一、方案概述
1.1 为什么选 Hysteria2
对比维度 | Hysteria2 | Xray + Reality | Xray + WS + TLS |
是否需要域名 | ❌ 不需要 | ❌ 不需要 | ✅ 需要 |
配置复杂度 | ⭐ 简单 | ⭐⭐ 中等 | ⭐⭐⭐ 复杂 |
传输速度 | 🚀 极快 (QUIC) | 🚀 快 (XTLS) | 🐢 一般 (TCP) |
客户端兼容 | Clash Meta | Clash Meta | 全部 |
FIClash 支持 | ✅ 原生支持 | ✅ | ✅ |
结论：Hysteria2 无需域名、配置极简、速度快，且 FIClash 原生支持。
1.2 技术架构
二、环境信息
项目 | 值 |
操作系统 | Ubuntu 22.04.5 LTS |
架构 | ARM64 (aarch64) |
CPU | 2 核 |
内存 | 11 GB |
磁盘 | 97 GB |
本地防火墙 | nftables + ufw |
云防火墙 | Oracle Cloud VCN Security List |
三、实施步骤
Step 1：开放 Oracle Cloud 云防火墙（⚠️ 手动操作）
Hysteria2 基于 QUIC 协议，跑在 UDP 上（不是 TCP！）。
- Networking → Virtual Cloud Networks → 点击你的 VCN
- 左侧 Security Lists → 点击默认 Security List
- Add Ingress Rules：
- Source Type: CIDR
- Source CIDR:
0.0.0.0/0 - IP Protocol: UDP
- Destination Port Range: 8443
- Description:
Hysteria2
Step 2：下载安装 Hysteria2
已安装版本：v2.9.3
Step 3：本地防火墙放行（⚠️ 关键步骤）
VPS 上有 两层防火墙，缺一不可。
3a. 开启 ufw
3b. 配置 nftables（⚠️ 最容易被忽略的一步）
nftables 是底层防火墙，如果之前配置过只放行 TCP 端口，UDP 8443 会被静默丢弃。必须将 UDP 8443 的 ACCEPT 规则插入到
reject 规则之前：3c. 持久化（防止重启丢失）
由于 nftables 原始配置文件存在语法兼容性问题，采用 systemd oneshot 服务在每次开机时自动添加规则：
/usr/local/bin/hysteria-nft-fix.sh：/etc/systemd/system/hysteria-nft-fix.service：Step 4：生成自签 TLS 证书
Step 5：服务端配置文件
/etc/hysteria/config.yaml：Step 6：systemd 服务（开机自启）
/etc/systemd/system/hysteria-server.service：四、FIClash 客户端配置
完整配置文件
保存为
.yaml 文件导入 FIClash 即可。仅节点配置（贴到已有配置里）
五、常用管理命令
六、关键配置参数
参数 | 值 | 说明 |
服务器 IP | 163.192.xxx.xxx | Oracle Cloud 公网 IP |
端口 | 8443 | UDP 协议 |
密码 | sadfa324521^%&jhsfd*&*& | 随机强密码 |
SNI | www.bing.com | TLS 握手伪装 |
证书 | 自签，2036 年到期 | 无需 CA 签名 |
Hysteria 版本 | v2.9.3 | GitHub 最新 release |
配置文件 | /etc/hysteria/config.yaml | 服务端配置 |
证书路径 | /etc/hysteria/ | cert.crt + private.key |
nftables 持久化 | hysteria-nft-fix.service | 开机自动添加规则 |
七、故障排查 Checklist
检查项 | 命令/操作 |
1. 服务是否运行 | sudo systemctl status hysteria-server |
2. 端口是否监听 | ss -ulpn | grep 8443 |
3. 本地 ufw | sudo ufw status | grep 8443 |
4. nftables 规则顺序 | sudo nft -a list chain ip filter INPUT（8443 必须在 reject 前面） |
5. Oracle VCN 安全列表 | 控制台确认 UDP 8443 入站规则 |
6. 本地隧道测试 | hysteria client 连 127.0.0.1:8443 → socks5 curl |
7. FIClash 内核 | 必须是 Clash Meta（不是原版 Clash） |
Loading...
