Hysteria2（简称 HY2）是近两年很火的代理协议：基于 QUIC，走 UDP，靠多路复用和激进的拥塞控制跑出很低的延迟和很高的速度，2026 年 10 月 26 日，多家服务商陆续发公告：HY2 在中国大陆大部分地区已经连不上，相关节点下线，建议改用 AnyTLS。如果你这几天发现节点全红、连上就断，先别急着重装客户端、重买服务——大概率是协议层出了问题，按下面的顺序排查，十分钟就能定位。
先说结论：先更新订阅；再离开 HY2，换 AnyTLS 或 VLESS + Reality；然后换个网络（Wi-Fi 和手机流量各试一次）排除本地问题；最后确认客户端认不认 AnyTLS——认不出的话，订阅里的节点会少一大半。
一、到底发生了什么
时间线。 2026 年 10 月 26 日，服务商公告明确写了 HY2 节点已下线、中国大陆大部分地区连不上，并给出替代方案 AnyTLS。这不是某一家的小故障，而是同一时期多地用户集中反馈。
为什么偏偏是 HY2。 HY2 基于 QUIC，传输层走 UDP，握手阶段的 SNI 是明文可见的。2025 年的公开测量研究发现，针对 QUIC 初始握手中的 SNI 可以实施封锁；UDP 路径一旦被掐，基于 UDP 的协议会整体不可用，走 TCP 的协议却可能正常。这就是为什么同一台服务器上 HY2 不通、VLESS 却正常。
不是所有人同一结果。 地区、运营商、入口 IP 不同，结果就不同：有人全断，有人只是晚高峰断。拿一个人的“能用”或“不能用”当全国结论，都会误判。同期 Xray 官方记录里还有一起新版服务端指纹连接失败的案例（俄罗斯报告，与大陆封锁无关），先分清握手兼容问题和网络不可达。
二、四步自查，按顺序做
第一步：更新一次订阅。 服务商换过节点或协议之后，旧列表连不上是正常的。打开客户端里的订阅更新，拉完再试一次。
第二步：换到 AnyTLS，或换一条线路。 在节点列表里不要再选 HY2，改选 AnyTLS 分组（或 VLESS + Reality 的节点）。换协议立刻通了，问题就锁定在协议层。
第三步：换一个网络再测。 Wi-Fi 全挂就改用手机流量，反过来也一样，节点先别换。两边都不通，多半不是路由器的问题。
第四步：客户端要能认 AnyTLS。 认不出时订阅里的节点会很少，甚至分组直接消失——最容易被误判成“服务商跑路”。确认方法见第四节。
四步做完，通常能分清是订阅、协议、网络还是客户端的事。四步都超时，再带着结果找客服：哪一步通、哪一步超时、用的什么网络、客户端叫什么、报错原文是什么。
三、换到哪个协议
没有一种方案能保证长期、全国、全运营商可用，下面的排序是“当前值得优先测试”的顺序，不是全国可用率排行榜：
| 协议 | 传输层 | 优点 | 注意 |
|---|---|---|---|
| VLESS + Reality + Vision | TCP | 抗识别能力强，生态最成熟，优先测试 | 需要真实域名做 Reality 目标 |
| AnyTLS | TCP + TLS | 连接复用、可调填充，部署简单 | 默认填充参数没有抗封保证，要小规模实测 |
| Trojan | TCP + TLS | 流量特征接近正常 HTTPS | 特征单一，依赖域名和证书 |
| Shadowsocks 2022 | TCP/UDP | 轻量、速度好，客户端支持最广 | 单独使用时特征较明显 |
| Hysteria2 | UDP | UDP 通畅的线路上速度仍是最好的 | 依赖 UDP 可达，只适合当性能补充，别当唯一入口 |
建议 VLESS + Reality 和 AnyTLS 二选一当主力、另一个当备用，两个都走 TCP，改个入站配置就能换。
四、关键一步：你的客户端认不认 AnyTLS
协议能不能用，几乎完全由客户端内核决定。Xray 内核不支持 AnyTLS 和 TUIC，所以 v2rayNG 至今不支持；想用 AnyTLS，客户端必须用 sing-box 或 mihomo（Clash Meta）内核：
| 内核 | 支持 AnyTLS 的版本 | 备注 |
|---|---|---|
| sing-box | 1.12.0 起 | 支持协议最全的内核之一 |
| mihomo（Clash Meta） | 1.19.3 起 | Clash Verge Rev、FlClash 等都用它 |
| Xray | 不支持 | v2rayNG、部分老插件受此限制 |
| v2rayN | 有条件支持 | Xray 跑不了的节点，会自动交给内置的 sing-box 内核跑 |
常见坑点：v2rayNG 用户直接换客户端最省事，等 Xray 内核支持不是一两天能解决的；v2rayN 用户注意当时下发的订阅里可能根本不含 AnyTLS 节点，先更新订阅再看列表；Hiddify 用户注意 4.1.1 版导入 AnyTLS 节点会报 Unsupported types anytls；软路由插件用户（OpenClash、PassWall 等）要看装的内核版本，老固件自带的旧内核会报 unsupported。
判断方法很简单：更新订阅后看节点数，AnyTLS 分组消失或节点少了一半，先升级客户端。
五、自建节点：服务端加一条 AnyTLS 入站
自建 sing-box 服务端的用户不用重建服务器，加一条入站就行（占位符换成你自己的值）：
{
"type": "anytls",
"tag": "anytls-in",
"listen": "::",
"listen_port": 8443,
"users": [
{
"name": "user1",
"password": "<你的密码>"
}
],
"tls": {
"enabled": true,
"server_name": "<你的域名>",
"certificate_path": "/etc/sing-box/cert.pem",
"key_path": "/etc/sing-box/key.pem"
}
}改完先校验再重启，别直接上线：
sing-box check -c /etc/sing-box/config.json && systemctl restart sing-box原来的 HY2 入站可以先留着当备用——UDP 通畅的线路上它仍然最快——但别只留 HY2 一条路。另外：不要为了“解决”连不上而去关 TLS 证书校验，那不是修复，是把门拆了。
六、几个容易踩的坑
- 换端口不是万能药。 有用户 10 月 27 日换了一次端口，当天下午 IP 就被封了——但这只是一个人的经过，不是规律。
- 节点突然变少，先看客户端版本。 最常见的误判就是把“客户端不认新协议”当成“服务商跑路”。
- 多协议、多入口才是常态。 一条入站挂了，往往还有别的线路，前提是订阅更新过、客户端认这个协议、备用入站提前搭好——等断了再搭就晚了。
相关阅读：sing-box 升到 1.14.4 前先看：urltest 组的重复标签会直接让配置起不来；多节点自动切换的做法，见 sing-box 用 urltest 自动选最优节点：多台 VPS 的故障切换实战；如果怀疑是整家服务商出问题，对照这篇自救清单：主机商被攻击、几十万网站打不开：个人站长的断网自救清单。
资料来源：VilaVPN：节点连不上怎么办？四步自查；VPNDevelop：2026 中国大陆哪些 VPN 协议还能用？7 种方案对比；机场推荐：机场客户端怎么选？AnyTLS、Hysteria2 按协议对照表。