---
name: hy2-carrier-port-filter
description: Билайн/СберМобайл режут UDP по номеру порта — проходят только 443 и 8443; salamander-obfs выведен как никогда не работавший
metadata: 
  node_type: memory
  type: project
  originSessionId: ca9d2fe6-c078-4428-b2e2-b28e031e1440
  modified: 2026-07-29T21:48:07.008Z
---

Билайн и СберМобайл (замеры 2026-07-30) фильтруют UDP **по номеру порта назначения, а не по IP**: до VPS `192.255.201.98` доходят только **UDP/443 и UDP/8443**, всё прочее (500, 1194, 2053, 4443, 8444, 51820, 20000) молча дропается. TCP/443 к VPS заблокирован, TCP/80 и 22 открыты. Это НЕ белые списки (см. [[hy2-whitelist-bypass]]) — те уже сняты.

Инбаунды теперь: `hy2-in` UDP/8443 (основной, на него смотрит подписка) и `hy2-in-alt` UDP/443 (второй вход, на него смотрит `hysteria_uri`). Оба — чистый Hysteria2.

**Why:** salamander-обфускация жила на 8444 — порту, который у этих операторов не проходит вообще, поэтому obfs-ссылка не работала ни у одного клиента с самого появления и это не было замечено. После переноса на 443 obfs всё равно не подключался, хотя на loopback внутри VPS работает, path MTU полный, а пакеты доходят и сервер отвечает. Причина не найдена → функция выведена, чтобы не выдавать ссылки с нерабочими параметрами. Прикрытие от DPI осталось за Cloudflare-фронтированными VLESS-путями.

**How to apply:** при рецидиве отвала НЕ переносить транспорт на очередной «нестандартный» порт — кроме 443/8443 не проходит ничего, а на 443 obfs уже проверен и не работает. Проверять фикс постоянства только командами `init/add/enable/disable/pause` — они вызывают `install_runtime()`→`render_config()`; `reset_usage` конфиг не перерисовывает и ничего не доказывает. Тег инбаунда в коде и в живом `hy2_server.json` менять только синхронно, иначе `ensure_alt_inbound()` допишет дубль на том же порту и sing-box не поднимется. Cloudflare-пути живы, но 200–400 Б/с против 3.9 МБ/с — только аварийный текстовый канал.
