Hysteria 2, TUIC, QUIC-based туннели

Reality — это TCP. На плохом канале (мобильный интернет, роуминг, потери 5-10%) TCP страдает: одна потеря тормозит весь поток (head-of-line blocking). QUIC поверх UDP решает это на уровне дизайна. Hysteria 2 и TUIC — два главных QUIC-туннеля 2024-2026, которые умеют делать то, что Reality не умеет: порт-хоппинг, BBR Brutal, обфускацию каждого пакета.

1. QUIC — почему он так удачно подходит

QUIC (Quick UDP Internet Connections) — транспортный протокол от Google, потом стандарт IETF (RFC 9000, 2021). Это «новый TCP», но поверх UDP. Главные свойства:

• Шифрование встроено (TLS 1.3 интегрирован в протокол)
• 0-RTT / 1-RTT handshake — быстрый старт
• Multiplexing без head-of-line blocking — потеря в одном стриме не тормозит другие
• Connection migration — клиент сменил IP/Wi-Fi → соединение не рвётся
• Congestion control в userspace — можно подменить алгоритм (BBR, Cubic, Brutal)

Для VPN это идеально: меньше latency, лучше работает на потерях, легко обновлять без kernel patches.

2. Hysteria 2 — «русская рулетка» для DPI

Hysteria 2 (Apernet, 2023) — переписанный с нуля Hysteria 1. Использует HTTP/3 + QUIC как транспорт. С точки зрения DPI выглядит как обычный HTTP/3-трафик к веб-сайту с поддержкой HTTP/3 (Cloudflare, Google, ...).

2.1. BBR Brutal — «лучший congestion control для туннеля»

Обычный TCP/QUIC использует BBR или Cubic — они подстраивают скорость под канал. Если канал «плохой» (router буферит, есть jitter) — congestion control думает «сеть перегружена» и снижает rate. На реальных каналах в РФ/Иране это убивает скорость.

Brutal (Apernet) — congestion control «забивает на сигналы»: качаем столько-то Mbps и точка. Не реагируем на потери, не уменьшаем при congestion. Это агрессивная стратегия:

На bandwidth-limited клиентах (мобильный 4G, плохой Wi-Fi отеля) Brutal даёт 2-5x ускорение по сравнению с CUBIC.

2.2. Port hopping — обход блока «по UDP-порту»

Простая защита от UDP-блока: вместо одного фиксированного порта (например, 443) сервер слушает диапазон, скажем, 20000-50000. Клиент каждые N секунд переключается на новый случайный порт.

2.3. Salamander Obfuscation

Hysteria 2 поддерживает Salamander — простая XOR-обфускация каждого UDP-пакета с pre-shared key. После этого пакет внешне выглядит как «случайные байты» — не похож на QUIC.

Это решает проблему «прогретого» QUIC-fingerprint (первые байты QUIC имеют стандартный header, который DPI может распознать). С Salamander этого нет.

В конфиге сервера:

listen: :443

tls:
  cert: /etc/ssl/cert.pem
  key:  /etc/ssl/key.pem

obfs:
  type: salamander
  salamander:
    password: super-secret-shared-password

bandwidth:
  up:   100 mbps                  # лимит на пользователя
  down: 1 gbps

auth:
  type: password
  password: user-password-1

masquerade:                       # ← fallback на настоящий сайт
  type: proxy
  proxy:
    url: https://example.com
    rewriteHost: true
  

2.4. Masquerade — fallback как у Reality

Если на сервер прилетит UDP-пакет без правильного password (active probe) — сервер отвечает как обычный HTTP/3-сайт. Probe видит «нормальный сайт» — не подозревает.

Можно настроить masquerade как:

• proxy — реверс-прокси на настоящий сайт (например, github.com)
• file — отдавать статический контент из директории
• string — отдавать заданный ответ

3. TUIC v5

TUIC (EAimTY, 2022, версия 5 в 2023) — другая команда, тоже QUIC-based. Идея похожа на Hysteria, но более «proxy-ориентированная» (без agressive CC, без port hopping). Фокус — простота и стабильность.

Для большинства задач — Hysteria 2 предпочтительнее. TUIC хорош как «попроще».

4. MASQUE — будущее QUIC-VPN

MASQUE (Multiplexed Application Substrate over QUIC Encryption) — стандарт IETF на «нормальный» способ туннелировать произвольный трафик через QUIC. RFC 9298 (CONNECT-UDP), 9484 (CONNECT-IP), draft-ohai (Oblivious HTTP).

Главная фишка — это стандарт. То есть Cloudflare, Google, Apple — могут добавить поддержку в свои CDN и облачные сервисы. Тогда VPN через MASQUE выглядит как «нормальный HTTP/3 трафик к CF» — статистически неотличим, потому что им же является.

В 2024-2026 пока MASQUE — это:

• iCloud Private Relay (Apple, уже работает с 2021) — это MASQUE-based
• Cloudflare WARP — частично MASQUE
• Open-source реализации: quic-go/masque-go

5. Когда UDP-туннели лучше / хуже TCP

6. Дальше

Это «топ-1%» современных протоколов. Следующий урок (09) — Shadowsocks-AEAD-2022, ShadowTLS, AmneziaWG. Это решения попроще, но всё ещё уверенно работающие в РФ. Полезно знать их как fallback, когда Reality/Hysteria по какой-то причине не подходят.