Multi-Hop-Xray-VPN in BeAdmin einrichten

Der Multi-Hop-Modus verbindet zwei unabhängige BeAdmin-Installationen zu einer Kette „Eingang → Ausgang": Ihr Gerät verbindet sich mit dem ersten Server, ins Internet tritt es aber über den zweiten aus. Das hilft, wenn ein einzelner Xray-Server nicht mehr durchkommt — sein REALITY-Handshake wurde von DPI erkannt oder seine IP ist nicht mehr erreichbar. Der Multi-Hop trennt den Verbindungspunkt und die Ausgangsadresse auf verschiedene Netze, sodass die eine Seite erreichbar bleibt, selbst wenn die andere ausfällt.

So funktioniert der Multi-Hop

Bei einem gewöhnlichen Xray-Nutzer tritt der Traffic mit der IP Ihres Servers ins Internet aus, und der Provider sieht die Verbindung zu eben diesem Server. Der Multi-Hop trennt die beiden Punkte, an denen der Server von außen sichtbar ist:

• Eingangs-Hop — das, was der Provider des Nutzers sieht. Für ihn ist es ein gewöhnlicher REALITY-Server, von einer Website nicht zu unterscheiden.
• Ausgangs-Hop — das, was das Internet sieht. Die Zielwebsites bekommen die Anfragen mit der IP des Ausgangs-Hops, in einem anderen Netz und in der Regel in einem anderen Land.

Das ist keine Anonymisierung auf Tor-Niveau: Die Kette fügt genau einen Zwischenknoten hinzu, um die Ausgangs-IP zu wechseln, nicht mehr.

Was Sie brauchen

• Mindestens zwei BeAdmin-Server an verschiedenen Standorten — andernfalls ergibt der Multi-Hop keinen Sinn. Auf jedem muss das Xray-Modul installiert sein. Nennen wir sie Installation A (künftiger Eingang) und Installation B (künftiger Ausgang).
• Den Eingangs-Hop platzieren Sie näher beim Nutzer, idealerweise im selben Land: Das Gerät verbindet sich direkt mit ihm, und je kürzer diese Strecke ist, desto stabiler die Verbindung. Der entfernte Punkt ist der Ausgangs-Hop, er liefert die gewünschte Ausgangs-IP.
• Zugriff auf beide Panels mit Bearbeitungsrechten — das Verbinden geschieht von Hand, durch Kopieren des Links aus dem einen Panel in das andere.

Haben Sie die Server für den Eingangs- und den Ausgangs-Hop noch nicht gewählt: Bei Fornex gibt es VPS auf NVMe mit vollem Root-Zugriff in mehreren Ländern — wählen Sie die Standorte passend zu Ihrem Setup. VPS bestellen.

Ausgangs-Hop auf Installation B anlegen

Die Verbindung ist einseitig und wird von Hand hergestellt: Der Ausgangs-Hop gibt einen speziellen Link bemh://… aus, den Sie kopieren und in den Eingangs-Hop auf dem anderen Server einfügen. Die Reihenfolge ist wichtig — erst der Ausgang, dann der Eingang.

1. Öffnen Sie auf Installation B das Xray-Modul und klicken Sie auf Nutzer anlegen.
2. Wählen Sie im Feld Modus den Wert Multi-Hop, im daraufhin erscheinenden Feld Rolle im Multi-Hop den Wert Ausgangs-Hop. Füllen Sie die Pflichtfelder aus und legen Sie den Nutzer an.
3. Der Ausgangs-Hop hat keinen eigenen Link und keinen QR-Code — an deren Stelle steht in der ausgeklappten Zeile der Vermerk, dass dies ein Ausgangs-Hop ohne eigene Verbindungseinstellungen ist. Das ist normal: Ein solcher Nutzer lässt nur fremden Traffic ins Internet hinaus, verbindet sich selbst aber nicht direkt.
4. Klicken Sie auf Link für den Eingangs-Hop — das Panel erzeugt und kopiert einen Link der Form bemh://…. In ihm sind die Verbindungsparameter dieses Ausgangs-Hops verankert. Übermitteln Sie ihn auf einem beliebigen Weg an Installation A.

Zeile des Ausgangs-Hops: statt eines QR-Codes die Schaltfläche „Link für den Eingangs-Hop"

Eingangs-Hop auf Installation A anlegen

1. Öffnen Sie auf Installation A das Xray-Modul und klicken Sie auf Nutzer anlegen.
2. Wählen Sie im Feld Modus den Wert Multi-Hop, im Feld Rolle im Multi-Hop den Wert Eingangs-Hop.
3. Fügen Sie in das daraufhin erscheinende Feld Link zum Ausgangs-Hop den im vorigen Schritt kopierten Link bemh://… ein.
4. Füllen Sie die Pflichtfelder aus und legen Sie den Nutzer an.

Einen Eingangs-Hop anlegen: Modus „Multi-Hop", Rolle „Eingangs-Hop" und der eingefügte bemh://-Link

Der Eingangs-Hop ist ein vollwertiger Nutzer mit eigenem Link vless://… und QR-Code. Genau diese geben Sie dem Endgerät, wie einem gewöhnlichen Nutzer. Von dort läuft der Traffic von selbst durch die Kette.

Multi-Hop-Status prüfen

Beim Eingangs-Hop erscheint in der ausgeklappten Zeile die Kachel Multi-Hop-Status — sie zeigt an, ob der Eingang seinen Ausgang erreicht. Daneben ist, sobald die Verbindung eingerichtet ist, eine Kachel Ausgangs-Hop mit dessen Adresse zu sehen.

Status	Was er bedeutet und was zu tun ist
Aktiv	Die Verbindung steht und der Ausgangs-Hop ist erreichbar — die Kette funktioniert.
Prüfung…	Das Panel fragt gerade den Ausgangs-Hop ab. Warten Sie — der Status aktualisiert sich von selbst.
Ausgang nicht verbunden	Der Link zum Ausgangs-Hop wurde noch nicht eingefügt. Öffnen Sie den Eingangs-Hop zum Bearbeiten und fügen Sie den Link bemh://… ein.
Ausgang nicht erreichbar	Der Ausgangs-Hop antwortet nicht. Prüfen Sie, ob auf Installation B der Xray-Dienst läuft, der Server eingeschaltet und über das Netz erreichbar ist und sich Adresse und Port des Ausgangs nicht geändert haben.
Versionskonflikt	Die Xray-Version auf dem Ausgangs-Hop liegt unter der vom Link geforderten Mindestversion. Aktualisieren Sie das Xray-Modul auf Installation B und erzeugen Sie den Link für den Eingangs-Hop erneut.

Einen bestehenden Nutzer in einen Ausgangs-Hop umwandeln

Sie können auch einen bestehenden Nutzer in einen Ausgangs-Hop umwandeln — über den Dialog Bearbeiten, indem Sie Modus auf Multi-Hop und die Rolle auf Ausgangs-Hop ändern. Da ein Ausgangs-Hop keine eigene Konfiguration hat, bittet das Panel im Dialog In Ausgangs-Hop umwandeln um Bestätigung: Der Nutzer verliert seine Verbindungseinstellungen und eine aktive Verbindung wird getrennt. Hat der Nutzer verbundene Geräte, tun Sie dies bewusst — nach dem Wechsel gibt es für sie nichts mehr zu importieren.

Ausgangs-Hop neu verbinden und trennen

Die Verbindung des Eingangs-Hops zum Ausgang lässt sich jederzeit ändern:

• Mit einem anderen Ausgang neu verbinden. Holen Sie sich einen neuen Link bemh://… am gewünschten Ausgangs-Hop und fügen Sie ihn in das Feld Link zum Ausgangs-Hop des Eingangs-Hops ein — die bisherige Verbindung wird durch die neue ersetzt.
• Trennen. Klicken Sie in der ausgeklappten Zeile des Eingangs-Hops auf Trennen (oder leeren Sie das Link-Feld im Bearbeiten-Dialog). Der Nutzer kehrt zum direkten Ausgang ins Internet zurück — der Traffic läuft wieder über den Eingangs-Hop selbst, ohne den zweiten Server.

Beim Wechsel des Ausgangs importieren die Endgeräte nichts neu: Beim Eingangs-Hop bleibt sein bisheriger Link vless://… erhalten.

Was der Multi-Hop nicht leistet

• Er verbindet nicht die Verwaltung der beiden Panels. Die Installationen A und B bleiben unabhängig, und das Verbinden geschieht ausschließlich von Hand, über den Link. Es gibt keinen Rückkanal zwischen den Panels: Der Ausgangs-Hop weiß nicht, wer mit ihm verbunden ist.
• Er ersetzt keine Anonymisierung. Die Zielwebsite sieht die IP des Ausgangs-Hops — das ist ein Adresswechsel, keine Verschleierung der Identität.