Configurar una VPN Amnezia multi-hop en BeAdmin

Con el modo multi-hop, dos instalaciones BeAdmin distintas funcionan como una sola ruta: el dispositivo se conecta al servidor más cercano, mientras que la salida real a internet ocurre en el más lejano. Es a lo que recurres cuando un único servidor AmneziaWG ya no basta — su IP se volvió inalcanzable, o simplemente necesitas que el tráfico salga en un país concreto. Al repartir la entrada y la salida entre dos redes, un problema en un extremo no arrastra al otro.

Cómo funciona la cadena

Normalmente un cliente AmneziaWG y la internet abierta se encuentran en un solo lugar — tu servidor. Cada sitio que visitas registra la IP de ese servidor, y tu proveedor ve una conexión dirigida a él. Una cadena separa esos dos roles:

• Nodo de entrada — el lado que observa tu proveedor. En el cable es solo tráfico AmneziaWG ofuscado, difícil de distinguir del ruido aleatorio.
• Nodo de salida — el lado que ve el destino. Los sitios registran la solicitud como procedente de la IP de este nodo, normalmente en una red ajena y en otro país.

Esto no te da una superposición al estilo de Tor — es un único nodo adicional, lo justo para reubicar la IP de salida y nada más.

Qué necesitas

• Dos servidores BeAdmin, en ubicaciones distintas. Una cadena solo merece la pena cuando sus dos extremos están en redes separadas, así que una sola máquina no sirve. Instala el módulo Amnezia en ambos — llamémoslos instalación A (entrada) e instalación B (salida).
• Mantén el nodo de entrada cerca del usuario, idealmente en el mismo país. Ese primer tramo es el que el dispositivo mantiene abierto: cuanto más corto, más estable es el enlace. El servidor lejano se convierte en el nodo de salida, elegido por la IP que quieres mostrar a internet.
• Necesitas permisos de edición en ambos paneles. No hay emparejamiento automático — enlazas los dos a mano, llevando un enlace de un panel al otro.

¿Aún no tienes los dos servidores? Fornex alquila VPS sobre NVMe con acceso root completo en toda una serie de países — elige las ubicaciones que pida tu configuración: una cerca del usuario, otra para la salida. Pedir un VPS.

Crear el nodo de salida en la instalación B

El emparejamiento va en un solo sentido, y lo gobiernas a mano: el nodo de salida acuña un enlace awgmh://…, que llevas y pegas en el nodo de entrada del otro servidor. Construye primero el extremo de salida, la entrada después.

1. En la instalación B, abre el módulo Amnezia y pulsa Create user.
2. Pon Mode en Multi-hop — aparece un selector Role in the chain; elige Exit hop. Rellena el resto y guarda.
3. Un nodo de salida no tiene configuración ni código QR propios; su fila expandida lo dice tal cual — una nota que indica que no tiene ajustes de conexión. Es a propósito: solo reenvía el tráfico entrante y nunca se conecta por su cuenta.
4. Pulsa Link for the entry hop. El panel construye un enlace awgmh://… y lo copia al portapapeles — lleva los datos de conexión de este nodo. Hazlo llegar a la instalación A por el medio que te convenga.

Fila del nodo de salida: un botón «Link for the entry hop» en lugar del código QR

Crear el nodo de entrada en la instalación A

1. En la instalación A, abre el módulo Amnezia y pulsa Create user.
2. Pon Mode en Multi-hop, luego elige Entry hop en Role in the chain.
3. Aparece un campo Exit hop link — pega en él el enlace awgmh://… del paso anterior.
4. Completa los campos restantes y guarda.

Crear un nodo de entrada: modo Multi-hop, rol Entry hop y el enlace awgmh:// pegado

A diferencia de su homólogo de salida, el nodo de entrada es un usuario normal y conectable. Expande su fila y encontrarás dos códigos QR — uno en cada una de las pestañas AmneziaVPN y AmneziaWG — más un .conf descargable. Se los entregas al dispositivo final igual que a cualquier usuario; a partir de ahí el tráfico enhebra la cadena por sí solo.

Comprobar el estado de la cadena

Expande el nodo de entrada y verás un recuadro Multi-hop status que informa de si realmente logra alcanzar su salida. Una vez establecido el enlace, un recuadro Exit hop al lado muestra la dirección de la salida.

Estado	Qué significa y qué hacer
Active	El enlace está activo y la salida responde — la cadena está en marcha.
Checking…	El panel todavía está sondeando la salida. Dale un momento; se actualiza solo.
Exit not bound	Aún no se ha pegado ningún enlace. Edita el nodo de entrada y añade el enlace awgmh://….
Exit unreachable	La salida no responde. Comprueba que en la instalación B el servicio Amnezia esté en marcha, que el servidor esté en línea y accesible por la red, y que su dirección y su puerto no hayan cambiado.

Convertir un usuario existente en nodo de salida

Un usuario existente también puede asumir el rol de salida: abre Edit user, cambia Mode a Multi-hop y el rol a Exit hop. Como un nodo de salida no conserva configuración, el panel se detiene para confirmar con un mensaje Convert to exit hop — al guardar se borran los ajustes de conexión del usuario y se corta cualquier sesión activa. Si hay dispositivos usando ese usuario, sopésalo primero: una vez convertido, no les queda nada que reimportar.

Revincular y desvincular el nodo de salida

La salida a la que apunta una entrada dada no es fija:

• Apuntarla a otra salida. Genera un enlace awgmh://… nuevo en el nuevo nodo de salida y pégalo en el campo Exit hop link de la entrada, en el cuadro de diálogo de edición; la vinculación anterior cede su lugar a la nueva. El campo se abre siempre vacío — el enlace es un secreto que el panel no muestra dos veces —, por eso la vinculación actual se indica en la línea Bound to … justo encima.
• Quitar la salida por completo. En la fila expandida del nodo de entrada, pulsa Unbind. El usuario vuelve a una salida directa a internet a través de la propia entrada, con el segundo servidor fuera de juego.

Cambiar de salida nunca toca los dispositivos finales — la entrada conserva los mismos códigos QR y el mismo .conf, así que no hay nada que reimportar.

Qué no hace la cadena

• No fusiona los dos paneles en uno. A y B siguen siendo instalaciones distintas, y cada enlace se tiende a mano. Tampoco fluye nada en sentido contrario — el nodo de salida no tiene idea de qué entradas lo alimentan.
• No es anonimato. Todo lo que ve un visitante es la IP del nodo de salida — has cambiado de dirección, no borrado tu rastro.