Hysteria. So funktioniert der Dienst

Das Hysteria‑Modul im BeAdmin‑Panel betreibt ein VPN auf dem Protokoll Hysteria2. Grundlage ist QUIC — der Transport von HTTP/3, der über UDP läuft. Das Protokoll ist für Leitungen mit Paketverlusten ausgelegt, auf denen TCP‑Tunnel langsamer werden, und für Außenstehende sieht der Server wie eine gewöhnliche HTTP/3‑Website aus.

Welches Problem Hysteria löst

Das erste Problem ist die instabile Verbindung. In Mobilfunknetzen, in überlasteten WLANs und auf langen internationalen Routen geht unterwegs ein Teil der Pakete verloren. TCP deutet einen Verlust als Zeichen von Überlastung und senkt die Geschwindigkeit — deshalb bremsen VPNs auf TCP‑Basis auf solchen Leitungen spürbar. Hysteria2 baut auf einem angepassten QUIC auf, das für unzuverlässige Leitungen gedacht ist, und hält die Geschwindigkeit dort, wo TCP‑Protokolle langsamer werden. Auf einer sauberen, stabilen Leitung ist der Vorteil weniger deutlich.

Das zweite Problem sind Sperren nach Verkehrsmuster. Manche Netze erkennen „bekannte“ VPN‑Protokolle und kappen sie. Hysteria2 tarnt sich als HTTP/3 — Datenverkehr, den heute Browser und große Websites erzeugen — und sieht deshalb nicht nach einem klassischen VPN aus.

Wie Hysteria den Datenverkehr tarnt

Die Tarnung setzt sich aus mehreren Teilen zusammen.

Aussehen einer HTTP/3‑Website. Standardmäßig nimmt Hysteria Verbindungen auf dem UDP‑Port 443 entgegen, auf dem HTTP/3 läuft, und gleicht im Datenverkehr einer QUIC‑Verbindung zu einer gewöhnlichen Website. Verbinden kann sich nur ein Client mit dem persönlichen Link eines Benutzers. Trifft eine fremde HTTP/3‑Anfrage auf dem Server ein — etwa eine Portprüfung —, erhält sie statt des VPN eine statische Wartungsseite, wie auf einer Website, an der gerade gearbeitet wird. Diese Seite wird angezeigt, solange die Verschleierung ausgeschaltet ist.

Verschleierung. Für Netze, die QUIC und HTTP/3 selbst sperren, gibt es in den Moduleinstellungen den Schalter „Verschleierung“. Er ist standardmäßig ausgeschaltet. Nach dem Einschalten sieht jedes Paket wie zufällige Bytes aus (Algorithmus Salamander): Merkmale von QUIC und HTTP/3 bleiben im Datenverkehr nicht übrig. Der Preis: Der Server sieht nicht mehr wie eine HTTP/3‑Website aus, die Wartungsseite entfällt. Schalten Sie die Verschleierung deshalb nur ein, wenn die Verbindung ohne sie nicht zustande kommt. Beim Ein‑ und Ausschalten ändern sich die Links der Benutzer, und sie müssen neu verteilt werden — Details in Hysteria. Modulverwaltung.

Zertifikat. Die Verbindung ist mit TLS geschützt, wie bei einer gewöhnlichen HTTPS‑Website, deshalb braucht der Server ein Zertifikat. Den Zertifikatsmodus wählt das Panel bei der ersten Installation des Moduls:

• „Let's Encrypt auf Server-IP“ — hat das Panel bereits ein Zertifikat von Let's Encrypt für die IP‑Adresse des Servers, verwendet Hysteria dieses. Apps vertrauen einem solchen Zertifikat sofort, und bei der Verlängerung aktualisiert das Panel es bei Hysteria automatisch.
• „Selbstsigniert“ — gibt es kein solches Zertifikat, erstellt das Panel ein selbstsigniertes Zertifikat auf dem Server. Apps können es nicht über eine Vertrauenskette prüfen, deshalb enthält der Link des Benutzers den Fingerabdruck des Zertifikats, mit dem die App den Server abgleicht.

Der Modus wird bei der ersten Installation festgelegt und in den Moduleinstellungen angezeigt. Die Neuinstallation behält ihn bei; wechseln lässt er sich nur, indem Sie das Modul deinstallieren und neu installieren — dabei gehen die Benutzer und die ausgegebenen Links verloren.

Wie der Link eines Benutzers aufgebaut ist

Jedem Benutzer stellt das Panel einen Link hysteria2://… und einen QR‑Code mit demselben Link aus. Im Link stehen das Passwort des Benutzers sowie Adresse und Port des Servers; bei eingeschalteter Verschleierung kommen deren Parameter hinzu, im selbstsignierten Modus der Fingerabdruck des Zertifikats. Der Link ändert sich nicht, solange Sie weder Port noch Verschleierung ändern: Ein und derselbe Benutzer hat immer denselben Link. Neu ausstellen müssen Sie ihn deshalb nicht — die Schaltfläche „Aktualisieren“ im Panel fragt lediglich denselben Link erneut ab, das Passwort ändert sie nicht. Den Zugang entziehen Sie, indem Sie den Benutzer deaktivieren oder löschen.

Das Passwort des Benutzers steckt im Link, behandeln Sie ihn daher wie ein Passwort: Jeder, der ihn in die Hände bekommt, kann sich verbinden.

Was Hysteria nicht kann

Es lohnt sich, ausdrücklich zu benennen, was Hysteria nicht verspricht — häufige Erwartungen, die dieses Protokoll nicht abdeckt.

• Funktioniert nicht dort, wo UDP gesperrt ist. Hysteria nutzt ausschließlich UDP. Lässt ein Netz UDP gar nicht durch, kommt keine Verbindung zustande, und auch die Verschleierung hilft nicht. In solchen Netzen nehmen Sie Xray oder Mimicry — sie arbeiten über TCP, standardmäßig auf Port 443.
• Funktioniert nicht mit gewöhnlichen VPN‑Clients. Sie brauchen eine App mit Hysteria2‑Unterstützung — Hiddify, v2rayN, Streisand. Der eingebaute VPN‑Client von iOS oder Android und ein vertrauter WireGuard‑Client genügen nicht. Mehr dazu in Hysteria. Client‑Apps einrichten.
• Verspricht keine Unsichtbarkeit. Die Tarnung als HTTP/3 und die Verschleierung erschweren die Erkennung, machen den Tunnel aber nicht unauffindbar: Bei hartnäckiger Analyse des Datenverkehrs lässt er sich womöglich aufspüren. Blockiert ein Betreiber die IP‑Adresse des Servers komplett, hilft keine Tarnung.
• Kein Tor und keine Anonymisierung. Die Tarnung verbirgt das VPN vor dem Provider, die Zielwebsite sieht aber weiterhin die IP‑Adresse Ihres Servers.
• Kein Multi‑Hop‑Modus. Hysteria arbeitet auf einem einzelnen Server. Eine Kette „Eingang → Ausgang“ aus zwei Servern lässt sich mit Xray oder Amnezia aufbauen.
• Macht VPN nicht legal. Ist die Nutzung eines VPNs in Ihrer Rechtsordnung eingeschränkt oder verboten, ändert die Tarnung daran nichts. Das ist ein technisches Werkzeug, kein rechtlicher Ausweg.

Hysteria in BeAdmin

Das Hysteria‑Modul in BeAdmin wird fast ohne Einrichtung installiert: Bei der Installation wählt das Panel den UDP‑Port — 443, wenn er frei ist, sonst 2053 — und erstellt das Zertifikat sowie die Dienstschlüssel. Den Port können Sie auch von Hand im Dialog der erweiterten Installation festlegen. Konfigurationsdateien bearbeiten oder mit der Kommandozeile arbeiten ist nicht nötig. Port und Verschleierung lassen sich später direkt in den Moduleinstellungen ändern.

Nach der Installation können Sie sofort Benutzer anlegen. Für jeden Benutzer erstellt das Panel einen fertigen Verbindungslink und einen QR‑Code — eine App mit Hysteria2‑Unterstützung übernimmt beides ohne manuelle Einrichtung. Änderungen am Benutzerkreis wirken sofort, ohne Neustart des Dienstes. Auf der Modulseite sehen Sie, wie viel Traffic jeder Benutzer verbraucht hat und wie viele seiner Geräte gerade verbunden sind.

Ein Hysteria‑Benutzer ist kostenlos; für weitere Benutzer werden Lizenz‑Slots dazugekauft.

Wann Hysteria die richtige Wahl ist

Hysteria ist die richtige Wahl, wenn:

• Ihre Benutzer sich über instabile Leitungen mit Paketverlusten verbinden — Mobilfunk, überlastetes WLAN, lange Routen — und TCP‑Protokolle dort bremsen.
• Das Netz UDP durchlässt, gewöhnliches WireGuard aber erkannt und gekappt wird. Hysteria sieht aus wie eine HTTP/3‑Website, und sperrt der Provider auch QUIC, genügt es, die Verschleierung einzuschalten.
• Ihre Benutzer bereit sind, eine App mit Hysteria2‑Unterstützung zu installieren — Hiddify, v2rayN oder Streisand.

Hysteria ist nicht passend, wenn:

• Das Netz UDP sperrt oder nur TCP durchlässt — etwa ein Firmen‑Proxy oder Hotel‑WLAN. Nehmen Sie Xray oder Mimicry: Sie arbeiten über TCP, standardmäßig auf Port 443.
• Sie einen Multi‑Hop‑Modus brauchen — eine Kette aus zwei Servern. Nehmen Sie Xray oder Amnezia.
• Ihre Benutzer an native WireGuard‑Clients gewöhnt sind und keine zusätzliche App installieren werden. Nehmen Sie WireGuard oder Amnezia.

Im Zweifel — installieren Sie Hysteria in BeAdmin und testen Sie es kostenfrei.

Falls Sie noch keinen Server haben, können Sie diesen bei unseren Partnern bestellen — sie bieten virtuelle und dedizierte Server mit vorinstalliertem BeAdmin‑Panel an.

Seit über 15 Jahren bewährt im Hosting. Ihr VPS mit BeAdmin ist sofort einsatzbereit.

• Deutschland
• Niederlande
• Schweden
• Schweiz
• Spanien
• USA

Server auswählen

Europäische Stabilität und Einfachheit. Starten Sie BeAdmin zusammen mit dem VPS per Klick.

• Deutschland
• Niederlande
• Schweden
• Estland
• Rumänien
• Schweiz
• Spanien
• Großbritannien
• USA

Registrieren

Wie geht es weiter

• Hysteria. Schnellstart — Installation des Moduls und erste Verbindung.
• Hysteria. Modulverwaltung — Dienstverwaltung, Portwechsel, Verschleierung, Aktualisierungen.
• Hysteria. Benutzerverwaltung — Zugänge ausgeben und entziehen, einen Benutzer vorübergehend ohne neuen Link deaktivieren.
• Hysteria. Client‑Apps einrichten — welche App Sie auf welcher Plattform installieren.