Hysteria2 (QUIC/UDP)

Hysteria2 это QUIC/UDP (быстрый транспорт поверх UDP, по сути «HTTP/3») с агрессивным конгешн-контролем (BBR): лучший протокол на потерях, мобильных сетях и там, где душат TCP. Держите вторым транспортом (способ упаковки трафика, от которого зависит стойкость к блоку) на ноде (сервер, к которому реально подключаются клиенты; см. обзор «Какой протокол выбрать»).

📖 Незнакомые слова? Все термины простыми словами смотрите в Словаре терминов.

✅ В Remnawave это inbound protocol: hysteria в профиле панели, НЕ отдельный демон bash <(curl get.hy2.sh) с одним общим паролем. С clients: [] панель сама наполняет пользователей → полноценный per-user (трафик, лимиты, отключение). Standalone-демон панель не видит и трафик не считает.

👇 Впишите домен и e-mail в конструктор над статьёй. Нужно: домен (A-запись на ноду), свободный порт 80 (для серта), открытый UDP/443.

🚀 Не хотите настраивать ноду руками? MultiScript поднимает ноду с этим протоколом по одной форме (протокол · транспорт · SNI · страна) и автоматически генерирует Reality-ключи и shortId. Подробнее в статье «О MultiScript».

Шаг 1: серт через Certbot в Docker (на ноде)

mkdir -p /opt/certbot && cd /opt/certbot
docker run --rm \
  -v $(pwd)/certs:/etc/letsencrypt \
  -v $(pwd)/var-lib-letsencrypt:/var/lib/letsencrypt \
  --network host \
  certbot/certbot certonly --standalone \
  --non-interactive --agree-tos \
  --email you@example.com \
  -d your.domain

Серт ляжет в /opt/certbot/certs/live/your.domain/. Если :80 занят (nginx/Caddy селфстила), временно остановите его на время выпуска.

Шаг 2: пробросьте серты в контейнер ноды

Монтируем всю папку /etc/letsencrypt (не только live/, иначе сломаются симлинки на archive/). В /opt/remnanode/docker-compose.yml, в volumes: сервиса remnanode:

    volumes:
      - '/opt/certbot/certs:/etc/letsencrypt:ro'

cd /opt/remnanode && docker compose down && docker compose up -d
ufw allow 443/udp        # Hysteria2 = UDP; файрвол/провайдер не должны его резать

Шаг 3: Config Profile в панели (вставляется целиком)

{
  "log": { "loglevel": "none" },
  "inbounds": [
    {
      "tag": "HYSTERIA-BBR",
      "listen": "0.0.0.0",
      "port": 443,
      "protocol": "hysteria",
      "settings": { "clients": [], "version": 2 },
      "streamSettings": {
        "network": "hysteria",
        "security": "tls",
        "tlsSettings": {
          "alpn": ["h3"],
          "certificates": [
            { "certificateFile": "/etc/letsencrypt/live/your.domain/fullchain.pem",
              "keyFile":        "/etc/letsencrypt/live/your.domain/privkey.pem" }
          ]
        },
        "hysteriaSettings": { "version": 2 }
      }
    }
  ],
  "outbounds": [
    { "tag": "DIRECT", "protocol": "freedom" },
    { "tag": "BLOCK",  "protocol": "blackhole" }
  ],
  "routing": { "rules": [
    { "ip": ["geoip:private"], "outboundTag": "BLOCK" },
    { "domain": ["geosite:private"], "outboundTag": "BLOCK" },
    { "protocol": ["bittorrent"], "outboundTag": "BLOCK" }
  ]}
}

Дальше: включить инбаунд на ноде → создать Host (Address = your.domain, alpn h3) → добавить в сквады. Клиент получит hysteria2://-ссылку.

⚠️ Чтобы Hysteria2 показалась в Happ, отдавайте подписку как JSON. Панель: Настройки подписки → Доп. опции → «Использовать JSON в базовой подписке». Без этого Happ Hysteria2 не покажет (VLESS будет, а Hysteria нет).

Шаг 4: автообновление серта (cron)

0 0 28 * * cd /opt/certbot && docker compose run --rm certbot renew && cd /opt/remnanode && docker compose restart

Рестарт ноды после renew обязателен, иначе Hysteria отдаёт старый серт.

⚠️ Важно: обновите Xray-ядро ноды (учёт онлайна/трафика)

На Xray-core 26.3.27 Remnawave не видит Hysteria-юзера онлайн и не считает трафик. Поправлено в 26.5.9+. Лечится подменой ядра: монтируем свежий бинарь в remnanode:

mkdir -p /opt/remnanode/custom-xray && cd /opt/remnanode/custom-xray
wget https://github.com/XTLS/Xray-core/releases/latest/download/Xray-linux-64.zip
apt update && apt install -y unzip && unzip -o Xray-linux-64.zip

В docker-compose.yml ноды, volumes: сервиса remnanode:

      - '/opt/remnanode/custom-xray/xray:/usr/local/bin/xray:ro'

cd /opt/remnanode && docker compose down && docker compose up -d
docker exec -it remnanode xray version       # должно показать 26.5.9+

Host в Remnawave

Address      : your.domain
Port         : 443
ALPN         : h3

Полную версию с пояснениями смотрите в статье «Профили подключений (inbounds) → §7», а обзор протоколов дан в «Какой протокол выбрать».

Две вещи, о которых узнают через 90 дней

Hysteria не перечитывает сертификат. Она читает файл при старте и больше за ним не следит. Если сертификат обновился, клиенты получают ошибку TLS, хотя «ничего не меняли». Нужен перезапуск после обновления: плагином caddy-events-exec, параметром reloadcmd в acme.sh или по расписанию.

Hysteria не обязана занимать отдельный порт. QUIC передаёт SNI, поэтому UDP 443 можно поделить между Hysteria и HTTP/3-сайтом через SNI-разделение. Тогда снаружи открыты только TCP 443 и UDP 443, как у обычного сайта, без «странного» порта, который выдаёт ноду при сканировании.

Как это настроить, смотрите в статье Эталонные схемы размещения.