Hysteria2 回家配置
回家服务用于在外部网络连接家中的 CMSingBox。填写 DDNS/公网地址、UDP 端口和密码即可；首次启用时自动生成 TLS 证书。
准备条件
- 家庭网络有可从公网访问的 IPv4，或已正确配置 IPv6。
- 没有固定公网地址时准备 DDNS 域名。
- 上级光猫/路由器允许把一个 UDP 端口转发到 CMSingBox。
运营商 CGNAT如果 WAN 地址是运营商内网地址，普通 IPv4 端口映射不会生效，需要申请公网 IP、使用 IPv6 或另行建立中继。
后台配置
- 进入“高级配置 → 回家配置”。
- 开启 Hysteria2 回家服务。
- 服务器地址填写 DDNS 域名或公网 IP。
- 选择未占用的 UDP 端口，并设置高强度随机密码。
- 保存并应用配置。
CMSingBox 在数据目录自动生成和复用自签名证书，并把公开证书写入手机客户端配置，无需手动上传证书。若更改回家域名或 IP，保存后会重新生成匹配的新证书，客户端需重新导入配置。
端口映射
在上级路由器建立 UDP 端口转发：公网端口 → CMSingBox IP 的同一 UDP 端口。不要误选 TCP。若 CMSingBox 直接拥有公网 IPv6，则配置防火墙允许该 UDP 端口，并限制后台 80 不向公网开放。
客户端使用
保存成功后使用高级页面提供的移动端配置路径或下载链接，将配置导入支持 Hysteria2 的客户端。客户端中的服务器域名、端口、密码和 TLS 主机名必须与服务端一致。
验证
- 先在家中确认 sing-box 正常运行，日志没有证书或端口错误。
- 手机关闭 Wi-Fi，使用蜂窝网络测试，避免在内网做回环测试。
- 检查 DDNS 是否解析到当前公网地址。
- 检查上级路由 UDP 转发计数和 CMSingBox 日志。
安全建议
- 使用独立随机密码，不要复用后台密码。
- 证书私钥只保存在服务器，不上传公开仓库。
- 只映射回家 UDP 端口，不把 80、9090 直接暴露公网。
- 修改证书、密码或端口后，客户端配置也要同步更新。