Hysteria. Comment fonctionne le service

Le module Hysteria du panneau BeAdmin monte un VPN reposant sur le protocole Hysteria2. Il s’appuie sur QUIC, le transport de HTTP/3, qui circule au-dessus d’UDP. Le protocole est conçu pour les connexions avec pertes de paquets, où les tunnels TCP ralentissent, et, pour un observateur extérieur, le serveur ressemble à un site HTTP/3 ordinaire.

À quel problème répond Hysteria

Le premier problème est une connexion instable. Sur les réseaux mobiles, sur un Wi‑Fi saturé et sur les liaisons internationales longue distance, une partie des paquets se perd en route. TCP y voit un signal de congestion et réduit son débit : les VPN construits sur TCP ralentissent donc nettement sur ces connexions. Hysteria2 repose sur une version modifiée de QUIC, conçue pour les liaisons peu fiables, et garde son débit là où les protocoles TCP ralentissent. Sur une connexion propre et stable, le gain est moins visible.

Le second problème, ce sont les blocages selon l’aspect du trafic. Certains réseaux reconnaissent et coupent les protocoles VPN « connus ». Hysteria2 se camoufle en HTTP/3 — le trafic que génèrent aujourd’hui les navigateurs et les grands sites — et ne ressemble donc pas à un VPN classique.

Comment Hysteria camoufle le trafic

Le camouflage se compose de plusieurs éléments.

L’aspect d’un site HTTP/3. Par défaut, Hysteria écoute le port UDP 443, celui de HTTP/3, et son trafic ressemble à une connexion QUIC vers un site ordinaire. Seul un client muni du lien personnel d’un utilisateur peut se connecter. Si une requête HTTP/3 étrangère arrive sur le serveur — par exemple un test de port —, elle ne reçoit pas de VPN, mais une page statique de maintenance, comme sur un site où des travaux sont en cours. Cette page s’affiche tant que l’obfuscation est désactivée.

L’obfuscation. Pour les réseaux qui bloquent QUIC et HTTP/3 eux-mêmes, les paramètres du module proposent le commutateur « Obfuscation ». Il est désactivé par défaut. Une fois activé, Hysteria fait ressembler chaque paquet à des octets aléatoires (algorithme Salamander) : le trafic ne porte plus aucune trace de QUIC ni de HTTP/3. La contrepartie : le serveur ne ressemble plus à un site HTTP/3, et la page de maintenance disparaît. N’activez donc l’obfuscation que si la connexion ne passe pas sans elle. À l’activation comme à la désactivation, les liens des utilisateurs changent et doivent être redistribués — détails dans Hysteria. Gérer le module.

Le certificat. La connexion est protégée par TLS, comme celle d’un site HTTPS ordinaire : le serveur a donc besoin d’un certificat. Le panneau choisit le mode à la première installation du module :

• « Let's Encrypt sur l’IP du serveur » — si le panneau possède déjà un certificat Let’s Encrypt pour l’adresse IP du serveur, Hysteria l’utilise. Les applications lui font confiance d’emblée, et à chaque renouvellement le panneau met à jour le certificat côté Hysteria automatiquement.
• « Auto-signé » — si ce certificat n’existe pas, le panneau crée un certificat auto-signé sur le serveur. Les applications ne peuvent pas le vérifier par une chaîne de confiance : le lien de l’utilisateur contient donc l’empreinte du certificat, avec laquelle l’application contrôle le serveur.

Le mode est fixé à la première installation et affiché dans les paramètres du module. La réinstallation le conserve ; pour en changer, il faut désinstaller le module puis l’installer à nouveau, ce qui supprime les utilisateurs et les liens déjà remis.

Comment est construit le lien d’un utilisateur

Pour chaque utilisateur, le panneau fournit un lien hysteria2://… et un code QR contenant ce même lien. Le lien contient le mot de passe de l’utilisateur, l’adresse et le port du serveur, ainsi que les paramètres d’obfuscation si elle est activée et l’empreinte du certificat en mode auto-signé. Il ne change pas tant que vous ne modifiez ni le port ni l’obfuscation : pour un même utilisateur, c’est toujours le même. Inutile donc de le réémettre : le bouton « Actualiser » du panneau ne fait que redemander le même lien, sans changer le mot de passe. Pour révoquer un accès, désactivez ou supprimez l’utilisateur.

Le mot de passe de l’utilisateur figure dans le lien : traitez-le comme un mot de passe, car quiconque l’obtient peut se connecter.

Ce qu’Hysteria ne fait pas

Mieux vaut dire clairement ce qu’Hysteria ne promet pas : des attentes courantes que ce protocole ne couvre pas.

• Ne fonctionne pas là où l’UDP est bloqué. Hysteria n’utilise que l’UDP. Si le réseau bloque complètement l’UDP, la connexion ne s’établit pas, et l’obfuscation n’y change rien. Dans ces réseaux, prenez Xray ou Mimicry : ils fonctionnent en TCP, par défaut sur le port 443.
• Ne fonctionne pas avec les clients VPN ordinaires. Il faut une application compatible Hysteria2 : Hiddify, v2rayN, Streisand. Le client VPN intégré d’iOS ou d’Android et un client WireGuard habituel ne conviendront pas. Détails dans Hysteria. Configurer les applications clientes.
• Ne promet pas l’invisibilité. Le camouflage en HTTP/3 et l’obfuscation compliquent la détection, mais ne rendent pas le tunnel indétectable : une analyse de trafic insistante peut le repérer. Si l’opérateur bloque entièrement l’adresse IP du serveur, aucun camouflage n’y peut rien.
• Ce n’est ni Tor ni de l’anonymisation. Le camouflage cache le VPN au fournisseur d’accès, mais le site de destination voit tout de même l’adresse IP de votre serveur.
• Pas de mode cascade. Hysteria fonctionne sur un seul serveur. Une chaîne « entrée → sortie » de deux serveurs peut être montée avec Xray ou Amnezia.
• Ne rend pas le VPN légal. Si l’usage d’un VPN est restreint ou interdit dans votre juridiction, le camouflage n’y change rien. C’est un outil technique, pas un contournement juridique.

Hysteria dans BeAdmin

Le module Hysteria de BeAdmin s’installe presque sans configuration : à l’installation, le panneau choisit le port UDP — 443 s’il est libre, sinon 2053 — et crée le certificat et les clés de service. Vous pouvez aussi définir le port à la main, dans la boîte de dialogue d’installation avancée. Inutile de modifier des fichiers de configuration ou de passer par la ligne de commande. Le port et l’obfuscation pourront être changés ensuite directement dans les paramètres du module.

Une fois le module installé, vous pouvez tout de suite créer des utilisateurs. Pour chacun, le panneau prépare un lien de connexion et un code QR prêts à l’emploi : une application compatible Hysteria2 les accepte sans configuration manuelle. Les changements dans la liste des utilisateurs s’appliquent immédiatement, sans redémarrage du service. La page du module indique le trafic consommé par chaque utilisateur et le nombre de ses appareils actuellement connectés.

Un utilisateur Hysteria est gratuit ; pour les suivants, on achète des emplacements de licence.

Quand choisir Hysteria

Choisissez Hysteria lorsque :

• Vos utilisateurs se connectent par des liaisons instables, avec des pertes de paquets — Internet mobile, Wi‑Fi saturé, liaisons longue distance — et que les protocoles TCP y ralentissent.
• Le réseau laisse passer l’UDP, mais le WireGuard ordinaire est repéré et bloqué. Hysteria ressemble à un site HTTP/3 ; si le fournisseur d’accès bloque aussi QUIC, il suffit d’activer l’obfuscation.
• Vos utilisateurs acceptent d’installer une application compatible Hysteria2 : Hiddify, v2rayN ou Streisand.

Évitez Hysteria si :

• Le réseau bloque l’UDP ou ne laisse passer que le TCP, comme un proxy d’entreprise ou le Wi‑Fi d’un hôtel. Prenez Xray ou Mimicry : ils fonctionnent en TCP, par défaut sur le port 443.
• Vous avez besoin du mode cascade — une chaîne de deux serveurs. Prenez Xray ou Amnezia.
• Vos utilisateurs sont habitués aux clients WireGuard natifs et n’installeront pas d’application supplémentaire. Prenez WireGuard ou Amnezia.

En cas de doute, installez Hysteria dans BeAdmin et testez-le gratuitement.

Si vous n’avez pas encore de serveur, vous pouvez en prendre un chez nos partenaires : ils proposent des serveurs virtuels et dédiés avec le panneau BeAdmin préinstallé.

Plus de 15 ans d’expérience dans l’hébergement. Votre VPS avec BeAdmin est prêt à l’emploi.

• Allemagne
• Pays-Bas
• Suède
• Suisse
• Espagne
• États-Unis

Choisir un serveur

La fiabilité européenne en toute simplicité. Lancez BeAdmin avec votre VPS en un clic.

• Allemagne
• Pays-Bas
• Suède
• Estonie
• Roumanie
• Suisse
• Espagne
• Royaume-Uni
• États-Unis

S’inscrire

Étapes suivantes

• Hysteria. Démarrage rapide — installation du module et première connexion.
• Hysteria. Gérer le module — gestion du service, changement du port, obfuscation, mises à jour.
• Hysteria. Gérer les utilisateurs — émission et révocation des connexions, désactivation temporaire d’un utilisateur sans changer son lien.
• Hysteria. Configurer les applications clientes — quelle application installer sur chaque plateforme.