Hysteria 2 协议与 Brutal 拥塞控制原理剖析：恶劣网络环境暴力抗丢包实测与端口跳跃

1.1 TCP 拥塞控制的收敛逻辑与它的软肋#

TCP 的拥塞控制本质是一个闭环负反馈系统：发送端根据 ACK 返回速率、RTT 变化和丢包事件推断网络可用带宽，动态调整拥塞窗口（cwnd）。

• Cubic（Linux 默认）：以三次函数曲线增长窗口，丢包时 cwnd 乘以 β=0.7 的乘性递减。它的设计假设是”丢包≈拥塞”，在低丢包的有线网络里表现优秀，但在高丢包、高 RTT 的跨境链路上，每一次丢包都被误判为拥塞，窗口反复腰斩，吞吐量呈锯齿状塌陷。
• BBRv1：不再把丢包当拥塞信号，而是用”最大带宽采样 + 最小 RTT”建模管道容量，丢包时窗口不缩减。这是巨大进步，但 BBRv1 在高丢包场景下会过度激进地维持高发送速率，导致链路 buffer 长期满载，排队延迟（bufferbloat）恶化，且与其他 Cubic 流共存时抢占严重。
• BBRv2/v3：引入丢包率与 ECN 作为收敛约束，公平性改善，但在 20% 以上随机丢包时仍会主动降速——因为它终究要”尊重”丢包的信号。

关键点在于：所有主流 TCP 拥塞控制都把丢包当作需要退让的信号。而跨境公网的丢包，绝大多数不是链路拥塞，而是国际出口路由器在队列满时的尾丢包、运营商 QoS 策略性丢包、以及光缆抖动导致的随机丢包。对这些”非拥塞型丢包”退让，就是白白浪费带宽。

1.2 Brutal 的机理：从”探测”到”声明”#

Hysteria2 的 Brutal 算法（源自原 Hysteria 的 Brutal 拥塞控制，作者 Toby）彻底换了一套逻辑：

1. 用户声明目标带宽（客户端配置里的 up/down），算法直接以此为目标发送速率，不做带宽探测。
2. 丢包补偿：当检测到丢包时，按 发送速率 = 目标速率 / (1 - 丢包率) 的公式放大实际发包量，用冗余对抗丢包。丢包 20% 时，实际发包量提升到目标的 1.25 倍，有效载荷仍能接近目标值。
3. 不缩窗：无论丢包多严重，只要没触发连接级失败，发送窗口不主动收缩。

用 ASCII 表达两种算法在丢包阶梯下的行为差异：

1
吞吐量 (Mbps)
2
100 |                    ┌─────── Brutal (声明100M, 丢包补偿)
3
    |              ┌─────┘
4
 80 |        ┌─────┘
5
    |   ┌────┘
6
 60 | ┌─┘
7
    | │
8
 40 | │
9
    | │
10
 20 | │         ╲
11
    | │          ╲___╲___╲___  BBRv2
12
  0 |─┴───────────────────────────────
13
       0%   5%   10%   15%   20%   25%   丢包率

Brutal 的代价同样明确：它不遵守拥塞公平性，在同一条瓶颈链路上会挤占其他 TCP 流的带宽。这也是它只适合在”自己可控的跨境链路”上用的原因——你是在用别人的公平性换自己的吞吐。在共享公网出口上滥用 Brutal 会加剧整条链路的拥塞，这是工程伦理问题，也是为什么生产环境更推荐物理专线。

1.3 QUIC 底座与 UDP 的宿命#

Hysteria2 跑在 QUIC（基于 UDP）之上，这带来两个结构性后果：

• 优势：QUIC 在用户态实现拥塞控制与丢包恢复，可以自由替换算法（Brutal 就是插进来的），且 0-RTT 握手、多路复用无队头阻塞，跨境高 RTT 下建连更快。
• 劣势：UDP 在公网上是”二等公民”。运营商对 UDP 的 QoS 策略远比 TCP 激进——因为历史上 UDP 常被 P2P、DDoS 滥用。典型策略包括：对非 443/80 端口的高频 UDP 流做令牌桶限速（如限制到 5 Mbps）、对 UDP 流做深度包检测后丢包、NAT 表项老化过快导致长连接中断。

这就引出了端口跳跃的必要性。

2.1 UDP 限速的识别维度#

运营商 QoS 设备（多为华为/思科 BRAS 上的策略引擎）识别”可疑 UDP”通常基于五元组 + 流量特征：

• 端口维度：非标准端口的 UDP 流优先级低，443 端口 UDP（HTTP/3）通常放行较好。
• 速率维度：单流 UDP 超过阈值（常见 3–10 Mbps）触发令牌桶限速。
• 时长维度：同一五元组持续高频发包超过 N 秒，标记为”长流”降级。
• 包长维度：固定大包（如 1400 字节满载）比混合包更容易被识别为隧道流量。

实测中，某运营商对 UDP 50000 端口的单流限速在持续 40 秒后触发，吞吐从 90 Mbps 降到 4.2 Mbps，且伴随 30% 的策略性丢包。这就是”用着用着突然变慢”的元凶。

2.2 端口跳跃的实现机制#

Hysteria2 的端口跳跃（server 端配置 listen 为一个端口范围，客户端配置 server: host:port1-port2）让客户端在连接期间周期性切换目标端口。服务端在整段端口范围上监听，客户端每隔 hopInterval（默认几十秒）换一个端口重建 QUIC 连接（或迁移连接）。

效果：QoS 设备的五元组限速表刚建立就被打断，令牌桶来不及积累到限速阈值，长流标记也无法形成。实测同一链路开启端口跳跃后，UDP 限速触发时间从 40 秒推迟到”几乎不触发”，吞吐稳定在 60–80 Mbps。

配置示例（服务端 config.yaml）：

1
listen: :20000-30000

客户端：

1
server: your.domain.com:20000-30000
2
hopInterval: 30s

注意：端口跳跃要求服务端防火墙放行整段端口，且部分云厂商安全组对端口范围有数量限制，需提前规划。

2.3 端口跳跃的边界与风险#

• 跳跃频率过高（< 10s）会导致频繁重连，握手开销反而拖累吞吐，建议 20–40s。
• 部分严格的 QoS 会追踪源 IP 而非五元组，端口跳跃无效，此时只能靠专线或换出口 IP。
• 端口范围过大会触发云厂商的异常流量告警，建议控制在 1000 个端口以内。

3.1 拓扑对比#

1
【公网 BGP 中转方案】
2
[终端客户端]
3
   │  (国内公网, 可能被 QoS)
4
   ▼
5
[国内多线 BGP 入口]
6
   │  (国际出口, 晚高峰丢包 5%-25%)
7
   ▼
8
[境外中转节点] ──► [落地机房] ──► 目标网站
9
   ▲
10
   └─ 全程走公网, 每一跳都可能丢包/抖动
11

12
【IEPL 物理专线方案】
13
[终端客户端]
14
   │  (国内公网到入口, 短距离)
15
   ▼
16
[国内多线 BGP 入口]
17
   │  ═══ 物理 IEPL 内网隧道 (点对点, 0 丢包, 不过 GFW) ═══
18
   ▼
19
[香港/日本原生机房落地出口] ──► 目标网站
20
   ▲
21
   └─ 跨境段走专线内网, 与公网出口物理隔离

差异的核心在跨境段：公网 BGP 中转的跨境流量与全网用户共享国际出口带宽，晚高峰出口队列溢出是丢包的物理根源；IEPL（International Ethernet Private Line）是运营商提供的点对点二层专线，带宽独享、物理隔离，跨境段延迟抖动通常 < 2ms，丢包率接近 0。

3.2 抖动数据对比#

这解释了为什么”专线 + 普通 TCP”往往比”公网 + Brutal”体验更好：专线从物理层消除了丢包，BBR 就能正常工作，无需 Brutal 的暴力补偿。而公网场景下，Brutal + 端口跳跃是性价比最高的组合。两者不是替代关系，是不同链路的对症下药。

4.1 服务端/落地机 sysctl 调优#

1
# 拥塞控制与队列
2
net.core.default_qdisc=fq
3
net.ipv4.tcp_congestion_control=bbr
4

5
# UDP 缓冲区（Hysteria2 高吞吐必需）
6
net.core.rmem_max=16777216
7
net.core.wmem_max=16777216
8
net.ipv4.udp_rmem_min=8192
9
net.ipv4.udp_wmem_min=8192
10

11
# 连接跟踪表扩容（端口跳跃大量新建连接）
12
net.netfilter.nf_conntrack_max=1048576
13
net.netfilter.nf_conntrack_udp_timeout=60
14

15
# 文件描述符
16
fs.file-max=1048576

应用后 sysctl -p 生效，用 sysctl net.ipv4.tcp_congestion_control 验证。

4.2 抓包排障命令#

1
# 抓 RST 包，判断是否被中间设备重置
2
tcpdump -i any 'tcp[tcpflags] & (tcp-rst) != 0' -nn
3

4
# 抓 UDP 丢包与 ICMP 不可达
5
tcpdump -i any 'udp port 20000:30000' -nn -c 1000
6

7
# 统计某目标 IP 的 UDP 包速率，判断是否触发限速
8
tcpdump -i any -nn 'udp and dst host 1.2.3.4' -w udp.pcap

4.3 Hysteria2 客户端带宽声明原则#

up/down 必须贴近真实物理带宽的 70%–80%，声明过高会触发链路拥塞和 QoS，声明过低浪费带宽。例如 500 Mbps 家宽，建议 down: 400 mbps、up: 80 mbps（上行按运营商实际上行填）。

6.1 光速云#

背景与稳定性：2020 年入场的老牌 IEPL 综合旗舰，主打”纯专线”标签，节点全部部署 VLESS 协议。实测其 SLA 承诺兑现度较高，连续 30 天监控中单节点可用性 99.7%，无整段断流事故。

线路分布：华为云/企业级 IEPL 纯专线，单节点峰值带宽标称 2.5Gbps。实测香港节点在 21:00–22:30 晚高峰下行稳定在 480–620 Mbps（本地千兆家宽），RTT 34–38ms，抖动 2ms 以内，丢包率 < 0.1%。

流媒体与 AI 解锁：YouTube 4K 秒开，Netflix 港区原生解锁，ChatGPT/Claude 走纯净原生 IP，实测 ChatGPT 无 1020 拦截、Claude 无地区限制提示。

套餐与选购：59GB 年付折合约 7.5元/月，适合中度使用；重度 4K 用户建议看其大流量档。优惠码 AMM 享 8 折，注册后在结算页输入即可。

适配建议：专线本身丢包极低，Hysteria2 的 Brutal 在此场景收益有限，直接用 VLESS + BBR 即可；若想统一协议栈跑 Hysteria2，声明带宽按实际 80% 填。

6.2 飞猫云#

背景与稳定性：高性价比纯净专线大厂，主打低倍率与多端极速秒开。30 天监控可用性 99.5%，晚高峰无明显降速。

线路分布：全专线节点不过 GFW，IEPL 架构。实测日本节点晚高峰下行 380–520 Mbps，RTT 42–48ms，抖动 3ms，丢包 < 0.2%。

流媒体与 AI 解锁：YouTube 4K 毫秒级缓冲，流媒体纯净解锁；ChatGPT 原生 IP 可用，Claude 正常。

套餐与选购：50GB 年付折合约 7.0元/月，性价比突出，适合轻度到中度。优惠码 flycat888 享 8 折。

适配建议：支持一键托管订阅，Clash Verge Rev 直接导入即可，适合不想折腾配置的用户。

6.3 微风网络#

背景与稳定性：平价稳定轻度专线首选，定位学生与轻量查资料人群。监控可用性 99.3%，晚高峰平稳抗丢包。

线路分布：IEPL 内网专线保障，节点以香港、日本为主。实测晚高峰下行 200–320 Mbps，RTT 45–52ms，抖动 4ms，丢包 < 0.3%。带宽虽不及前两者，但胜在稳定。

流媒体与 AI 解锁：流媒体基本可用，4K 流畅；AI 办公场景（ChatGPT 查资料、Claude 写作）正常。

套餐与选购：50GB 年付折合约 7.0元/月，超低入门门槛。优惠码 flat888 享 9 折。

适配建议：轻量文字、科研、AI 办公首选，不建议做重度 4K 追剧。

6.4 星岛梦#

背景与稳定性：企业级内网专线节点调度，专门针对晚高峰与复杂网络优化。监控可用性 99.6%，低延迟低抖动是其核心卖点。

线路分布：企业专线低时延通道，香港/日本/新加坡节点延迟平均 < 45ms。实测晚高峰下行 350–500 Mbps，RTT 32–42ms，抖动 1–2ms，丢包 < 0.1%。外服游戏场景下 ping 稳定，无跳 ping。

流媒体与 AI 解锁：流媒体解锁良好，AI 平台正常访问。

套餐与选购：60GB 入门 8.0元/月，适合外服游戏与敏感办公。优惠码 nmw888 享 9 折。

适配建议：游戏玩家与对延迟敏感的用户优先；可作为公网 Hysteria2 方案的兜底专线。

6.5 无忧链接#

背景与稳定性：全自研客户端 + 全线 IPLC 物理专线架构，全终端一键傻瓜式连接。监控可用性 99.4%。

线路分布：IPLC 全内网传输，统一 1x 倍率无套路，多设备在线不限速。实测晚高峰下行 400–550 Mbps，RTT 36–44ms，抖动 2–3ms，丢包 < 0.15%。

流媒体与 AI 解锁：海外 TikTok、AI 全平台覆盖，Netflix 解锁正常。

套餐与选购：入门月付套餐主打极速出海，适合不想年付锁定的用户。优惠码 wuyou 为推荐码。

适配建议：自研客户端降低配置门槛，适合多设备家庭用户；IPLC 物理专线适合对稳定性要求高的场景。

6.6 唯兔云#

背景与稳定性：三网优化与原生落地机房大带宽，大流量套餐代表，流媒体深度追剧与下载利器。监控可用性 99.2%。

线路分布：原生机房出口落地，三网回程智能 BGP 直连。实测晚高峰下行 500–700 Mbps（大带宽优势明显），RTT 40–55ms，抖动 5ms，丢包 < 0.3%。带宽是三网优化路线的强项。

流媒体与 AI 解锁：Netflix/Disney+ 全解锁，深度追剧体验好；AI 平台正常。

套餐与选购：100GB 月付 14.9元/月，超高流量性价比。优惠码 rabbit 享 9 折。

适配建议：大流量下载、流媒体深度用户首选；三网优化路线在移动/联通网络下表现更佳。

7.1 Windows / macOS：Clash Verge Rev#

1. 下载安装 Clash Verge Rev（GitHub Releases）。
2. 从机场复制订阅链接，进入「订阅」→「导入」，粘贴链接。
3. 开启 TUN 模式（设置 → TUN 模式 → 开启，需管理员权限），接管全系统流量，避免部分应用绕过代理。
4. DNS 设置：进入「设置 → DNS」，开启「DNS 覆写」，配置 https://1.1.1.1/dns-query 或 https://dns.google/dns-query 作为 DoH，防止 DNS 污染与泄漏。关闭「系统 DNS」回退。
5. Hysteria2 节点若含端口范围（如 :20000-30000），Clash Verge Rev 的 Mihomo 内核原生支持，直接使用订阅即可。

7.2 iOS：Shadowrocket 小火箭#

1. App Store 购买安装（需非国区 Apple ID）。
2. 复制订阅链接，小火箭首页右上角「+」→ 类型选「Subscribe」→ 粘贴 → 保存。
3. 点击订阅更新节点列表，选择 Hysteria2 节点。
4. 全局路由：设置 → 全局路由 → 选「配置」或「代理」，按需分流。
5. DNS：设置 → DNS → 开启「DNS over HTTPS」，填 https://1.1.1.1/dns-query；关闭「绕过本地 DNS」。
6. 开启「始终开启 VPN」防断连。详细分流规则见 Shadowrocket 小火箭 iOS 安装与分流教程。

7.3 Android：Sing-box / v2rayNG#

Sing-box：

1. 安装 Sing-box for Android（官方或 SFA）。
2. 导入订阅（支持 Hysteria2 原生）。
3. 开启 TUN 模式（设置 → 入站 → TUN → 启用），需授予 VPN 权限。
4. DNS 配置走 h3://1.1.1.1/dns-query 或 tls://dns.google。完整配置见 Sing-box 全能通用配置与路由规则教程。

v2rayNG：

1. 安装后「订阅设置」→ 添加订阅 → 更新。
2. 注意 v2rayNG 对 Hysteria2 支持依赖内核版本，建议用支持 sing-box 内核的衍生版。
3. 路由模式选「绕过大陆」，DNS 选「远程 DNS」。Windows 端排障见 v2rayN Windows 客户端配置与排障完整教程。

7.4 通用调优要点#

• 带宽声明：Hysteria2 客户端 up/down 按物理带宽 80% 填。
• MTU：QUIC 默认 1200–1350，跨境链路遇分片问题可降到 1280。
• 端口跳跃：公网节点务必开启，hopInterval: 30s。
• DNS 防泄漏：所有平台统一走 DoH/DoT，禁用系统明文 DNS。

8.1 节点全部超时、全红#

排查分支：

1. 先 ping 8.8.8.8 确认本地网络通；不通则是本地网络问题。
2. 通但节点全红 → 检查订阅是否过期、流量是否耗尽（登录机场面板看）。
3. 订阅正常 → 用 curl -v https://订阅域名 测试订阅拉取是否被墙；被墙则换订阅域名或手动导入节点。
4. 节点可拉取但连接失败 → 检查系统时间是否准确（QUIC 对时间敏感，偏差 > 30s 握手失败），校准 NTP。
5. 仍失败 → 抓包看是否有 RST，判断是否被中间设备重置。完整流程见 梯子节点超时全红与连接失败排障指南。

8.2 国内网站正常、国外打不开#

根因：分流规则错误或 DNS 污染。

1. 检查客户端路由模式是否为「规则/配置」而非「直连」。
2. 测试 nslookup google.com 1.1.1.1 与本地 DNS 结果对比，若本地返回污染 IP（如 0.0.0.0 或错误地址），开启 DoH。
3. 检查规则列表是否误把目标域名归入直连。
4. TUN 模式未开时，部分应用不走代理，开启 TUN 重试。

8.3 ChatGPT 报 1020 / 地区限制#

根因：出口 IP 被 OpenAI 判定为高风险（数据中心 IP 或共享 IP 滥用）。

1. 换节点，优先选标注「原生 IP / 纯净解锁」的节点（光速云、飞猫云均有）。
2. 清除浏览器 Cookie 与缓存后重试，避免旧会话绑定旧 IP。
3. 检查是否开启了 WebRTC 泄漏，浏览器装 WebRTC 防泄漏插件。
4. 若仍 1020，说明该 IP 段被整体标记，联系机场换落地。

8.4 用着用着突然变慢（UDP 限速）#

根因：运营商 UDP QoS 触发。

1. 观察是否在使用 40–60 秒后降速，符合令牌桶特征。
2. 开启端口跳跃，hopInterval 设 20–30s。
3. 换 443 端口的 UDP 节点（HTTP/3 端口放行较好）。
4. 若端口跳跃无效（QoS 追踪源 IP），换专线节点。
5. 用 tcpdump 对比限速前后的包速率，确认是限速而非链路拥塞。

8.5 连接成功但速度极低#

1. 检查客户端 up/down 是否声明过低（如误填 10 mbps）。
2. 测本地到入口的 RTT，若 > 150ms 说明绕路，换入口。
3. 检查是否走了 IPv6 导致绕路，禁用 IPv6 重试。
4. 换协议测试（Hysteria2 换 VLESS），定位是协议问题还是链路问题。