Главная / Протоколы / Hysteria 2

QUIC / UDP Brutal Congestion Control Salamander Obfuscation DPI: Экстремально низкая уязвимость

Протокол Hysteria 2

Бескомпромиссный штурмовой транспорт поверх модифицированного QUIC, пробивающий искусственные потери пакетов, троттлинг и нестабильные мобильные каналы.

Архитектура

Модифицированный QUIC

Базовый транспорт

UDP (HTTP/3 Mask)

Контроль перегрузки

Brutal CC / BBR

Стойкость к потерям

До 30–40% Packet Loss

1. История создания: Война с медленным TCP

В странах с активной цензурой (Китай, Иран, РФ) провайдеры и регуляторы используют не только тотальную блокировку IP, но и QoS-деградацию (троттлинг): искусственное внесение задержек и отбрасывание случайных пакетов (Packet Drop).

Классический стек TCP (включая протоколы BBR и CUBIC) спроектирован так, что любая потеря пакета воспринимается им как физический затор на магистрали. В ответ алгоритм TCP резко снижает окно передачи (скорость падает в 3–10 раз) и ждет подтверждения потерянного сегмента, блокируя всю очередь (Head-of-Line Blocking).

В ответ на эту проблему команда HyNetwork (Tobyx и соавторы) создала Hysteria. Первая версия использовала стандартный стек QUIC, но страдала от багов и нестабильности. В конце 2023 года была выпущена Hysteria 2 — полностью переписанный с нуля протокол с собственным фреймворком QUIC, поддержкой обфускации трафика и новым алгоритмом управления полосой.

2. Архитектура: Алгоритм Brutal Congestion Control

В сердце Hysteria 2 заложен алгоритм с говорящим названием Brutal. Его логика переворачивает традиционные стандарты интернета:

Игнорирование потерь пакетов: Brutal исходит из предположения, что потери пакетов в цензурируемой сети вызваны действиями DPI или плохим радиоканалом (Wi-Fi/LTE), а не перегрузкой физического кабеля.
Фиксированный рейт (Target Bandwidth): Клиент сообщает серверу ожидаемую скорость (например, 100 Мбит/с на приём и 30 Мбит/с на отдачу). Сервер агрессивно отправляет пакеты ровно с указанной скоростью, не сбавляя темп при потерях.
Независимая досылка в QUIC: Так как QUIC мультиплексирует потоки независимо, потеря одного пакета не останавливает передачу остальных данных. Потерянный кадр просто повторно выстреливается в параллельном потоке.

Обычный TCP / BBR при потерях 15%: [Пакет 1] -> [ПАКЕТ ПОТЕРЯН] -> (Паника! Скорость падает со 100 до 15 Мбит/с) -> Ждем ACK... Hysteria 2 (Brutal) при потерях 15%: [Пакет 1] -> [ПАКЕТ ПОТЕРЯН] -> [Пакет 3] -> [Пакет 4] -> Скорость 100 Мбит/с не меняется! ↳ Потерянный пакет переотправляется параллельным UDP-кадром без просадки канала

3. Маскировка под HTTP/3 и протокол Salamander

Для любого сетевого наблюдателя трафик Hysteria 2 выглядит как штатная сессия HTTP/3 (QUIC поверх UDP на 443 порту). По умолчанию протокол обменивается стандартными TLS 1.3 сертификатами. Если проверяющий инспектор ТСПУ или робот попробует открыть IP-адрес сервера обычным браузером, Hysteria вернёт HTTP-ответ выбранного сайта-прикрытия (Masquerade HTTP proxy).

Но когда цензура начинает глушить стандартный QUIC в зародыше, активируется второй контур защиты:

Протокол обфускации Salamander

В Hysteria 2 встроен режим Salamander. Это симметричный слой маскировки, накладываемый поверх пакетов до их выхода в сеть. Salamander берет пароль пользователя, генерирует ключ и превращает даже стартовые заголовки пакетов QUIC (Initial Handshake) в неразличимый белый шум со 100% энтропией. Сенсор DPI не может определить, что перед ним QUIC — пакеты классифицируются как нераспознанный случайный UDP-поток.

Port Hopping (Прыжки по портам): Провайдеры часто применяют тактику временной блокировки UDP-порта (Rate Limit / Port Throttle) при длительном непрерывном потоке данных. В Hysteria 2 встроен нативный механизм Port Hopping: клиент и сервер могут слушать диапазон из тысяч портов (например, 20000:50000) и динамически менять рабочий порт «на лету» без разрыва текущих TCP-соединений внутри туннеля.

4. Поведение в условиях фильтрации ТСПУ

На сегодняшний день Hysteria 2 является одним из самых трудноуязвимых протоколов по следующим причинам:

Обход троттлинга трансграничных каналов: Когда оператор искусственно замедляет зарубежный сегмент, снижая пропускную способность TCP-сессий, Hysteria 2 с алгоритмом Brutal продавливает канал на полной физической скорости линии.
0-RTT рукопожатие: Благодаря QUIC повторное подключение после смены сотовой вышки (или переключения с Wi-Fi на 4G/5G) происходит мгновенно без необходимости заново согласовывать криптографические ключи.
Риск: тотальная блокировка протокола UDP: Единственный действенный способ подавить Hysteria 2 со стороны цензора — заблокировать весь исходящий UDP-трафик за рубеж на магистральном уровне или включить жесткие белые списки. Однако такой шаг ломает голосовую связь (WebRTC, Telegram/WhatsApp звонки), сетевые игры и легитимный HTTP/3 (Google, Cloudflare).

5. Вердикт: роль Hysteria 2 сегодня

Ключевые преимущества

Лучший выбор для мобильного интернета и сетей с плохим приёмом.
Выжимает максимум скорости на каналах с 10–30% потерь пакетов.
Встроенная защита от замедления через Port Hopping.
Маскировка под легитимный HTTP/3 либо режим обфускации Salamander.

Технические нюансы

Требует аккуратной настройки полосы (неверно заданный rate перегрузит слабый VPS).
Бессилен, если провайдер полностью глушит весь зарубежный UDP-трафик.
Не поддерживает маскировку REALITY (требует реальный домен и TLS-сертификат).