插图来源：Storyset
用 Hysteria2 的机场，订阅里有时会看到端口写的是一个范围（比如 20000-30000），而不是单个端口。这就是"端口跳跃"。它到底在防什么？今天一次讲清。
什么是端口跳跃#
正常服务监听固定端口，比如 443。端口跳跃则是：服务端监听一整个端口范围，客户端每次连接随机挑一个端口用。连接不断在换端口，就像打一枪换一个地方。
它防的是什么#
清单来了，端口跳跃主要应对这几类手段：
- 单端口封锁：只封一个端口是最廉价的阻断方式。端口跳起来后，封一个还有九千多个能用，封锁成本指数级上升。
- 基于端口的流量识别：有些识别逻辑会重点盯着常见端口（如 443、8443）的异常流量，跳端口让流量分散在冷门端口上。
- 端口扫描与探测：固定端口容易被扫描发现特征，跳跃增加了探测难度。
它不能防什么#
也要泼盆冷水，端口跳跃不是万能药：
- 防不住基于流量特征的深度识别，该识别的还是能识别。
- 防不住 IP 层面的封锁，IP 没了，多少端口都没用。
- 会增加配置复杂度，客户端和服务端要配合，任何一边配错就连不上。
普通用户需要开吗#
分情况：
- 用机场订阅的用户：不用你操心。机场支不支持、开没开，看订阅就行，客户端会自动处理。你要做的只是别手贱去改端口设置。
- 自己搭 Hysteria2 的用户：如果所在地区有单端口封锁的历史，可以开；如果一直稳定，固定端口更省心，排查问题也容易。
- 遇到"UDP 端口疑似被针对"时：端口跳跃是一个值得尝试的选项，配合换 IP 效果更好。
和它相关的几个概念#
- Hysteria2 本身是基于 QUIC/UDP 的加速协议，原理见 Hysteria 协议详解。
- 它和 VLESS 的取舍对比见 Hysteria2 对比 VLESS。
- 如果跳端口后还是慢，先排查是不是带宽或拥堵问题：网速慢排查清单。
一句话：端口跳跃是"提高封锁成本"的手段，不是"隐身衣"。理解它的定位，就不会神化它，也不会忽视它。
为什么端口跳跃要配 QUIC 才好使#
这里有个关键的技术细节：端口跳跃能实用，全靠 QUIC 的连接迁移能力。传统 TCP 连接由"四元组"（源 IP、源端口、目标 IP、目标端口）标识，端口一换连接就断了；QUIC 用连接 ID 标识会话，端口变了，会话不断。所以 Hysteria2 跳端口时，你的视频、下载不会中断——这也是它敢把端口跳跃做成核心卖点的底气。QUIC 的原理见 QUIC 科普。
两个常见误区#
- 误区一：跳端口能提速。 不能。它防的是"连不上"，不是"连得慢"。速度问题看 UDP 被限速排查。
- 误区二：端口范围越大越好。 范围太大，服务端要监听的端口太多，防火墙放行和运维都麻烦；一般几千个端口的范围，在"封锁成本"和"可维护性"之间比较平衡。
自建用户的一个提醒#
开端口跳跃的同时，记得把服务端的防火墙/安全组把整个端口段放行——这是自建翻车最多的地方：服务端配了范围，防火墙只开了 443，客户端永远连不上，日志里还看不出原因。先放行、再验证、最后才对外公布。和 TUIC 的取舍可以参考 Hysteria2 对比 TUIC。
