Configurer un VPN Xray multi-hop dans BeAdmin

Le mode multi-hop relie deux installations BeAdmin indépendantes en une chaîne « entrée → sortie » : votre appareil se connecte au premier serveur, mais accède à internet par le second. C'est utile quand un serveur Xray isolé cesse de fonctionner — son handshake REALITY a été détecté par le DPI, ou son IP est devenue injoignable. La chaîne sépare le point de connexion et l'adresse de sortie sur des réseaux distincts : ainsi, même si l'un tombe, l'autre reste hors de portée.

Comment fonctionne la chaîne

Pour un utilisateur Xray ordinaire, le trafic atteint internet depuis l'IP de votre serveur, et le fournisseur d'accès voit la connexion vers ce même serveur. La chaîne sépare les deux points où le serveur est visible de l'extérieur :

• Nœud d'entrée — ce que voit le fournisseur d'accès de l'utilisateur. Pour lui, c'est un serveur REALITY ordinaire, impossible à distinguer d'un site web.
• Nœud de sortie — ce que voit internet. Les sites de destination reçoivent les requêtes depuis l'IP du nœud de sortie, sur un autre réseau et, en général, dans un autre pays.

Ce n'est pas une anonymisation de niveau Tor : la chaîne ajoute exactement un nœud intermédiaire pour changer l'IP de sortie, rien de plus.

Ce qu'il vous faut

• Au moins deux serveurs BeAdmin dans des localisations différentes — sinon la chaîne n'a pas de sens. Le module Xray doit être installé sur chacun. Appelons-les installation A (la future entrée) et installation B (la future sortie).
• Placez le nœud d'entrée plus près de l'utilisateur, idéalement dans le même pays : l'appareil s'y connecte directement, et plus ce tronçon est court, plus le lien est stable. Le point distant est le nœud de sortie — il fournit l'IP de sortie dont vous avez besoin.
• Un accès en édition aux deux panneaux — la liaison se fait manuellement, en copiant un lien d'un panneau vers l'autre.

Si vous n'avez pas encore choisi les serveurs pour les nœuds d'entrée et de sortie, Fornex propose des VPS sur NVMe avec accès root complet dans plusieurs pays — choisissez les localisations adaptées à votre configuration. Commander un VPS.

Créer le nœud de sortie sur l'installation B

La liaison est à sens unique et se fait à la main : le nœud de sortie émet un lien spécial bemh://…, que vous copiez et collez dans le nœud d'entrée sur l'autre serveur. L'ordre compte — la sortie d'abord, puis l'entrée.

1. Sur l'installation B, ouvrez le module Xray et cliquez sur Create user.
2. Dans le champ Mode, sélectionnez Multi-hop, puis dans le champ Role in the chain qui apparaît, sélectionnez Exit hop. Remplissez les champs requis et créez l'utilisateur.
3. Le nœud de sortie n'a ni lien ni QR code propres — à leur place, la ligne dépliée affiche une mention indiquant qu'il s'agit d'un nœud de sortie sans paramètres de connexion propres. C'est normal : un tel utilisateur ne fait que transmettre le trafic des autres vers internet et ne se connecte pas lui-même directement.
4. Cliquez sur Link for the entry hop — le panneau génère et copie un lien de la forme bemh://…. Il encode les paramètres de connexion de ce nœud de sortie. Transmettez-le à l'installation A par tout moyen pratique.

Ligne du nœud de sortie : un bouton « Link for the entry hop » à la place du QR code

Créer le nœud d'entrée sur l'installation A

1. Sur l'installation A, ouvrez le module Xray et cliquez sur Create user.
2. Dans le champ Mode, sélectionnez Multi-hop, puis dans le champ Role in the chain, sélectionnez Entry hop.
3. Dans le champ Exit hop link qui apparaît, collez le lien bemh://… copié à l'étape précédente.
4. Remplissez les champs requis et créez l'utilisateur.

Créer un nœud d'entrée : mode Multi-hop, rôle Entry hop et le lien bemh:// collé

Le nœud d'entrée est un utilisateur à part entière, avec son propre lien vless://… et son QR code. C'est ce que vous remettez à l'appareil final, comme pour un utilisateur ordinaire. À partir de là, le trafic suit la chaîne tout seul.

Vérifier le statut de la chaîne

Dans la ligne dépliée du nœud d'entrée apparaît une tuile Multi-hop status — elle indique si l'entrée parvient à joindre sa sortie. À côté, une fois la liaison établie, une tuile Exit hop affiche l'adresse du nœud de sortie.

Statut	Ce que cela signifie et que faire
Active	La liaison est établie et le nœud de sortie est joignable — la chaîne fonctionne.
Checking…	Le panneau interroge le nœud de sortie. Patientez — le statut se mettra à jour tout seul.
Exit not bound	Le lien du nœud de sortie n'a pas encore été collé. Ouvrez le nœud d'entrée en édition et collez le lien bemh://….
Exit unreachable	Le nœud de sortie ne répond pas. Vérifiez que le service Xray tourne sur l'installation B, que le serveur est allumé et joignable sur le réseau, et que l'adresse et le port de sortie n'ont pas changé.
Version mismatch	La version de Xray sur le nœud de sortie est inférieure au minimum requis par le lien. Mettez à jour le module Xray sur l'installation B et régénérez le lien pour le nœud d'entrée.

Convertir un utilisateur existant en nœud de sortie

Vous pouvez aussi transformer un utilisateur existant en nœud de sortie — via la boîte de dialogue Edit user, en passant Mode à Multi-hop et le rôle à Exit hop. Comme un nœud de sortie n'a pas de configuration propre, le panneau demande une confirmation dans une boîte de dialogue Convert to exit hop : l'utilisateur perd ses paramètres de connexion et toute connexion active est coupée. Si l'utilisateur a des appareils connectés, faites-le en connaissance de cause — après la bascule, il ne leur reste plus rien à importer.

Réassocier et dissocier le nœud de sortie

Vous pouvez modifier à tout moment la liaison du nœud d'entrée vers sa sortie :

• Réassocier à une autre sortie. Obtenez un nouveau lien bemh://… sur le nœud de sortie voulu et collez-le dans le champ Exit hop link du nœud d'entrée — le lien précédent est remplacé par le nouveau.
• Dissocier. Dans la ligne dépliée du nœud d'entrée, cliquez sur Unbind (ou videz le champ du lien dans la boîte de dialogue d'édition). L'utilisateur revient à une sortie directe vers internet — le trafic repasse par le nœud d'entrée lui-même, sans le second serveur.

Lorsque vous changez de sortie, les appareils finaux ne réimportent rien : le nœud d'entrée conserve son lien vless://… existant.

Ce que la chaîne ne fait pas

• Elle ne fusionne pas la gestion des deux panneaux. Les installations A et B restent indépendantes, et toute la liaison est manuelle, via le lien. Il n'y a pas de canal retour entre les panneaux : le nœud de sortie ne sait pas qui lui est connecté.
• Elle ne remplace pas l'anonymisation. Le site de destination voit l'IP du nœud de sortie — c'est un changement d'adresse, pas un moyen de cacher votre identité.