --dport означает диапазон «с 20000 по 50000 включительно». Не перепутайте с запятой (перечисление). В примере ниже перенаправляется весь диапазон на один порт 443.

iptables

Замените eth0 на имя вашего внешнего интерфейса, 443 — на порт, который реально слушает Hysteria, а 20000:50000 — на нужный диапазон.

# IPv4
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 20000:50000 -j REDIRECT --to-ports 443
# IPv6
ip6tables -t nat -A PREROUTING -i eth0 -p udp --dport 20000:50000 -j REDIRECT --to-ports 443

nftables

Тот же смысл на nftables. Значения вынесены в переменные — поправьте под себя:

define INGRESS_INTERFACE="eth0"
define PORT_RANGE=20000-50000
define HYSTERIA_SERVER_PORT=443
 
table inet hysteria_porthopping {
  chain prerouting {
    type nat hook prerouting priority dstnat; policy accept;
    iifname $INGRESS_INTERFACE udp dport $PORT_RANGE counter redirect to :$HYSTERIA_SERVER_PORT
  }
}

В этом примере сервер слушает порт 443, а клиент может подключаться к любому порту из диапазона 20000–50000.

Правила не переживают перезагрузку

Команды iptables/nftables выше сбрасываются при перезапуске системы. Чтобы port hopping продолжал работать после ребута, сделайте правила постоянными штатными средствами дистрибутива (iptables-save/netfilter-persistent, nftables.service с конфигом в /etc/nftables.conf и т.п.) либо выполняйте их скриптом при старте. Это отличие от встроенного listen: :20000-50000, где Hysteria сама ставит правила при запуске и убирает при остановке.

Не забудьте открыть диапазон в фаерволе провайдера

DNAT перенаправляет пакеты уже внутри сервера, но до этого они должны до сервера дойти. Если у хостера есть внешний фаервол (в панели VPS) или на самом сервере включён INPUT-фильтр, откройте в нём весь UDP-диапазон 20000–50000 — иначе пакеты будут отброшены раньше, чем сработает DNAT. Заблокированный порт — частая причина ошибки «timeout», см. разбор проблем.

Клиентская сторона

Ручной DNAT — это только про сервер. Клиент настраивается одинаково независимо от того, встроенный у вас диапазон или ручной: в поле server указывается мульти-порт адрес (example.com:20000-50000), а интервал смены порта задаётся в transport. Всё это подробно расписано в основной заметке про port hopping, здесь не дублируется.

📚 См. также

• Обфускация и port hopping — что такое port hopping, зачем он, настройка клиента и встроенный серверный диапазон.
• Конфиг сервера — где задаётся listen.
• Решение проблем — если после настройки диапазона клиент не подключается (частая причина — закрытый порт в фаерволе).
• Hysteria 2 — обзор — общая картина.
• 🔗 Port Hopping — официальная документация

---

🤖 Эти статьи открыты — можно обучать на них ИИ

При желании вы можете натренировать ИИ на наших статьях. Исходное форматирование и скачивание всего репозитория одним zip-архивом доступны в Forgejo: исходник этой заметки · весь репозиторий.