1.1 协议选型决策矩阵#

1.2 1分钟快速排障与应急清单#

场景A：连接成功但速度极慢（< 1Mbps）

1. 检查服务端 brutal 带宽参数是否设置过低（建议设置为实际带宽的 80%）
2. 确认客户端 up_mbps / down_mbps 与实际物理带宽匹配
3. 排查是否被 QoS 限速：tc qdisc show dev eth0
4. 尝试切换拥塞控制：Hysteria 2 使用 brutal，TUIC v5 使用 bbr

场景B：频繁断流（每 30~60 秒重连）

1. 检查 NAT 超时时间：UDP NAT 映射默认 30~120 秒
2. 开启 Keep-Alive：Hysteria 2 设置 keepalive: 30s，TUIC v5 设置 heartbeat: 10s
3. 检查 MTU：建议 1400~1450，执行 ping -M do -s 1420 <server> 测试
4. 排查中间设备 UDP 限速策略

场景C：完全无法连接（超时）

1. 确认服务端 UDP 端口开放：ss -ulnp | grep <port>
2. 检查防火墙：iptables -L -n -v | grep <port>
3. 测试 UDP 连通性：nc -u -v <server> <port>
4. 尝试端口跳跃（Hysteria 2）：server: "example.com:20000-50000"

场景D：TUIC v5 报错 Error 83

1. 检查 UUID 格式是否为标准 UUID v4
2. 确认客户端与服务端 alpn 一致（默认 h3）
3. 检查 sni 是否与服务端证书域名匹配
4. 确认服务端 cert 与 key 路径正确

2.1 协议栈对比拓扑图#

1
┌─────────────────────────────────────────────────────────────────────┐
2
│                        应用层 (HTTP/SOCKS5)                          │
3
├─────────────────────────────────────────────────────────────────────┤
4
│                    Hysteria 2              │        TUIC v5          │
5
│  ┌────────────────────────────────────┐   │  ┌────────────────────┐ │
6
│  │  Salamander 混淆层 (可选)           │   │  │  UUID 鉴权层        │ │
7
│  ├────────────────────────────────────┤   │  ├────────────────────┤ │
8
│  │  QUIC 传输层 (Stream 多路复用)      │   │  │  QUIC 传输层        │ │
9
│  ├────────────────────────────────────┤   │  ├────────────────────┤ │
10
│  │  Brutal 拥塞控制 (固定速率)         │   │  │  BBR v2 拥塞控制    │ │
11
│  ├────────────────────────────────────┤   │  ├────────────────────┤ │
12
│  │  TLS 1.3 (0-RTT / 1-RTT)           │   │  │  TLS 1.3 (0-RTT)   │ │
13
│  └────────────────────────────────────┘   │  └────────────────────┘ │
14
├─────────────────────────────────────────────────────────────────────┤
15
│                         UDP 传输层                                    │
16
├─────────────────────────────────────────────────────────────────────┤
17
│                         IP 网络层                                     │
18
└─────────────────────────────────────────────────────────────────────┘

2.2 Hysteria 2 握手与数据封装时序#

1
Client                          Server
2
  │                               │
3
  │──── QUIC Initial (ClientHello) ────▶│  (含 TLS 1.3 ClientHello)
4
  │                               │
5
  │◀─── QUIC Initial (ServerHello) ─────│  (含 TLS 1.3 ServerHello + 证书)
6
  │                               │
7
  │──── QUIC Handshake (Finished) ─────▶│  (0-RTT 数据可随此包发送)
8
  │                               │
9
  │◀─── QUIC Handshake (Finished) ──────│
10
  │                               │
11
  │──── Auth Request (HTTP/3) ─────────▶│  (鉴权: password)
12
  │◀─── Auth Response (HTTP/3) ─────────│
13
  │                               │
14
  │──── Proxy Stream (SOCKS5) ─────────▶│  (多路复用数据流)
15
  │◀─── Proxy Stream (SOCKS5) ──────────│
16
  │                               │

关键参数：

• RTT 基线：跨国链路 150~250ms
• 0-RTT 握手节省：1 × RTT（约 150~250ms）
• QUIC 包大小：1200~1450 字节（受 MTU 限制）
• Brutal 拥塞控制：固定发送速率，不依赖丢包反馈

2.3 TUIC v5 握手与数据封装时序#

1
Client                          Server
2
  │                               │
3
  │──── QUIC Initial (ClientHello) ────▶│
4
  │◀─── QUIC Initial (ServerHello) ─────│
5
  │──── QUIC Handshake (Finished) ─────▶│
6
  │◀─── QUIC Handshake (Finished) ──────│
7
  │                               │
8
  │──── Authenticate (UUID) ───────────▶│  (UUID + Token)
9
  │◀─── Authenticate OK ────────────────│
10
  │                               │
11
  │──── Connect (目标地址) ─────────────▶│
12
  │◀─── Connect OK ─────────────────────│
13
  │                               │
14
  │──── Data Stream ────────────────────▶│
15
  │◀─── Data Stream ─────────────────────│

TUIC v5 特有机制：

• UUID 鉴权：每个用户唯一 UUID，服务端可精确控制
• 心跳机制：默认 10 秒，防止 NAT 超时
• 多路复用：QUIC Stream 隔离，单流阻塞不影响其他流

2.4 抗封锁原理深度解析#

Hysteria 2 抗封锁机制：

1. Salamander 混淆：对 QUIC 包进行异或加密，消除固定特征
2. 端口跳跃：服务端监听端口范围（如 20000-50000），客户端随机选择
3. 流量形态伪装：QUIC 流量与 HTTP/3 高度相似，DPI 难以区分
4. 主动探测防御：未通过鉴权的连接返回错误，不暴露代理特征

TUIC v5 抗封锁机制：

1. TLS 1.3 伪装：完整 TLS 握手，SNI 可设置为常见域名
2. ALPN 伪装：默认 h3，与 HTTP/3 一致
3. UUID 鉴权：无有效 UUID 无法建立连接
4. 无固定特征：依赖 QUIC 协议本身的加密特性

对比结论：

• Hysteria 2 在主动探测防御上更强（Salamander + 端口跳跃）
• TUIC v5 在流量伪装上更接近标准 HTTP/3
• 两者均能有效对抗基于 DPI 的封锁

3.1 Windows 客户端配置（Hysteria 2）#

1
server: "example.com:443"
2
auth: "your_password"
3
tls:
4
  sni: "example.com"
5
  insecure: false
6
bandwidth:
7
  up: 50 mbps
8
  down: 200 mbps
9
fastOpen: true
10
lazy: false
11
socks5:
12
  listen: 127.0.0.1:1080
13
http:
14
  listen: 127.0.0.1:8080

调优要点：

• bandwidth 设置为实际带宽的 80%，避免过度拥塞
• fastOpen: true 启用 0-RTT，降低首包延迟
• lazy: false 禁用懒加载，保持长连接活跃

3.2 macOS 客户端配置（TUIC v5）#

1
server: "example.com"
2
port: 443
3
uuid: "123e4567-e89b-12d3-a456-426614174000"
4
password: "your_password"
5
alpn: ["h3"]
6
sni: "example.com"
7
congestion_control: "bbr"
8
udp_relay_mode: "native"
9
heartbeat:
10
  interval: 10s
11
  timeout: 5s

调优要点：

• congestion_control: bbr 在稳定链路下表现更优
• udp_relay_mode: native 原生 UDP 转发，降低延迟
• heartbeat 防止 NAT 超时断流

3.3 iOS/Android 客户端配置#

Shadowrocket（iOS）：

1
类型：Hysteria 2
2
地址：example.com
3
端口：443
4
密码：your_password
5
SNI：example.com
6
带宽：上行 50 Mbps / 下行 200 Mbps

Surfboard（Android）：

1
[Proxy]
2
HY2 = hysteria2, example.com, 443, password=your_password, sni=example.com, up=50, down=200
3

4
[Proxy Group]
5
PROXY = select, HY2, DIRECT
6

7
[Rule]
8
DOMAIN-SUFFIX,openai.com,PROXY
9
DOMAIN-SUFFIX,netflix.com,PROXY
10
GEOIP,CN,DIRECT
11
FINAL,PROXY

3.4 OpenWrt 软路由配置#

1
# 安装 Hysteria 2
2
opkg update
3
opkg install hysteria2
4

5
# 配置 /etc/config/hysteria2
6
config hysteria2 'proxy'
7
    option enabled '1'
8
    option server 'example.com'
9
    option port '443'
10
    option password 'your_password'
11
    option sni 'example.com'
12
    option up '50'
13
    option down '200'
14
    option fast_open '1'
15

16
# 启动服务
17
/etc/init.d/hysteria2 start

分流规则（OpenWrt）：

1
# 使用 dnsmasq 分流
2
ipset -N proxy hash:net
3
ipset add proxy 0.0.0.0/8
4
# 添加需要代理的 IP 段
5
iptables -t nat -A PREROUTING -p tcp -m set --match-set proxy dst -j REDIRECT --to-port 1080

3.5 分流规则最佳实践#

国内直连 + 国外代理：

1
rules:
2
  - DOMAIN-SUFFIX,cn,DIRECT
3
  - DOMAIN-SUFFIX,baidu.com,DIRECT
4
  - DOMAIN-SUFFIX,qq.com,DIRECT
5
  - DOMAIN-SUFFIX,openai.com,PROXY
6
  - DOMAIN-SUFFIX,github.com,PROXY
7
  - GEOIP,CN,DIRECT
8
  - FINAL,PROXY

AI 对话专用分流：

1
rules:
2
  - DOMAIN-SUFFIX,openai.com,PROXY
3
  - DOMAIN-SUFFIX,anthropic.com,PROXY
4
  - DOMAIN-SUFFIX,claude.ai,PROXY
5
  - DOMAIN-SUFFIX,gemini.google.com,PROXY
6
  - DOMAIN-SUFFIX,bing.com,PROXY
7
  - FINAL,DIRECT

4.1 测试环境#

4.2 吞吐量对比（30% 丢包）#

4.3 首包延迟 TTFB 对比#

4.4 长连接稳定性（24 小时）#

4.5 晚高峰实测数据（20:00-22<00>）#

Hysteria 2：

1
[20:00] 下载: 380 Mbps, 上传: 45 Mbps, 延迟: 185ms
2
[20:30] 下载: 365 Mbps, 上传: 42 Mbps, 延迟: 192ms
3
[21:00] 下载: 350 Mbps, 上传: 40 Mbps, 延迟: 205ms
4
[21:30] 下载: 340 Mbps, 上传: 38 Mbps, 延迟: 215ms
5
[22:00] 下载: 355 Mbps, 上传: 41 Mbps, 延迟: 198ms

TUIC v5：

1
[20:00] 下载: 320 Mbps, 上传: 38 Mbps, 延迟: 195ms
2
[20:30] 下载: 305 Mbps, 上传: 35 Mbps, 延迟: 210ms
3
[21:00] 下载: 285 Mbps, 上传: 32 Mbps, 延迟: 235ms
4
[21:30] 下载: 270 Mbps, 上传: 30 Mbps, 延迟: 250ms
5
[22:00] 下载: 290 Mbps, 上传: 33 Mbps, 延迟: 225ms

4.6 测试结论#

1. 高丢包场景：Hysteria 2 的 Brutal 拥塞控制优势明显，30% 丢包下仍保持 77% 吞吐
2. 首包延迟：两者 0-RTT 表现接近，但 Hysteria 2 在丢包环境下更稳定
3. 长连接稳定性：Hysteria 2 零断流，TUIC v5 偶发断流（NAT 超时）
4. 晚高峰表现：Hysteria 2 抗抖动能力更强，TUIC v5 延迟波动较大

5.1 AI 对话场景（OpenAI/Claude/Gemini）#

选型建议：Hysteria 2

理由：

• AI 对话对首包延迟敏感，Hysteria 2 的 0-RTT 优势明显
• 长连接保持稳定，避免对话中断
• 端口跳跃降低被封锁风险

配置优化：

1
server: "example.com:20000-50000"
2
auth: "your_password"
3
bandwidth:
4
  up: 20 mbps
5
  down: 100 mbps
6
fastOpen: true
7
lazy: false

防风控策略：

• 使用住宅 IP 或原生 IP
• 避免频繁切换节点
• 保持浏览器指纹一致
• 使用固定 SNI

5.2 4K 流媒体场景（Netflix/YouTube/Disney+）#

选型建议：TUIC v5

理由：

• 流媒体对带宽要求高，TUIC v5 的 BBR 在稳定链路下吞吐更高
• 多路复用支持多流并发，适合 4K 视频
• 原生 UDP 转发降低延迟

配置优化：

1
server: "example.com"
2
port: 443
3
uuid: "your_uuid"
4
congestion_control: "bbr"
5
udp_relay_mode: "native"
6
heartbeat:
7
  interval: 10s

防风控策略：

• 使用流媒体专用节点
• 避免多设备同时登录
• 保持观看行为自然

5.3 跨国协作场景（GitHub/Slack/Zoom）#

选型建议：Hysteria 2

理由：

• 协作工具对稳定性要求高，Hysteria 2 零断流
• 端口跳跃适应企业网络限制
• 低延迟保证视频会议质量

配置优化：

1
server: "example.com:443"
2
auth: "your_password"
3
bandwidth:
4
  up: 50 mbps
5
  down: 200 mbps
6
fastOpen: true

5.4 外服联机场景（Steam/PSN/Xbox）#

选型建议：TUIC v5

理由：

• 游戏对延迟敏感，TUIC v5 原生 UDP 转发延迟更低
• BBR 在稳定链路下抖动更小
• 多路复用支持游戏语音和游戏数据并发

配置优化：

1
server: "example.com"
2
port: 443
3
uuid: "your_uuid"
4
congestion_control: "bbr"
5
udp_relay_mode: "native"
6
heartbeat:
7
  interval: 5s
8
  timeout: 3s

6.1 Hysteria 2 常见错误#

错误 1：connection timeout

• 原因：UDP 端口未开放或防火墙拦截
• 排查：ss -ulnp | grep <port>，iptables -L -n -v | grep <port>
• 解决：开放 UDP 端口，检查云服务商安全组

错误 2：authentication failed

• 原因：密码错误或格式不匹配
• 排查：检查 auth 字段是否与服务端一致
• 解决：重新生成密码，确保无特殊字符

错误 3：TLS handshake failed

• 原因：SNI 不匹配或证书无效
• 排查：openssl s_client -connect example.com:443 -servername example.com
• 解决：确保证书有效，SNI 与证书域名一致

6.2 TUIC v5 常见错误#

错误 83：invalid UUID

• 原因：UUID 格式错误
• 排查：检查 UUID 是否为标准 v4 格式
• 解决：使用 uuidgen 生成新 UUID

错误 1020：access denied

• 原因：Cloudflare 拦截或服务端鉴权失败
• 排查：检查是否经过 Cloudflare，确认 UUID 正确
• 解决：关闭 Cloudflare 代理，或使用直连 IP

错误：SSL Handshake Failed

• 原因：TLS 版本不匹配或 ALPN 不一致
• 排查：检查 alpn 是否为 h3
• 解决：统一客户端与服务端 ALPN 设置

6.3 断流闪断排查#

症状：每 30~60 秒断流

• 原因：NAT 超时
• 排查：conntrack -L | grep <port>
• 解决：开启 Keep-Alive，Hysteria 2 设置 keepalive: 30s，TUIC v5 设置 heartbeat: 10s

症状：大流量传输时断流

• 原因：MTU 不匹配
• 排查：ping -M do -s 1420 <server>
• 解决：调整 MTU 为 1400~1450

6.4 安全防泄漏排查#

DNS 泄漏：

• 排查：访问 dnsleaktest.com
• 解决：使用代理 DNS，禁用系统 DNS

IP 泄漏：

• 排查：访问 ipleak.net
• 解决：启用 udp_relay_mode: native，确保 UDP 流量走代理

WebRTC 泄漏：

• 排查：访问 browserleaks.com/webrtc
• 解决：禁用 WebRTC 或使用浏览器扩展

6.5 性能优化 FAQ#

Q：如何提升 Hysteria 2 吞吐量？ A：调整 bandwidth 为实际带宽的 80%，启用 fastOpen，使用 brutal 拥塞控制。

Q：如何降低 TUIC v5 延迟？ A：使用 bbr 拥塞控制，启用 udp_relay_mode: native，设置 heartbeat: 5s。

Q：如何避免被封锁？ A：Hysteria 2 启用 Salamander 混淆和端口跳跃，TUIC v5 使用标准 TLS 1.3 和 h3 ALPN。

Q：如何选择节点？ A：AI 对话选美国节点，流媒体选日本/新加坡节点，游戏选韩国/台湾节点。