Configurar una VPN Xray multi-hop en BeAdmin

El modo multi-hop enlaza dos instalaciones independientes de BeAdmin en una cadena «entrada → salida»: tu dispositivo se conecta al primer servidor, pero llega a internet a través del segundo. Resulta útil cuando un servidor Xray aislado deja de funcionar — su handshake REALITY ha sido detectado por el DPI, o su IP se ha vuelto inalcanzable. La cadena separa el punto de conexión y la dirección de salida en redes distintas, de modo que, aunque una caiga, la otra queda fuera de alcance.

Cómo funciona la cadena

Para un usuario normal de Xray, el tráfico llega a internet desde la IP de tu servidor, y el proveedor ve la conexión a ese mismo servidor. La cadena separa los dos puntos donde el servidor es visible desde fuera:

• Nodo de entrada — lo que ve el proveedor del usuario. Para él es un servidor REALITY corriente, indistinguible de un sitio web.
• Nodo de salida — lo que ve internet. Los sitios de destino reciben las solicitudes desde la IP del nodo de salida, en otra red y normalmente en otro país.

No es una anonimización al nivel de Tor: la cadena añade exactamente un nodo intermedio para cambiar la IP de salida, nada más.

Qué necesitas

• Al menos dos servidores BeAdmin en ubicaciones distintas — de lo contrario la cadena no tiene sentido. El módulo Xray debe estar instalado en cada uno. Llamémoslos instalación A (la futura entrada) e instalación B (la futura salida).
• Coloca el nodo de entrada más cerca del usuario, idealmente en el mismo país: el dispositivo se conecta a él directamente, y cuanto más corto sea este tramo, más estable será el enlace. El punto lejano es el nodo de salida — proporciona la IP de salida que necesitas.
• Acceso de edición a ambos paneles — la vinculación se hace manualmente, copiando un enlace de un panel al otro.

Si aún no has elegido los servidores para los nodos de entrada y salida, Fornex ofrece VPS sobre NVMe con acceso root completo en varios países — elige las ubicaciones que pida tu configuración. Pedir un VPS.

Crear el nodo de salida en la instalación B

La vinculación es unidireccional y se hace a mano: el nodo de salida emite un enlace especial bemh://…, que copias y pegas en el nodo de entrada del otro servidor. El orden importa — primero la salida, luego la entrada.

1. En la instalación B, abre el módulo Xray y haz clic en Create user.
2. En el campo Mode selecciona Multi-hop, y en el campo Role in the chain que aparece selecciona Exit hop. Rellena los campos obligatorios y crea el usuario.
3. El nodo de salida no tiene enlace ni código QR propios — en su lugar, la fila expandida muestra una nota que indica que es un nodo de salida sin ajustes de conexión propios. Es normal: un usuario así solo reenvía el tráfico ajeno a internet y no se conecta directamente él mismo.
4. Haz clic en Link for the entry hop — el panel genera y copia un enlace con la forma bemh://…. En él se codifican los parámetros de conexión de este nodo de salida. Envíalo a la instalación A por cualquier medio que te resulte cómodo.

Fila del nodo de salida: un botón «Link for the entry hop» en lugar del código QR

Crear el nodo de entrada en la instalación A

1. En la instalación A, abre el módulo Xray y haz clic en Create user.
2. En el campo Mode selecciona Multi-hop, y en el campo Role in the chain selecciona Entry hop.
3. En el campo Exit hop link que aparece, pega el enlace bemh://… copiado en el paso anterior.
4. Rellena los campos obligatorios y crea el usuario.

Crear un nodo de entrada: modo Multi-hop, rol Entry hop y el enlace bemh:// pegado

El nodo de entrada es un usuario de pleno derecho, con su propio enlace vless://… y código QR. Eso es lo que entregas al dispositivo final, igual que a un usuario normal. A partir de ahí, el tráfico sigue la cadena por sí solo.

Comprobar el estado de la cadena

En la fila expandida del nodo de entrada aparece un recuadro Multi-hop status — indica si la entrada logra alcanzar su salida. Al lado, una vez establecida la vinculación, aparece un recuadro Exit hop con la dirección del nodo de salida.

Estado	Qué significa y qué hacer
Active	La vinculación está activa y el nodo de salida es alcanzable — la cadena funciona.
Checking…	El panel está consultando el nodo de salida. Espera — el estado se actualizará solo.
Exit not bound	El enlace del nodo de salida aún no se ha pegado. Abre el nodo de entrada en edición y pega el enlace bemh://….
Exit unreachable	El nodo de salida no responde. Comprueba que en la instalación B el servicio Xray esté en marcha, que el servidor esté encendido y accesible por la red, y que la dirección y el puerto de salida no hayan cambiado.
Version mismatch	La versión de Xray en el nodo de salida es inferior al mínimo que exige el enlace. Actualiza el módulo Xray en la instalación B y vuelve a generar el enlace para el nodo de entrada.

Convertir un usuario existente en nodo de salida

También puedes convertir un usuario existente en nodo de salida — a través del cuadro de diálogo Edit user, cambiando Mode a Multi-hop y el rol a Exit hop. Como un nodo de salida no tiene configuración propia, el panel pide confirmación en un cuadro de diálogo Convert to exit hop: el usuario pierde sus ajustes de conexión y cualquier conexión activa se corta. Si el usuario tiene dispositivos conectados, hazlo con conocimiento de causa — tras el cambio ya no les queda nada que importar.

Revincular y desvincular el nodo de salida

Puedes cambiar en cualquier momento la vinculación del nodo de entrada con su salida:

• Revincular a otra salida. Obtén un nuevo enlace bemh://… en el nodo de salida deseado y pégalo en el campo Exit hop link del nodo de entrada — el enlace anterior se sustituye por el nuevo.
• Desvincular. En la fila expandida del nodo de entrada, haz clic en Unbind (o vacía el campo del enlace en el cuadro de diálogo de edición). El usuario vuelve a una salida directa a internet — el tráfico pasa de nuevo por el propio nodo de entrada, sin el segundo servidor.

Cuando cambias de salida, los dispositivos finales no reimportan nada: el nodo de entrada conserva su enlace vless://… existente.

Qué no hace la cadena

• No unifica la gestión de los dos paneles. Las instalaciones A y B siguen siendo independientes, y toda la vinculación es manual, mediante el enlace. No hay canal de retorno entre los paneles: el nodo de salida no sabe quién está conectado a él.
• No sustituye a la anonimización. El sitio de destino ve la IP del nodo de salida — es un cambio de dirección, no una forma de ocultar tu identidad.