Configurer un Xray VPN multi-hop dans BeAdmin

Le mode cascade relie deux installations BeAdmin indépendantes en une chaîne « entrée → sortie » : votre appareil se connecte au premier serveur, mais accède à Internet par le second. C'est utile lorsqu'un serveur Xray isolé cesse de fonctionner — son handshake REALITY a été détecté par la DPI, ou son IP est devenue injoignable. La cascade répartit le point de connexion et l'adresse de sortie sur des réseaux différents : ainsi, même si l'un d'eux tombe, l'autre reste hors d'atteinte.

Comment fonctionne la cascade

Pour un utilisateur Xray ordinaire, le trafic accède à Internet via l'IP de votre serveur, et le fournisseur voit la connexion vers ce même serveur. La cascade sépare les deux points par lesquels le serveur est visible de l'extérieur :

• Nœud d'entrée — ce que voit le fournisseur de l'utilisateur. Pour lui, c'est un serveur REALITY ordinaire, indiscernable d'un site web.
• Nœud de sortie — ce que voit Internet. Les sites de destination reçoivent les requêtes depuis l'IP du nœud de sortie, sur un autre réseau et, en général, dans un autre pays.

Ce n'est pas une anonymisation de niveau Tor : la chaîne ajoute exactement un nœud intermédiaire pour changer l'IP de sortie, rien de plus.

Ce qu'il vous faut

• Au moins deux serveurs avec BeAdmin dans des localisations différentes — sinon la cascade n'a aucun sens. Le module Xray doit être installé sur chacun. Appelons-les installation A (la future entrée) et installation B (la future sortie).
• Placez le nœud d'entrée plus près de l'utilisateur, idéalement dans le même pays : l'appareil s'y connecte directement, et plus ce tronçon est court, plus la liaison est stable. Le point éloigné est le nœud de sortie — c'est lui qui fournit l'IP de sortie voulue.
• Un accès en édition aux deux panneaux — la liaison se fait manuellement, en copiant un lien d'un panneau vers l'autre.

Si vous n'avez pas encore choisi les serveurs pour les nœuds d'entrée et de sortie, nous proposons des VPS sur NVMe avec accès root complet dans plusieurs pays — placez l'entrée près de l'utilisateur et la sortie dans la localisation souhaitée. Commander un VPS.

Créer le nœud de sortie sur l'installation B

La liaison est unidirectionnelle et se construit à la main : le nœud de sortie émet un lien spécial bemh://…, que vous copiez et collez dans le nœud d'entrée sur l'autre serveur. L'ordre est important — d'abord la sortie, puis l'entrée.

1. Sur l'installation B, ouvrez le module Xray et cliquez sur Créer un utilisateur.
2. Dans le champ Mode de fonctionnement, sélectionnez Cascade, puis dans le champ Rôle dans la cascade qui apparaît, sélectionnez Nœud de sortie. Remplissez les champs obligatoires et créez l'utilisateur.
3. Le nœud de sortie n'a ni lien ni QR code propre — à la place, la ligne dépliée affiche la mention « Nœud de sortie — aucun paramètre de connexion ». C'est normal : un tel utilisateur ne fait que transférer le trafic des autres vers Internet et ne se connecte pas directement lui-même.
4. Cliquez sur le bouton Lien pour le nœud d'entrée — le panneau génère et copie un lien de la forme bemh://…. Il encode les paramètres de connexion de ce nœud de sortie. Transmettez-le à l'installation A par tout moyen pratique.

Ligne du nœud de sortie : un bouton « Lien pour le nœud d'entrée » à la place d'un QR code

Créer le nœud d'entrée sur l'installation A

1. Sur l'installation A, ouvrez le module Xray et cliquez sur Créer un utilisateur.
2. Dans le champ Mode de fonctionnement, sélectionnez Cascade, puis dans le champ Rôle dans la cascade, sélectionnez Nœud d'entrée.
3. Dans le champ Lien vers le nœud de sortie qui apparaît, collez le lien bemh://… copié à l'étape précédente.
4. Remplissez les champs obligatoires et créez l'utilisateur.

Créer un nœud d'entrée : mode « Cascade », rôle « Nœud d'entrée » et le lien bemh:// collé

Le nœud d'entrée est un utilisateur à part entière, avec son propre lien vless://… et son QR code. Ce sont eux que vous transmettez à l'appareil final, comme pour un utilisateur ordinaire. Ensuite, le trafic suit la chaîne tout seul.

Vérifier l'état de la cascade

Dans la ligne dépliée du nœud d'entrée apparaît la tuile État de la cascade — elle indique si l'entrée parvient à joindre sa sortie. À côté, une fois la liaison établie, s'affiche une tuile avec l'adresse du nœud de sortie.

État	Signification et action
Actif	La liaison est établie et le nœud de sortie est joignable — la chaîne fonctionne.
Vérification…	Le panneau interroge actuellement le nœud de sortie. Patientez — l'état se mettra à jour tout seul.
Sortie non liée	Le lien vers le nœud de sortie n'a pas encore été collé. Ouvrez le nœud d'entrée en édition et collez le lien bemh://….
Sortie injoignable	Le nœud de sortie ne répond pas. Vérifiez que le service Xray tourne sur l'installation B, que le serveur est allumé et joignable sur le réseau, et que l'adresse et le port de sortie n'ont pas changé.
Incompatibilité de versions	La version de Xray sur le nœud de sortie est inférieure au minimum requis par le lien. Mettez à jour le module Xray sur l'installation B et régénérez le lien pour le nœud d'entrée.

Relier et délier le nœud de sortie

Vous pouvez modifier à tout moment la liaison du nœud d'entrée avec sa sortie :

• Relier à une autre sortie. Obtenez un nouveau lien bemh://… sur le nœud de sortie souhaité et collez-le dans le champ Lien vers le nœud de sortie du nœud d'entrée — la liaison précédente est remplacée par la nouvelle.
• Délier. Dans la ligne dépliée du nœud d'entrée, cliquez sur Délier (ou videz le champ du lien dans la boîte de dialogue de modification). L'utilisateur revient à une sortie Internet directe — le trafic repasse par le nœud d'entrée lui-même, sans le second serveur.

Lors d'un changement de sortie, les appareils finaux ne réimportent rien : le nœud d'entrée conserve son lien vless://… existant.

Ce que la cascade ne fait pas

• Elle ne fusionne pas la gestion des deux panneaux. Les installations A et B restent indépendantes, et toute la liaison est manuelle, via le lien. Il n'y a pas de canal retour entre les panneaux : le nœud de sortie ne sait pas qui lui est connecté.
• Elle ne remplace pas l'anonymisation. Le site de destination voit l'IP du nœud de sortie — c'est un changement d'adresse, pas un moyen de masquer votre identité.