Hysteria 2: cosa fanno davvero il masquerade e l'offuscamento

La maggior parte degli articoli su Hysteria 2 lo descrive come veloce. È la cosa meno interessante che lo riguarda. Ciò che vale la pena capire è che impila tre travestimenti distinti, ognuno dei quali risolve un problema diverso, e che la sua stessa documentazione ti dice quando lasciarli disattivati.

Primo livello: sembrare il web

Hysteria 2 funziona su QUIC e, per impostazione predefinita, il protocollo Hysteria imita HTTP/3.

Questo è il travestimento di base e non costa nulla. Una rete che effettua un'ispezione superficiale vede traffico UDP con la forma della navigazione web moderna, perché è sempre più a questo che somiglia la navigazione web moderna. Nessuna configurazione, nessuna password, nessun costo prestazionale.

E prepara anche la trappola dalla quale i due livelli successivi esistono per sfuggire.

Secondo livello: quando il problema è QUIC stesso

Se assomigli a HTTP/3, allora una rete che blocca HTTP/3 blocca te. La documentazione è precisa su questo caso ristretto: se la tua rete blocca specificamente il traffico QUIC o HTTP/3 (ma non UDP in generale), l'offuscamento può essere usato per aggirare il blocco.

Vengono offerte due implementazioni, Salamander e Gecko, ed entrambe richiedono una password corrispondente sul client e sul server.

Leggi la condizione con attenzione, perché contiene un ma. L'offuscamento aiuta quando QUIC è bloccato e UDP non lo è. Se la rete scarta UDP in blocco, offuscare l'handshake QUIC non cambia nulla e serve un trasporto completamente diverso. Attivare l'offuscamento perché sembra più sicuro è il modo per passare una serata a fare il debug di un tunnel che non avrebbe mai funzionato.

Terzo livello: sopravvivere a una visita vera

I primi due livelli si occupano del traffico che viene osservato. Il masquerade si occupa del traffico che viene sondato.

Una volta configurato, il server risponde anche alle richieste HTTP come un normale server web. La documentazione ne dà la ragione senza eufemismi: il tuo server deve effettivamente servire dei contenuti per apparire autentico a potenziali censori.

Quella parola effettivamente è tutto il punto. Un censore che verifica un indirizzo non analizza la temporizzazione dei pacchetti, apre una connessione e chiede una pagina. Un server che non restituisce nulla ha fallito il test più semplice possibile, e un indirizzo che si rifiuta di comportarsi come un sito web pur parlando qualcosa che ha la forma di HTTP è più vistoso di uno che non ha mai provato a nascondersi.

La frase che dovrebbe decidere la tua configurazione

Sepolta nel riferimento c'è la riga che fa risparmiare più tempo:

Se la censura non è un problema, puoi omettere del tutto la sezione masquerade.

Questo ti dice cosa il masquerade non è. Non è cifratura, non è autenticazione, non è una misura di hardening. È una contromisura contro il sondaggio attivo da parte di un censore e, al di fuori di quel modello di minaccia, aggiunge superficie di configurazione per nulla.

La stessa logica attraversa l'intero progetto. Ogni livello risponde a un avversario specifico: ispezione superficiale, blocco di protocollo, sondaggio attivo. Attivarli tutti e tre per riflesso significa mantenere difese contro minacce che potresti non affrontare, e ogni opzione non necessaria è una cosa in più da configurare male.

Le impostazioni di banda, dato che confondono tutti

Sono limiti, non promesse. I valori del server agiscono come limiti di velocità, limitando la velocità massima con cui il server invierà e riceverà dati (per client), e possono essere omessi o impostati a zero per non applicare alcun limite.

È sulla denominazione che si inciampa: la velocità di upload del server è la velocità di download del client, e viceversa. Impostare sul server quello che credi sia un generoso tetto di download mentre in realtà stai limitando l'upload è un collo di bottiglia comune e interamente autoinflitto.

Hysteria ha senso solo su un server tuo, perché il masquerade impone che la macchina serva contenuti reali sotto il tuo dominio. Un piccolo VPS basta per il traffico che la maggior parte delle persone ci fa passare.

Il riassunto onesto

Hysteria 2 sono tre travestimenti dentro un trench, e questo è un complimento. QUIC che imita HTTP/3 per impostazione predefinita, l'offuscamento per il caso ristretto in cui è bloccato specificamente QUIC ma non UDP, e il masquerade perché il server sopravviva a una visita e non solo all'essere osservato.

Adatta il livello all'avversario che hai davvero. La documentazione stessa ti dice di saltare il masquerade se la censura non è un problema, e prendere quel consiglio alla lettera ti darà una configurazione più semplice che si rompe in meno punti.

La descrizione del trasporto, l'affermazione che il protocollo imita HTTP/3 per impostazione predefinita, la condizione di offuscamento relativa al blocco di QUIC o HTTP/3 ma non di UDP in generale, le opzioni Salamander e Gecko, il comportamento del masquerade e il suo scopo dichiarato di apparire autentico a potenziali censori, il permesso di omettere il masquerade quando la censura non è un problema e la semantica della banda inclusa l'inversione tra upload e download, sono tratti dalla documentazione di configurazione del server di Hysteria 2, consultata al momento della stesura. Le opzioni di configurazione cambiano tra le release; verificale rispetto alla versione che distribuisci. I link commerciali riportano l'attributo rel="sponsored nofollow"; può essere applicata una commissione di affiliazione senza costi aggiuntivi per te.