Hysteria 2 не работает на мобильном интернете: причины, диагностика и решение

Что обычно имеют в виду под «Hysteria 2 не работает»

Фраза «Hysteria 2 не работает» описывает сразу несколько разных ситуаций, и от точного симптома зависит стратегия диагностики. Чаще всего встречаются такие сценарии:

• Приложение не подключается вовсе: появляется connection timeout, handshake failed или ошибка TLS.
• VPN включается, показывает статус подключения, но сайты и приложения не открываются.
• Подписка добавлена, однако список серверов пустой или ключ не импортируется.
• На Wi-Fi всё работает нормально, а на мобильном интернете соединение пропадает или не устанавливается.
• Один сервер из подписки работает, другой нет.

Важно понимать: Hysteria 2 — это не «волшебный» протокол, который гарантирует доступ из любой сети. Это клиент и транспорт, работающий поверх UDP/QUIC. Поэтому поведение одного и того же клиента с одинаковыми настройками может сильно отличаться в домашней сети и в мобильной. Прежде чем менять конфигурацию, нужно определить, на каком этапе возникает сбой: ещё до подключения, во время рукопожатия или уже после того, как туннель формально поднят.

Чем мобильный интернет отличается от домашнего

Домашний интернет обычно устроен проще: у абонента есть свой или общий публичный IP, фильтрация чаще всего слабее, а пути прохождения пакетов стабильнее. Мобильная сеть — это другая среда с несколькими дополнительными слоями.

Между телефоном и интернетом находятся NAT-операторы, которые транслируют адреса тысяч абонентов. На стыке мобильной сети с интернетом работают фильтры, которые могут анализировать трафик по типу протокола, порту и даже по сигнатурам отдельных приложений. DPI-системы способны распознавать handshake QUIC, особенности Hysteria 2 или другие нестандартные потоки и вмешиваться в их прохождение.

Кроме того, у мобильных операторов могут различаться настройки в разных регионах. Один и тот же VPN-сервис может стабильно работать у одного оператора и не работать у другого, или работать в одном городе и отказываться подключаться в соседнем. Это не обязательно означает поломку сервера или ключа: так проявляются региональные различия в фильтрации.

Поэтому сравнение Wi-Fi и мобильной сети — первый и самый важный диагностический шаг. Оно помогает разделить три группы причин: проблемы устройства, проблемы оператора и проблемы VPN-конфигурации.

Почему UDP и QUIC становятся слабым местом

Hysteria 2 спроектирован как протокол на базе QUIC, а QUIC работает поверх UDP. Это даёт преимущества по скорости и устойчивости к потере пакетов, но одновременно создаёт уязвимость: UDP-трафик гораздо легче блокировать или ограничивать, чем обычные TCP-соединения на порту 443.

Мобильные операторы и государственные фильтры часто настроены так, что разрешают «обычный» интернет-трафик, но отсекают или замедляют UDP-пакеты, идущие на нестандартные порты. Голый WireGuard и OpenVPN UDP нередко распознаются и режутся по сигнатуре раньше, чем успевают установить соединение с сервером.

Hysteria 2 в этом смысле ведёт себя лучше, чем старые UDP-протоколы, потому что использует TLS-подобное рукопожатие и маскировку под обычный HTTPS. Однако это не даёт абсолютной гарантии. Если оператор применяет агрессивную фильтрацию QUIC или режет все UDP-соединения на нестандартных портах, Hysteria 2 может не подключаться или работать нестабильно.

В такой ситуации помогают:

• смена порта на 443, который чаще всего не блокируется целиком;
• использование другого сервера с менее «заметным» IP-адресом;
• переход на TCP-транспорт, например VLESS Reality или Shadowsocks-подобные схемы, как временная или постоянная замена;
• обфускация поверх Hysteria 2, если сервер и клиент её поддерживают.

Важно проверять не только сам факт подключения, но и стабильность: протокол может установить соединение, а затем через несколько секунд или минут «умереть», если сеть начала резать поток.

CGNAT и таймауты сессий: почему VPN «засыпает» через минуту

Мобильные операторы экономят IPv4-адреса и сажают тысячи абонентов на один внешний IP. Такая схема называется Carrier-Grade NAT, или CGNAT. Она создаёт особенную проблему для VPN-туннелей.

У CGNAT есть таблица активных соединений. Если по соединению долго не идёт трафик, запись удаляется. В мобильных сетях этот таймаут может составлять от 30 до 120 секунд. Когда запись пропадает, последующие пакеты от VPN-сервера не могут найти обратный путь к устройству.

Клиент при этом продолжает считать туннель живым: на экране отображается подключение, таймер идёт, но реального интернета нет. Это классический сценарий «подключён, но ничего не открывается» или «через минуту всё перестало работать».

Решение — регулярно отправлять через туннель служебные пакеты, чтобы таблица CGNAT не успевала «забыть» соединение. Для WireGuard используется persistent keepalive, обычно 15–25 секунд. В Hysteria 2 и клиентах sing-box эту роль выполняют параметры keep-alive и настройки idle timeout.

При диагностике стоит проверить:

• включён ли keep-alive в клиенте;
• не слишком ли большой интервал между пакетами;
• не отключает ли операционная система фоновую активность приложения;
• не конфликтует ли VPN-подключение с режимом экономии заряда.

Если туннель стабильно «отваливается» на мобильных данных, но работает на Wi-Fi, CGNAT — одна из самых вероятных причин.

MTU и фрагментация пакетов

MTU — это максимальный размер пакета, который сеть может передать без фрагментации. В мобильных сетях эффективный MTU часто ниже, чем в домашних.

WireGuard использует MTU 1420 по умолчанию. Hysteria 2 и другие QUIC-протоколы тоже зависят от того, проходят ли большие пакеты через сеть оператора. Если оператор пропускает только пакеты меньшего размера, а сообщение о необходимости фрагментации не доходит до отправителя, возникает ситуация, когда туннель поднят, но большие HTTPS-страницы и видео «зависают».

Симптомы проблемы с MTU:

• мелкие сайты и текстовые страницы открываются, а тяжёлые ресурсы — нет;
• приложения работают, но загрузка файлов обрывается;
• после подключения к VPN интернет «в целом есть», но скорость крайне низкая;
• на Wi-Fi проблема отсутствует.

Что делать: снизить MTU в настройках VPN-клиента. Для мобильных сетей часто рекомендуют значения 1280–1380. Для Hysteria 2 можно также отключить или включить discovery MTU, если такая опция есть в конфигурации.

Проверка простая: изменить MTU на меньшее значение, перезапустить подключение и попробовать открыть несколько разных сайтов. Если проблема уходит — остаётся подобрать оптимальное значение в диапазоне допустимых. Универсального числа нет: оно зависит от оператора, региона и конкретной сети, поэтому 1420 может работать у одного абонента и полностью ломать доступ у другого.

Фильтрация по протоколу, портам и региональные различия

Мобильные операторы могут применять фильтрацию не только на уровне IP-адресов, но и на уровне протоколов. Hysteria 2 использует TLS-рукопожатие и ALPN h3, что делает его похожим на HTTP/3. Однако при агрессивном анализе трафика Deep Packet Inspection может распознать специфические паттерны QUIC и отсечь соединение.

Типичные признаки фильтрации по протоколу:

• VPN не подключается только на мобильном интернете конкретного оператора;
• на одном операторе всё работает, на другом — нет;
• смена сервера не помогает, но смена протокола или транспорта решает проблему;
• соединение устанавливается при использовании другого порта, например 443 вместо случайного.

Нередко блокировки зависят от региона. Один и тот же оператор может по-разному настраивать фильтрацию в разных областях. Поэтому история «в одном городе работало, в другом перестало» не должна удивлять: это нормальное поведение централизованных систем фильтрации, которые внедряются неравномерно.

Помогает не только смена протокола. Иногда достаточно выбрать другой сервер в подписке, особенно если у сервиса есть несколько локаций и IP-подсетей. Если один сервер заблокирован или его IP попал в списки, соседний может работать стабильно.

Когда перестало работать одновременно у всех операторов в регионе и на всех серверах, вероятнее всего проблема в IP-подсетях используемого VPN-сервиса или в массовых действиях фильтрующего оборудования. В этом случае локальная переустановка приложения не поможет — нужно менять сервис, протокол или сервер.

Если статус «подключено», но интернета нет: DNS и маршрутизация

Отдельный сценарий — Hysteria 2 подключается, показывает активный статус, но сайты не открываются. В этой ситуации проблема часто находится не в транспорте, а в DNS, правилах маршрутизации или конфликте приложений.

Что проверить в первую очередь:

• временно отключить кастомный DNS в клиенте и попробовать системный;
• выключить сложные правила маршрутизации, чёрные и белые списки;
• проверить, работают ли разные типы трафика — браузер, Telegram, видеосервисы;
• изменить DNS-сервер на публичный, например Google Public DNS или аналог;
• убедиться, что не включены одновременно другой VPN, AdGuard, WARP или iCloud Private Relay.

Конфликт нескольких VPN-приложений — частая причина. Два клиента могут одновременно пытаться создавать виртуальный сетевой интерфейс, и в результате оба туннеля оказываются неработоспособными. Поэтому на время диагностики стоит оставить только одно активное VPN-приложение.

Ещё один возможный источник — нерабочий outbound на стороне сервера. Сервер может принимать подключение, но не иметь возможности отправлять трафик дальше, если нарушена маршрутизация, используются неверные DNS-серверы или заблокирован доступ к внешним ресурсам. В этом случае помогает проверка другого сервера из той же подписки.

Полезно сравнить поведение разных приложений. Если, например, Telegram работает, а сайты в браузере не открываются, это почти наверняка указывает на DNS или правила маршрутизации, а не на блокировку самого Hysteria 2.

Пошаговая диагностика за несколько минут

Чтобы не менять все настройки одновременно и не гадать, полезно придерживаться простого алгоритма. После каждого шага нужно проверять подключение заново: иначе невозможно понять, что именно помогло.

1. Отключите VPN и проверьте обычный интернет без него. Если интернет не работает и без VPN, проблема не в Hysteria 2.

1. Перезапустите приложение и устройство. Это закрывает значительную часть временных сбоев, особенно связанных с фоновыми процессами и сменой сети.

1. Обновите подписку или заново импортируйте ключ. Если список серверов пустой или конфигурация устарела, подключение невозможно.

1. Выберите другой сервер, желательно с другим протоколом или локацией.

1. Сравните Wi-Fi и мобильную сеть. Если ошибка есть только в одной сети, вероятна блокировка оператора, проблема CGNAT или DNS.

1. Временно отключите Private DNS, AdGuard, WARP, другой VPN и системные фильтры.

1. Проверьте, работает ли мобильный интернет с другого устройства или при раздаче с другого телефона. Это помогает отделить проблему устройства от проблемы сети.

1. Если VPN работает на мобильном интернете, но обрывается каждые несколько минут, перейдите к проверке keep-alive и MTU.

Ошибка подключения может выглядеть по-разному: connection timeout, handshake failed, TLS error. Каждая из них требует своего направления диагностики, но базовая последовательность действий одинакова. Не стоит сразу удалять рабочий профиль или переустанавливать приложение до того, как проверены сеть, подписка и другой сервер.

Что делать с конфигурацией сервера и клиента

Если базовые проверки не помогли, нужно обратиться к конфигурации. При этом важно не менять все параметры сразу, потому что так невозможно определить, какое изменение дало эффект.

На стороне клиента стоит проверить:

• версию приложения и обновить её до актуальной;
• правильность ссылки, ключа или QR-кода;
• параметры keep-alive и idle timeout;
• значение MTU;
• включённую обфускацию, если она предусмотрена конфигом;
• выбранный порт и SNI.

Если используется собственный сервер, обратите внимание на настройки QUIC: keep-alive period, idle timeout, congestion control. В некоторых конфигурациях можно менять порты или включать маскировку. Пользовательский пример из практики показывает, что Hysteria 2 может перестать работать на мобильном интернете, даже если сервер настроен корректно, а проблема связана с политикой оператора или «белым списком» разрешённых ресурсов.

Если ошибка handshake failed, проверьте:

• правильность пароля и auth-данных;
• значения obfs password, если используется обфускация;
• сертификат и SNI;
• актуальность версии клиента и протокола.

Серверная часть тоже может быть причиной. Например, если один сервер не работает, а другие из той же подписки подключаются нормально, вероятнее всего проблема на конкретном сервере: заблокирован порт, истёк срок действия ключа, превышен лимит устройств или сервер удалён.

Когда конфиг меняется на сервере, обязательно сохраняйте резервную копию рабочего варианта. Если после изменений соединение пропало, можно быстро вернуться к прежним настройкам.

Когда проблема не в приложении и что писать в поддержку

Бывает, что пользователь переустанавливает приложение, проверяет все настройки и обновляет подписку, а проблема остаётся. В этом случае причина может быть вне зоны контроля клиента.

Признаки того, что проблема не в устройстве:

• не работает ни один сервер из подписки;
• та же ссылка или ключ не работают на другом устройстве;
• подписка истекла, сервер удалён или IP заблокирован;
• провайдер VPN-сервиса сообщил о лимите устройств;
• subscription URL в браузере отдаёт ошибку, пустую страницу или HTML вместо списка конфигураций.

Если подписка истекла, ключ отозван или сервер перенесён, никакая локальная диагностика не поможет. Также не стоит публиковать ключи, QR-коды и ссылки на подписку в открытых чатах: их могут скомпрометировать, и тогда доступ перестанет работать у всех, кто использует этот ключ.

Для обращения в поддержку соберите короткую сводку:

• тип устройства и операционной системы;
• название клиента и его версию;
• точный симптом: timeout, нет интернета, не импортируется QR-код, пустой список серверов;
• работает ли обычный интернет без VPN;
• проверяли ли другую сеть — Wi-Fi и мобильные данные;
• работают ли другие серверы из той же подписки.

Чем точнее описана проблема, тем быстрее поддержка сможет определить, что делать: проверить сервер, выдать новую ссылку или объяснить, что ограничение действует на стороне оператора.

Важно помнить: Hysteria 2 — это клиент и транспорт, а не гарантия доступа. В мобильных сетях решают правильная связка протокола, портов, keep-alive и MTU, а также актуальность подписки и состояние конкретного сервера.

Вопросы и ответы