跳到正文
不翻车专注 VPN 软件评测

3x-ui 建 HY2：混淆和伪装能一起开吗？QUIC Params 要选 Brutal 吗

不翻车编辑部 · 更新于

3x-ui 添加 hysteria 入站的传输页：版本、UDP 空闲超时、伪装、Sockopt、UDP Masks（Salamander）、QUIC Params 六项

有观众在 Hysteria2（下文简称 HY2）那期视频下面留言，问了两个问题：

  1. 3x-ui 建 HY2 节点，传输页上既有「伪装」，又有「UDP Masks」（也就是混淆），是不是二选一？两边各怎么填？
  2. QUIC Params 里的拥塞控制，是不是只能选 Brutal，选 BBR 就违背了这个协议的本意？

先说结论：混淆和伪装两个都开，伪装不起作用，用哪个只能二选一；Brutal 不是必选，客户端不填带宽，用的就是 BBR。

2026 年 10 月 22 日，我们在一台演示服务器上装了临时的 3x-ui v3.10.2（内核 Xray 26.10.10），建了三个 HY2 节点，用华为手机上的 v2rayNG 2.3.11 和电脑浏览器挨个试：

节点 混淆（UDP Mask） 伪装 手机 v2rayNG 浏览器 HTTP/3 访问端口
A 开（默认 Salamander） 关 填对混淆密码：连接成功；混淆密码空着：超时 打不开（ERR_QUIC_PROTOCOL_ERROR）
B 关 开（proxy 反代维基百科） 连接成功 显示维基百科首页
C 开 开 未测 打不开（ERR_QUIC_PROTOCOL_ERROR）

建节点、放行 UDP 端口、证书的完整步骤见一台服务器开两个节点，这篇只讲传输页。

传输页的六项

入站 → 添加入站，协议选 hysteria，切到「传输」，一共六项：

  • 版本：固定是 2，改不了。
  • UDP 空闲超时：默认 60 秒，不用动。
  • 伪装：默认关着。
  • Sockopt：一般用不上。
  • UDP Masks：新建时默认已经带了一条，类型 Salamander，密码自动填好。
  • QUIC Params：默认关着。

3x-ui 添加 hysteria 入站的传输页，六项依次是版本、UDP 空闲超时、伪装、Sockopt、UDP Masks（默认一条 Salamander）、QUIC Params

要琢磨的是混淆、伪装和 QUIC Params 三项。

混淆：两头要对上同一个密码

Salamander 把每个包打乱成看不出规律的随机字节，路上的设备认不出这是 QUIC。代价是服务器和客户端必须用同一个混淆密码。

节点 A 就用默认设置建好。v2rayNG 里「混淆密码」这一栏填上服务器的那个，连接测试成功。

v2rayNG 的 Hysteria2 配置页，混淆密码一栏填着和服务器相同的密码，地址后两段已遮

再加一条配置，别的都一样，只是混淆密码空着。连接测试等了二十多秒，提示 context deadline exceeded，也就是超时：服务器不认这些包。所以导入节点以后连不上，先看混淆密码有没有带过来。

v2rayNG 连接测试失败：context deadline exceeded，选中的是漏填混淆密码的那条配置

伪装：有人拿浏览器来访时，服务器回什么

伪装管的是另一件事：有人直接用浏览器访问你的端口，服务器回给他什么。类型有四种：

  • default：一个 404 页面。
  • proxy：反向代理，把请求转给一个真实网站。
  • file：放你自己的网页文件。
  • string：返回一段固定文字。

节点 B 先把 UDP Mask 删除（点 UDP Mask 1 旁边的垃圾桶），伪装选 proxy，Upstream URL 填一个正常网站（我们填的是维基百科），「重写 Host」打开。

节点 B 的传输页：UDP Masks 下面已经没有条目，伪装类型 proxy，Upstream URL 填 https://www.wikipedia.org，重写 Host 打开

然后在电脑上用 Chrome 强制走 HTTP/3 访问这个端口，打开的是维基百科首页，协议显示 h3。外人拿浏览器来看，这就是一个普通网站。

电脑 Chrome 用 HTTP/3 访问节点 B 的端口，显示维基百科首页

两个都开：伪装不起作用

节点 C 把混淆和伪装同时打开。浏览器再访问，报 ERR_QUIC_PROTOCOL_ERROR，打不开。只开混淆的节点 A 也一样。

浏览器访问节点 C（混淆和伪装都开）报错 ERR_QUIC_PROTOCOL_ERROR，地址里的服务器 IP 已遮

原因 Hysteria 官方文档写明了：“启用混淆将使服务器与标准的 QUIC 连接不兼容，失去 HTTP/3 伪装的能力。“面板不拦你两个都填，但效果上是二选一。

选哪个

Hysteria 官方文档说，它默认就是伪装成 HTTP/3；网络针对性屏蔽了 QUIC 或 HTTP/3、但放行别的 UDP 时，才建议开混淆。3x-ui 的默认正好反过来，新建入站就带着混淆。

  • 已经在用默认混淆、连接一直正常的，不用改。
  • 连不上，或者想让服务器看起来像网站，就换成伪装：服务器上删除 UDP Mask、打开伪装；客户端把混淆密码清空。两头不一致就连不上。
  • 哪种在你那边更稳，以你自己测出来的为准。

QUIC Params：不用非选 Brutal

打开 QUIC Params，拥塞控制（Congestion）默认是 BBR，下拉一共四个：Reno、BBR、Brutal、Force Brutal。

QUIC Params 的拥塞控制下拉框：Reno、BBR、Brutal、Force Brutal

选 Brutal 以后多出 Brutal Up 和 Brutal Down 两栏。它们填在服务器上，是给客户端设的速度上限，Xray 文档写明默认 0，0 表示不限制客户端。

选 Brutal 后多出的 Brutal Up、Brutal Down 两栏，占位提示 e.g. 60 mbps、e.g. 100 mbps

用不用 Brutal，看的是客户端。v2rayNG 里有「带宽下行」「带宽上行」两栏：空着就用 BBR，填了数字才用 Brutal。Xray 的 FinalMask 文档对 brutal 的说明是“与对端协商固定发包速率或降级到 BBR”，带宽为 0 时客户端用 BBR。Hysteria 官方客户端也一样，不填带宽就用 BBR。

v2rayNG 的 Hysteria2 配置页下半部分：带宽下行、带宽上行、跳过证书验证开关、证书指纹（SHA-256）

那不填带宽是不是就慢？我们之前在同一台服务器上人为加丢包实测过：HY2 不填带宽（BBR）和填带宽（Brutal）速度互有胜负，都比 VLESS 快；Brutal 更稳，BBR 忽高忽低。HY2 在丢包线路上快，主要不是靠 Brutal。数据见 HY2 和 VLESS 丢包实测、端口跳跃和 Brutal 实测。

反过来，带宽填得比实际高，Brutal 会一直按这个速度猛发，官方文档警告会又慢又不稳、还浪费流量。所以：

  • 服务器上的 QUIC Params 不用开。
  • 客户端带宽先空着。
  • 想用 Brutal，先测出你的实际速度，再填一个略低的数。

一个小坑：跳过证书验证没了

新版 Xray 已经去除了 allowInsecure（跳过证书验证）。v2rayNG 2.3.11 里这个开关还在，但打开它，启动时直接报错：

Failed to build TLS config. > The feature "allowInsecure" has been removed and migrated to "pinnedPeerCertSha256"(pcs) and "verifyPeerCertByName"(vcn).

照一台服务器开两个节点用面板申请的 IP 证书，不受影响。用自签证书的，把证书的 SHA-256 指纹（服务器上 openssl x509 -in 证书路径 -noout -fingerprint -sha256，去掉冒号）填进客户端的「证书指纹」一栏。我们这台演示服务器就是这么连上的。

资料来源

核对日期均为 2026 年 10 月 22 日。