hysteria2 和 vless+xhttp+REALITY,我为什么两个都用

背景

现在主流的"抗封锁"方案基本是两条路:

QUIC 系:hysteria2、TUIC —— 跑在 UDP 上,自带拥塞控制
REALITY 系:vless + xhttp/tcp + REALITY —— 跑在 TCP 上,伪装成正常网站

我两台主力节点各用一个,不是随便选的。

实测数据

同一个网络环境(校园网 WiFi 上行),分别测两个节点:

指标	hysteria2(香港)	vless+xhttp+REALITY(香港)
延迟	440ms	460ms
单流下载	2.4 MB/s	1.1 MB/s
断线重连	秒级	稍慢
抗丢包	强(QUIC 有 FEC)	一般(TCP 重传)

hy2 明显更快,尤其是在丢包的链路上。

那为什么还要 REALITY?

因为 UDP 会被 QoS。

在移动网络、校园网、某些运营商下,UDP 流量(尤其是长连接的大包)会被限速甚至阻断。

我遇到过:

同一个节点,TCP 能连,UDP 完全不通
换个端口也一样(不是端口问题,是 IP+UDP 被针对)
服务器抓包显示:内地的 UDP 包根本没到

这时候 REALITY 就是救命稻草 —— 它是 TCP,只要 TCP 能通就能用。

REALITY 的伪装原理

简单说:

客户端 → [SNI: www.microsoft.com] → 服务器
                    ↓
        服务器用真网站的证书回应(偷来的)
                    ↓
        客户端验证证书 → 通过(因为真的是那个网站)
                    ↓
        然后才交换真实的 vless 数据

关键点:REALITY 不持有证书,它是"借"目标网站的证书来完成握手的。

所以从中间人角度看,这就是一次访问 www.microsoft.com 的正常 TLS 连接。

hysteria2 的优势

基于 QUIC,0-RTT 重连
自带 BBR 流控,丢包时比 TCP 抗
UDP 转发原生支持(游戏、视频通话友好)
单端口(UDP)即可,防火墙配置简单

我的取舍

场景	用哪个
日常翻墙(家里 WiFi)	hy2(快)
移动网络 / 公共 WiFi	REALITY(稳,TCP 不会被 QoS)
大文件下载	hy2
视频会议	hy2(UDP 转发)

配置要点(踩坑总结)

hy2 的 `up`/`down` 不要乱填

# ❌ 错误:实际只有 10Mbps 却写 200Mbps
up: 50 Mbps
down: 200 Mbps

# ✅ 正确:留空,让 BBR 自适应

填错的表现:延迟测试正常(小请求能过),但一打开网页就超时。因为大包全被拥塞控制了。

REALITY 的 `serverName` 要选对

必须是:

支持 TLS 1.3
不是 Cloudflare 的站点(CF 会挑证书)
最好是大厂域名(微软、苹果、雅虎)

我用的:www.microsoft.com、www.sony.co.jp、www.jreast.co.jp。

REALITY 端口尽量用 443

xray 启动时会警告:

REALITY: Listening on non-443 ports may get your IP blocked by the GFW

虽然不绝对,但 443 的伪装效果最好。

小结

没有"最好的协议",只有"当前链路下能用的协议"。

我的做法:

主力用 hy2(快)
备用 REALITY(稳)
路由器面板一键切换

如果只能选一个,选 REALITY —— 因为它更"低调",不容易被针对性阻断。

背景#

实测数据#

那为什么还要 REALITY?#

REALITY 的伪装原理#

hysteria2 的优势#

我的取舍#

配置要点(踩坑总结)#

hy2 的 up/down 不要乱填#

REALITY 的 serverName 要选对#

REALITY 端口尽量用 443#

小结#

背景