Minecraft праз VPN: які адрас паказваць у спісе сервераў?

Уводзіць канцавы пункт VPN у спіс сервераў Minecraft здаецца лагічным і кожны раз не спрацоўвае, бо гэты адрас завяршае тунэль, а не размяшчае гульню. Гулец, далучаны да таго ж VPN, ужо мае шлях да хоста гульні, таму запіс павінен назваць хост і порт, на якім слухае гульня. Зрабіце гэтыя дзве рэчы правільна, і ўсё астатняе — звычайная дасяжнасць сэрвісу, а гэта значна карацейшы спіс праверак, чым здаецца спачатку.

Два адрасы, дзве задачы

Адзін адрас — публічная інфраструктура: транспартны канцавы пункт, які пераносіць зашыфраваныя пакеты паміж аднарангавымі вузламі. Другі — прыватны адрас машыны, якая запускае вылучаны сервер. Яны не ўзаемазаменныя, і падмена аднаго другім дае адмову ў злучэнні або тайм-аўт, які выглядае як праблема з фаерволам.

Са стандартным портам гулец уводзіць 10.60.0.20:25565 і нічога больш. Старонка спампоўкі Java-сервера ад Mojang называе 25565 стандартным, і аператару сервера, які змяніў порт, трэба верыць, а не пераправяраць па старым падручніку.

Зрабіце гэты адрас сапраўдным сэрвісам

Дасяжны адрас неабходны і недастатковы. Вылучаны сервер павінен працаваць, быць сумяшчальным з версіяй, якую запускае кліент гульца, і слухаць адрас, да якога тунэль можа даставіць. Працэс, прывязаны толькі да loopback, не становіцца дасяжным таму, што хтосьці дадаў машыне яшчэ адзін адрас.

Пераканайцеся ў слухачу, перш чым чапаць фаервол:

ss -lntp | grep 25565
nc -vz 10.60.0.20 25565

Першы радок паказвае, да чаго працэс насамрэч прывязаўся, а другі — ці можа аднарангавы вузел завяршыць TCP-рукапоціск. Калі прывязка — 127.0.0.1, ніякая колькасць наладаў VPN не зменіць вынік, і гэтая адзіная дэталь тлумачыць дзіўна вялікую колькасць скарг «VPN зламаўся».

Палітыка вузлоў, фаервол і зваротны шлях

Над слухачом стаяць два пытанні дазволаў. Налады аднарангавых вузлоў VPN павінны дазваляць трафік паміж двума вузламі, а фаервол хоста гульні павінен прымаць порт гульні ад гэтага вузла. Трымайце абодва абмежаванымі сэрвісам гульні і дазволенымі вузламі, замест таго каб адключаць фаервол хоста, што абменьвае правіла ў два радкі на значна большую праблему. Вузкія правілы — таксама адзіная версія гэтага, якая праходзіць аўдыт бяспекі без абзаца апраўданняў.

Затым успомніце, што даказвае паспяховы ping. Дасягненне шлюза VPN або атрыманне адказу ад хоста гульні даказвае толькі, што ICMP прайшоў шлях. Для злучэння гульні патрэбны канкрэтны порт, адкрыты ў абодвух кірунках, і зваротны шлях важны не менш за зыходны.

Калі сервер стаіць за шлюзам

У прыведзеным вышэй прыкладзе сервер гульні з'яўляецца вузлом, што робіць план адрасаў простым. Калі ж сервер знаходзіцца ў лакальнай сетцы за шлюзам VPN, гульцу патрэбны маршрутызавальны прыватны адрас сервера, шлюзу трэба наладзіць перанакіраванне для гэтай сеткі, а хост у лакальнай сетцы мае патрэбу ў маршруце назад да кліента ў тунэлі. Прапусціце зваротны шлях — і рукапоціск памрэ на паўдарозе, што з'яўляецца самым заблытаным збоем з трох.

Не капіруйце адрас вузла з прыкладу на іншую машыну, каб паўтарыць гэтую тапалогію. Адрасы ў прыкладзе апісваюць ролі, і паўторнае выкарыстанне аднаго адраса ў двух ролях стварае перакрыццё, якое маршрутызацыя не можа вырашыць.

Выяўленне, уліковыя запісы і што не трэба мяняць

Аўтаматычнае выяўленне лакальнай сеткі — зручнасць, пабудаваная на аб'явах. Маршрутызаваны VPN не абавязаны пераносіць гэтыя шырокавяшчальныя пакеты, таму адсутнасць запісу ў спісе лакальнай сеткі нічога не кажа пра тое, ці працуе яўны прыватны адрас. Увядзіце адрас, потым рабіце выснову. Калі злучэнне ўстанаўліваецца, прагал у выяўленні — гэта нязручнасць, а не няспраўнасць, і яго можна задокументаваць менавіта так, замест таго каб даследаваць.

Захавайце таксама нязменнымі звычайную аўтэнтыфікацыю ўліковага запісу і палітыку допуску гульні. Працуючы прыватны маршрут дае шлях, а не членства, і ніякае ператасоўванне прыярытэтаў адаптара не заменіць вызначэння прызначэння, якое павінен выкарыстоўваць кліент.