Xray Multi-Hop-VPN in BeAdmin einrichten

Der Kaskadenmodus verbindet zwei unabhängige BeAdmin-Installationen zu einer Kette „Eingang → Ausgang": Ihr Gerät verbindet sich mit dem ersten Server, gelangt aber über den zweiten ins Internet. Das hilft, wenn ein einzelner Xray-Server nicht mehr funktioniert — sein REALITY-Handshake wurde von der DPI erkannt oder seine IP ist nicht mehr erreichbar. Die Kaskade trennt den Verbindungspunkt und die Ausgangsadresse auf verschiedene Netze auf, sodass selbst beim Ausfall des einen der andere außer Reichweite bleibt.

So funktioniert die Kaskade

Bei einem normalen Xray-Benutzer gelangt der Traffic über die IP Ihres Servers ins Internet, und der Provider sieht die Verbindung zu eben diesem Server. Die Kaskade trennt die beiden Punkte, an denen der Server von außen sichtbar ist:

• Eingangsknoten — das, was der Provider des Benutzers sieht. Für ihn ist dies ein gewöhnlicher REALITY-Server, von einer Website nicht zu unterscheiden.
• Ausgangsknoten — das, was das Internet sieht. Die Zielseiten erhalten Anfragen von der IP des Ausgangsknotens, in einem anderen Netz und in der Regel in einem anderen Land.

Das ist keine Anonymisierung auf Tor-Niveau: Die Kette fügt genau einen Zwischenknoten hinzu, um die Ausgangs-IP zu wechseln — mehr nicht.

Was Sie brauchen

• Mindestens zwei Server mit BeAdmin an verschiedenen Standorten — sonst ergibt die Kaskade keinen Sinn. Auf jedem muss das Xray-Modul installiert sein. Nennen wir sie Installation A (künftiger Eingang) und Installation B (künftiger Ausgang).
• Den Eingangsknoten näher am Benutzer platzieren, idealerweise im selben Land: Das Gerät verbindet sich direkt mit ihm, und je kürzer diese Strecke, desto stabiler die Verbindung. Der entfernte Punkt ist der Ausgangsknoten — er liefert die gewünschte Ausgangs-IP.
• Bearbeitungszugriff auf beide Panels — die Verknüpfung erfolgt manuell, indem ein Link aus einem Panel in das andere kopiert wird.

Falls Sie noch keine Server für Eingangs- und Ausgangsknoten ausgewählt haben: Wir bieten NVMe-basierte VPS mit vollem Root-Zugriff in mehreren Ländern — platzieren Sie den Eingang nah am Benutzer und den Ausgang am gewünschten Standort. VPS bestellen.

Ausgangsknoten auf Installation B erstellen

Die Verknüpfung ist einseitig und wird von Hand aufgebaut: Der Ausgangsknoten gibt einen speziellen Link bemh://… aus, den Sie kopieren und in den Eingangsknoten auf dem anderen Server einfügen. Die Reihenfolge ist wichtig — zuerst Ausgang, dann Eingang.

1. Öffnen Sie auf Installation B das Xray-Modul und klicken Sie auf Benutzer erstellen.
2. Wählen Sie im Feld Betriebsmodus die Option Kaskade und im daraufhin erscheinenden Feld Rolle in der Kaskade die Option Ausgangsknoten. Füllen Sie die Pflichtfelder aus und erstellen Sie den Benutzer.
3. Der Ausgangsknoten hat keinen eigenen Link und keinen QR-Code — stattdessen steht in der aufgeklappten Zeile der Hinweis „Ausgangsknoten — keine Verbindungseinstellungen". Das ist normal: Ein solcher Benutzer leitet nur fremden Traffic ins Internet weiter und verbindet sich nicht selbst direkt.
4. Klicken Sie auf die Schaltfläche Link für den Eingangsknoten — das Panel generiert und kopiert einen Link der Form bemh://…. Darin sind die Verbindungsparameter dieses Ausgangsknotens hinterlegt. Übermitteln Sie ihn auf beliebigem Weg an Installation A.

Zeile des Ausgangsknotens: eine Schaltfläche „Link für den Eingangsknoten" statt eines QR-Codes

Eingangsknoten auf Installation A erstellen

1. Öffnen Sie auf Installation A das Xray-Modul und klicken Sie auf Benutzer erstellen.
2. Wählen Sie im Feld Betriebsmodus die Option Kaskade und im Feld Rolle in der Kaskade die Option Eingangsknoten.
3. Fügen Sie in das daraufhin erscheinende Feld Link zum Ausgangsknoten den im vorherigen Schritt kopierten Link bemh://… ein.
4. Füllen Sie die Pflichtfelder aus und erstellen Sie den Benutzer.

Eingangsknoten erstellen: Modus „Kaskade", Rolle „Eingangsknoten" und der eingefügte Link bemh://

Der Eingangsknoten ist ein vollwertiger Benutzer mit eigenem Link vless://… und QR-Code. Genau diese geben Sie wie bei einem normalen Benutzer an das Endgerät weiter. Von da an folgt der Traffic der Kette von selbst.

Kaskadenstatus prüfen

In der aufgeklappten Zeile des Eingangsknotens erscheint die Kachel Kaskadenstatus — sie zeigt an, ob der Eingang seinen Ausgang erreicht. Daneben erscheint, sobald die Verknüpfung eingerichtet ist, eine Kachel mit der Adresse des Ausgangsknotens.

Status	Bedeutung und was zu tun ist
Aktiv	Die Verbindung steht und der Ausgangsknoten ist erreichbar — die Kette funktioniert.
Wird geprüft…	Das Panel fragt gerade den Ausgangsknoten ab. Warten Sie — der Status aktualisiert sich von selbst.
Ausgang nicht verknüpft	Der Link zum Ausgangsknoten wurde noch nicht eingefügt. Öffnen Sie den Eingangsknoten zur Bearbeitung und fügen Sie den Link bemh://… ein.
Ausgang nicht erreichbar	Der Ausgangsknoten antwortet nicht. Prüfen Sie, ob der Xray-Dienst auf Installation B läuft, der Server eingeschaltet und über das Netz erreichbar ist und sich Adresse und Port des Ausgangs nicht geändert haben.
Versionskonflikt	Die Xray-Version auf dem Ausgangsknoten liegt unter der vom Link geforderten Mindestversion. Aktualisieren Sie das Xray-Modul auf Installation B und generieren Sie den Link für den Eingangsknoten erneut.

Neu verknüpfen und Verknüpfung lösen

Sie können die Verknüpfung des Eingangsknotens mit seinem Ausgang jederzeit ändern:

• Mit einem anderen Ausgang neu verknüpfen. Holen Sie sich einen neuen Link bemh://… am gewünschten Ausgangsknoten und fügen Sie ihn in das Feld Link zum Ausgangsknoten des Eingangsknotens ein — die bisherige Verknüpfung wird durch die neue ersetzt.
• Verknüpfung lösen. Klicken Sie in der aufgeklappten Zeile des Eingangsknotens auf Verknüpfung lösen (oder leeren Sie das Link-Feld im Bearbeitungsdialog). Der Benutzer kehrt zum direkten Internetausgang zurück — der Traffic läuft wieder über den Eingangsknoten selbst, ohne den zweiten Server.

Beim Wechsel des Ausgangs importieren die Endgeräte nichts neu: Der Eingangsknoten behält seinen bisherigen Link vless://….

Was die Kaskade nicht leistet

• Sie führt die Verwaltung der beiden Panels nicht zusammen. Die Installationen A und B bleiben unabhängig, und die gesamte Verknüpfung erfolgt manuell über den Link. Zwischen den Panels gibt es keinen Rückkanal: Der Ausgangsknoten weiß nicht, wer mit ihm verbunden ist.
• Sie ersetzt keine Anonymisierung. Die Zielseite sieht die IP des Ausgangsknotens — es ist ein Adresswechsel, kein Verbergen Ihrer Identität.