Multi-Hop-Amnezia-VPN in BeAdmin einrichten

Im Multi-Hop-Modus wirken zwei getrennte BeAdmin-Installationen als eine einzige Route: Das Gerät wählt sich in den näheren Server ein, während der eigentliche Austritt ins Internet auf dem ferneren stattfindet. Sie greifen dazu, wenn ein einzelner AmneziaWG-Server nicht mehr genügt — seine IP ist nicht mehr erreichbar oder Sie brauchen schlicht einen Austritt in einem bestimmten Land. Indem Sie Eingang und Ausgang auf zwei Netze verteilen, zieht ein Problem am einen Ende das andere nicht mit hinab.

So funktioniert der Multi-Hop

Normalerweise treffen sich ein AmneziaWG-Client und das offene Internet an einer Stelle — auf Ihrem Server. Jede Website, die Sie besuchen, protokolliert die IP dieses Servers, und Ihr Provider sieht eine Verbindung dorthin. Ein Multi-Hop zieht diese beiden Rollen auseinander:

• Eingangs-Hop — die Seite, die Ihr Provider beobachtet. Auf der Leitung ist es nur verschleierter AmneziaWG-Traffic, kaum von zufälligem Rauschen zu unterscheiden.
• Ausgangs-Hop — die Seite, die das Ziel sieht. Websites verzeichnen die Anfrage als von der IP dieses Hops kommend, meist in einem fremden Netz und in einem anderen Land.

Eine Schichtung auf Tor-Niveau bekommen Sie damit nicht — es ist ein einziger zusätzlicher Hop, gerade genug, um die Ausgangs-IP zu verlagern, und nicht mehr.

Was Sie brauchen

• Zwei BeAdmin-Server an verschiedenen Standorten. Ein Multi-Hop lohnt sich nur, wenn die beiden Enden in getrennten Netzen liegen — mit einer Maschine geht es also nicht. Installieren Sie das Amnezia-Modul auf beiden — nennen wir sie Installation A (Eingang) und Installation B (Ausgang).
• Halten Sie den Eingangs-Hop nahe beim Nutzer, idealerweise im selben Land. Diese erste Strecke hält das Gerät offen, also gilt: je kürzer, desto stabiler die Verbindung. Der entfernte Server wird zum Ausgangs-Hop, gewählt wegen der IP, die Sie dem Internet zeigen wollen.
• Sie brauchen Bearbeitungsrechte in beiden Panels. Eine automatische Kopplung gibt es nicht — Sie verbinden die beiden von Hand, indem Sie einen Link aus dem einen Panel in das andere tragen.

Sie haben die beiden Server noch nicht? Fornex vermietet VPS auf NVMe mit vollem Root-Zugriff in einer ganzen Reihe von Ländern — wählen Sie die Standorte passend zu Ihrem Setup: einen nahe beim Nutzer, einen für den Ausgang. VPS bestellen.

Ausgangs-Hop auf Installation B anlegen

Die Kopplung läuft in eine Richtung, und Sie steuern sie von Hand: Der Ausgangs-Hop prägt einen Link awgmh://…, den Sie hinübertragen und in den Eingangs-Hop auf dem anderen Server einfügen. Bauen Sie zuerst das Ausgangs-Ende, dann das Eingangs-Ende.

1. Öffnen Sie auf Installation B das Amnezia-Modul und klicken Sie auf Nutzer anlegen.
2. Stellen Sie Modus auf Multi-Hop — es erscheint ein Selektor Rolle im Multi-Hop; wählen Sie Ausgangs-Hop. Füllen Sie den Rest aus und speichern Sie.
3. Ein Ausgangs-Hop hat weder eine eigene Konfiguration noch einen QR-Code; in der ausgeklappten Zeile steht genau das — ein Vermerk, dass er keine Verbindungseinstellungen hat. Das ist Absicht: Er leitet nur eingehenden Traffic weiter und wählt sich selbst nie ein.
4. Klicken Sie auf Link für den Eingangs-Hop. Das Panel baut einen Link awgmh://… und kopiert ihn in die Zwischenablage — in ihm stecken die Verbindungsdaten dieses Hops. Bringen Sie ihn auf einem beliebigen Weg zu Installation A.

Zeile des Ausgangs-Hops: statt eines QR-Codes die Schaltfläche „Link für den Eingangs-Hop"

Eingangs-Hop auf Installation A anlegen

1. Öffnen Sie auf Installation A das Amnezia-Modul und klicken Sie auf Nutzer anlegen.
2. Stellen Sie Modus auf Multi-Hop und wählen Sie dann unter Rolle im Multi-Hop den Wert Eingangs-Hop.
3. Es erscheint ein Feld Link zum Ausgangs-Hop — fügen Sie hier den Link awgmh://… aus dem vorigen Schritt ein.
4. Füllen Sie die übrigen Felder aus und speichern Sie.

Einen Eingangs-Hop anlegen: Modus „Multi-Hop", Rolle „Eingangs-Hop" und der eingefügte awgmh://-Link

Anders als sein Gegenstück am Ausgang ist der Eingangs-Hop ein gewöhnlicher, anschließbarer Nutzer. Klappen Sie seine Zeile auf, und Sie finden zwei QR-Codes — je einen auf den Tabs AmneziaVPN und AmneziaWG — sowie eine herunterladbare .conf. Diese geben Sie dem Endgerät genau wie bei jedem Nutzer; von dort fädelt sich der Traffic von selbst durch die Kette.

Multi-Hop-Status prüfen

Klappen Sie den Eingangs-Hop auf, und Sie sehen eine Kachel Multi-Hop-Status, die meldet, ob er seinen Ausgang tatsächlich erreicht. Sobald eine Verbindung steht, zeigt daneben eine Kachel Ausgangs-Hop dessen Adresse.

Status	Was er bedeutet und was zu tun ist
Aktiv	Die Verbindung steht und der Ausgang antwortet — die Kette ist aktiv.
Prüfung…	Das Panel fragt den Ausgang noch ab. Geben Sie ihm einen Moment; es aktualisiert sich von selbst.
Ausgang nicht verbunden	Es wurde noch kein Link eingefügt. Bearbeiten Sie den Eingangs-Hop und fügen Sie den Link awgmh://… hinzu.
Ausgang nicht erreichbar	Der Ausgang antwortet nicht. Vergewissern Sie sich, dass auf Installation B der Amnezia-Dienst läuft, der Server online und über das Netz erreichbar ist und sich seine Adresse und sein Port nicht geändert haben.

Einen bestehenden Nutzer in einen Ausgangs-Hop umwandeln

Auch ein bestehender Nutzer kann die Ausgangsrolle übernehmen: Öffnen Sie Nutzer bearbeiten, stellen Sie Modus auf Multi-Hop und die Rolle auf Ausgangs-Hop. Da ein Ausgangs-Hop keine Konfiguration behält, hält das Panel zur Bestätigung mit einem Hinweis In Ausgangs-Hop umwandeln inne — das Speichern löscht die Verbindungseinstellungen des Nutzers und trennt jede laufende Sitzung. Nutzen gerade Geräte diesen Nutzer, wägen Sie es zuerst ab: Nach der Umwandlung bleibt ihnen nichts mehr zum erneuten Import.

Ausgangs-Hop neu verbinden und trennen

Welchen Ausgang ein bestimmter Eingang anvisiert, ist nicht festgeschrieben:

• Auf einen anderen Ausgang richten. Erzeugen Sie am neuen Ausgangs-Hop einen frischen Link awgmh://… und fügen Sie ihn im Bearbeiten-Dialog des Eingangs in das Feld Link zum Ausgangs-Hop ein; die alte Bindung weicht der neuen. Das Feld öffnet sich stets leer — der Link ist ein Geheimnis, das das Panel kein zweites Mal anzeigt —, daher ist die aktuelle Bindung in der Zeile Verbunden mit … direkt darüber ausgewiesen.
• Den Ausgang ganz lösen. Klicken Sie in der ausgeklappten Zeile des Eingangs-Hops auf Trennen. Der Nutzer fällt auf den direkten Austritt ins Internet über den Eingang selbst zurück, der zweite Server ist aus dem Spiel.

Ein Wechsel des Ausgangs rührt die Endgeräte nie an — der Eingang behält dieselben QR-Codes und dieselbe .conf, es muss also nichts neu importiert werden.

Was der Multi-Hop nicht leistet

• Er verschmilzt die beiden Panels nicht zu einem. A und B bleiben getrennte Installationen, und jede Verbindung wird von Hand gelegt. Auch zurück fließt nichts — der Ausgangs-Hop hat keine Ahnung, welche Eingänge ihn speisen.
• Er ist keine Anonymität. Alles, was ein Besucher sieht, ist die IP des Ausgangs-Hops — Sie haben Ihre Adresse gewechselt, nicht Ihre Spur gelöscht.