拯救吃灰的纯 IPv6 便宜小鸡，搭建 Hysteria 2 节点的完整教程

发表于 分类于

在各大 VPS 论坛与活动促销中，几块钱到十几块钱人民币一年的“纯 IPv6（IPv6-Only）小鸡”随处可见。由于没有昂贵的独立 IPv4 地址，商家能够以极低的成本甩卖闲置算力。很多站长趁着便宜买来一堆，却发现：

  • 无法直接访问纯 IPv4 的 GitHub 仓库或部分下载源；
  • ACME 脚本申请证书时，因 Let’s Encrypt 默认的 HTTP-01 验证无法在没有 IPv4 的主机上顺利完成而频频报错；
  • 最终只能放在控制台吃灰。

事实上，基于 UDP 的现代协议 Hysteria 2 对 IPv6 的支持极其成熟，配合三大运营商早已全面铺开的移动端与家庭宽带 IPv6 网络，纯 IPv6 小鸡不仅延迟更低、路由更直，而且完全可以作为全天候的高速主力节点。本文带来一套不踩坑的完整搭建与调优实录。

一、方案核心架构与准备工作

为了让纯 IPv6 小鸡既能对外提供极速连接，又具备访问全网（包括纯 IPv4 站点）的能力，我们采用以下架构组合：

  1. 外部入站（Inbound）：全链路原生 IPv6 直连。如今三大运营商的 5G/4G 手机网络与绝大多数家庭宽带均已分配原生 /64 前缀公网 IPv6，直连跨洋时延通常优于绕路的 IPv4 路由；
  2. 内部出站（Outbound）：配置公共 NAT64 / DNS64 或 Cloudflare WARP，赋予小鸡访问全球 IPv4 互联网的能力；
  3. 域名与证书解析：使用托管于 Cloudflare 的二级域名，通过 DNS-01 验证（API Token 模式） 自动签发并续订有效的 TLS 证书。

二、第一步：为纯 IPv6 小鸡打通出站访问（DNS64 / NAT64）

纯 IPv6 VPS 默认无法解析和访问仅支持 IPv4 的服务器（例如部分软件源或测试脚本）。最快捷轻量的方法是配置公共 DNS64 服务。

编辑 /etc/resolv.conf：

1
sudo nano /etc/resolv.conf

添加常用的公共 DNS64 地址（以 Kasper Dupont / Trex 为例）：

1
2
3
nameserver 2a01:4f8:c2c:123f::1
nameserver 2a00:1098:2b::1
nameserver 2001:4860:4860::6464

注意第三个是 Google 的 DNS64 专用地址（::6464），不要误写成它家普通 DNS 的 ::8888，那个不做 DNS64 合成。保存后，测试访问纯 IPv4 目标：

1
curl -I http://ipv4.google.com

这里不要加 -4：强制 IPv4 恰恰绕开了 DNS64 合成出来的 IPv6 地址，在纯 IPv6 主机上必然失败。
若能正常返回 HTTP 响应头，说明小鸡已成功获得访问全网 IPv4 资源的能力。

三、第二步：解决 TLS 证书痛点（基于 DNS-01 的自动化申请）

在纯 IPv6 环境下，使用常规的 80 端口 HTTP-01 验证极易失败。标准做法是使用 acme.sh 配合 Cloudflare API 密钥，通过 DNS 记录验证自动签发。

1. 获取 Cloudflare API Token

登录 Cloudflare 控制台，进入「我的个人资料」→「API 令牌」→「创建令牌」，选择「编辑区域 DNS」模板，权限勾选目标域名的 DNS:编辑。

2. 安装 acme.sh 并签发证书

1
2
3
4
5
6
7
8
9
curl https://get.acme.sh | sh -s email=your-email@example.com
source ~/.bashrc

# 设置环境变量
export CF_Token="你的Cloudflare_API_Token"
export CF_Account_ID="你的Cloudflare_账户ID"

# 签发针对域名的 ECC 证书
~/.acme.sh/acme.sh --issue --dns dns_cf -d your-ipv6.domain.com --keylength ec-256

3. 安装证书至规范目录

1
2
3
sudo mkdir -p /etc/hysteria/certs

~/.acme.sh/acme.sh --install-cert -d your-ipv6.domain.com --ecc   --fullchain-file /etc/hysteria/certs/server.crt   --key-file /etc/hysteria/certs/server.key

四、第三步：部署与配置 Hysteria 2 服务端

1. 一键安装官方二进制

1
bash <(curl -fsSL https://get.hy2.sh/)

官方脚本的完整装法和装完之后的配置细节，站内的一键安装专文已经系统讲过一遍（Hysteria2一键安装脚本：官方脚本、老王工具箱、f佬和233boy），纯 IPv6 环境同样是这条路径，这里只走最短流程。

2. 编写服务端配置文件 /etc/hysteria/config.yaml

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
# 监听所有 IPv6 地址的 443 端口
listen: "[::]:443"

tls:
  cert: /etc/hysteria/certs/server.crt
  key: /etc/hysteria/certs/server.key

auth:
  type: password
  password: your_super_secure_password

# 开启底层吞吐优化
quic:
  initStreamReceiveWindow: 8388608
  maxStreamReceiveWindow: 8388608
  initConnReceiveWindow: 20971520
  maxConnReceiveWindow: 20971520

# 日志输出等级
log:
  level: info

关键细节：listen 必须填写 "[::]:443" 或 ":443"，方可正确监听并绑定到服务器的所有 IPv6 网络接口。

3. 启动并配置开机自启

1
2
sudo systemctl enable --now hysteria-server.service
sudo systemctl status hysteria-server.service

五、第四步：域名 DNS 解析与客户端配置

1. Cloudflare 域名解析

在 Cloudflare 后台，为你规划的子域名（如 your-ipv6.domain.com）添加一条 AAAA 记录：

  • 名称：your-ipv6
  • IPv6 地址：填入 VPS 真实的公网 IPv6 地址（通过 ip -6 addr show 查看）
  • 代理状态：关闭代理（DNS only，灰色云朵），因为 Hysteria 2 是专属 UDP 协议，不可被 Cloudflare CDN 代理。

2. 客户端节点连接配置

在客户端（如 Sing-box、v2rayN、Clash Verge Rev）中导入节点：

  • 服务器地址：your-ipv6.domain.com（客户端会自动通过 AAAA 记录解析并发起 IPv6 连接）
  • 端口：443
  • 密码：设置的密码
  • SNI：your-ipv6.domain.com

六、使用体验与注意事项

  1. 路径更直，但快慢看线路：全链路 IPv6 直连，入站不需要经过 NAT64 转换层，路径比绕一层转换的方案干净。实际延迟取决于本地运营商的 IPv6 出口质量和对端路由，不同地区、不同时段差异很大，不能指望必然比 IPv4 快，自己的网络测出来是什么样就是什么样。
  2. 抗丢包靠的是协议机制：Hysteria 2 的 Brutal 拥塞控制在丢包时不按传统算法主动降速，这是它在这类便宜线路上相对耐用的原因；但物理线路本身的质量仍然是上限，线路烂到一定程度什么协议都救不回来。
  3. 定位建议：这类小鸡价格极低，适合做备用节点、分流出口或练手环境。如果要当主力，先确认自己常用的网络（家里宽带、手机流量、公司网络）IPv6 覆盖都正常——只要有一处只有 IPv4，这个节点在那里就是连不上的。