在华为云 ECS 上用 hysteria2 搭建轻量代理：从选型到分流的完整实践

在华为云 ECS 上用 hysteria2 搭建轻量代理：从选型到分流的完整实践

一、背景

做跨境开发的同学几乎都会遇到同一个问题：本地拉取 GitHub 依赖、访问海外文档站点时速度很不稳定。常见的做法是买一台海外 VPS 自建代理，但协议选型、参数调优、以及「如何只让特定流量走代理」这些问题，官方文档往往语焉不详。

这篇文章记录我在华为云 Flexus L 实例（新加坡）上部署 hysteria2 的完整过程，包含选型理由、安装步骤，以及基于 ACL 的域名级分流方案。

二、为什么选 hysteria2

对比几种常见方案：

实际测试中，在 30% 丢包的模拟环境下，hysteria2 的吞吐大约是 TCP 方案的 2~3 倍，这是选择它的核心原因。

三、部署步骤

1. 准备证书

hysteria2 强制要求 TLS。自建场景下用自签证书即可（客户端配置 insecure 跳过校验）：

openssl req -x509 -nodes -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 \
  -keyout key.pem -out cert.pem -subj "/CN=www.bing.com" -days 3650

2. 安装服务端

curl -fsSL https://get.hy2.sh/ | bash

配置文件 /etc/hysteria/config.yaml：

listen: :443
tls:
  cert: /etc/hysteria/cert.pem
  key: /etc/hysteria/key.pem
auth:
  type: password
  password: your-password
masquerade:
  type: proxy
  proxy:
    url: https://www.bing.com/
    rewriteHost: true

3. 启动服务

systemctl enable --now hysteria-server

四、关键一步：用 ACL 做域名级分流

很多时候我们并不希望所有流量都走代理。hysteria2 的 ACL 功能支持按域名匹配，并把匹配到的流量交给指定的出站。

下面的配置让 OpenAI 相关域名走本地 WARP 出口，其余流量直连：

outbounds:
  - name: warp
    type: socks5
    socks5:
      addr: 127.0.0.1:40000

acl:
  inline:
    - warp(suffix:openai.com)
    - warp(suffix:chatgpt.com)
    - direct(all)

这里有两个容易踩的坑：

1. 语法是 outbound(address)，不是 outbound(domain:address)。写错不会报错，但规则会静默不匹配，流量全部落到 direct。

2. 子域名要用 suffix: 前缀。只写 chatgpt.com 不匹配 api.chatgpt.com。

验证是否生效，最直接的方式是看出口 IP：

curl -s --socks5-hostname 127.0.0.1:1080 https://chatgpt.com/cdn-cgi/trace | grep '^ip='

五、客户端侧

Clash Verge / mihomo 对 hysteria2 支持很好，配置片段如下：

proxies:
  - name: SG-Hy2
    type: hysteria2
    server: <server-ip>
    port: 443
    password: <your-password>
    sni: www.bing.com
    skip-cert-verify: true
    up: "30 Mbps"
    down: "30 Mbps"
    alpn: [h3]

六、一点经验总结

1. UDP 限速是 hysteria2 最大的不确定性。部分运营商对 UDP 443 有 QoS，表现为「能连上但长连接会断」。排查时可以先临时改用 TCP 协议节点（如 VLESS over TLS）做对照，快速定位问题归属。

2. 分流优先于全局代理。按域名精确分流既能省带宽，也能避免把国内流量绕出去。

3. 自签证书 + 域名伪装（masquerade 到 bing.com）能应对大部分 SNI 探测。

希望这篇记录能帮到同样在折腾自建代理的朋友。有问题欢迎在评论区交流。