Minecraft през VPN: кой адрес се въвежда в списъка със сървъри?

Въвеждането на крайната точка на VPN в списъка със сървъри на Minecraft изглежда логично и се проваля всеки път, защото този адрес прекратява тунела, а не хоства играта. Играч, свързан към същия VPN, вече има път до хоста на играта, така че записът трябва да посочи хоста и порта, на който играта слуша. Направете тези две неща правилно и останалото е обикновена достъпност на услугата, което е много по-кратък списък за проверка, отколкото изглежда първоначално.

Два адреса, две задачи

Единият адрес е публична инфраструктура: транспортната крайна точка, която пренася криптирани пакети между партньорите. Другият е частен адрес на машината, която изпълнява отделния сървър. Те не са взаимозаменяеми и замяната на единия с другия води до отказ на връзка или изчакване, което изглежда като проблем със защитната стена.

С порта по подразбиране играчът въвежда 10.60.0.20:25565 и нищо друго. Страницата за изтегляне на Java сървъра на Mojang посочва 25565 като порт по подразбиране и на оператора, който е сменил порта, трябва да се вярва, вместо да се проверява по стар урок.

Направете този адрес истинска услуга

Достъпният адрес е необходим и недостатъчен. Отделният сървър трябва да работи, да е съвместим с версията, която използва клиентът на играча, и да слуша на адрес, до който тунелът може да достави. Процес, вързан само към loopback, не става достъпен, защото някой е добавил друг адрес към машината.

Потвърдете слушателя, преди да пипате защитната стена:

ss -lntp | grep 25565
nc -vz 10.60.0.20 25565

Първият ред показва към какво действително се е вързал процесът, а вторият — дали партньорът може да завърши TCP ръкостискане. Когато връзката е към 127.0.0.1, никаква настройка на VPN не променя резултата и тази единствена подробност обяснява изненадващ брой оплаквания „VPN е счупен“.

Политика за партньорите, защитна стена и обратен път

Два въпроса за разрешения стоят над слушателя. Конфигурацията на партньорите във VPN трябва да разрешава трафик между двамата партньори, а защитната стена на хоста на играта трябва да приема порта на играта от този партньор. Дръжте и двете ограничени до услугата на играта и оторизираните партньори, вместо да изключвате защитната стена на хоста, което заменя правило на два реда с много по-голям проблем. Тесните правила са и единствената версия на това, която минава през проверка за сигурност без абзац обосновка.

После помнете какво доказва успешният ping. Достигането на VPN шлюза или получаването на отговор от хоста на играта доказва само, че ICMP е преминал по пътя. Връзката на играта изисква конкретният порт да е отворен в двете посоки, а обратният път е толкова важен, колкото и изходящият.

Когато сървърът е зад шлюза

В горния пример сървърът на играта е партньор, което прави адресния план тривиален. Ако вместо това сървърът е в локална мрежа зад VPN шлюз, на играча му трябва маршрутизируемият частен адрес на сървъра, шлюзът трябва да има настроено пренасочване за тази мрежа и хостът в локалната мрежа се нуждае от маршрут обратно към клиента в тунела. Пропуснете обратния път и ръкостискането умира по средата, което е най-объркващата от трите повреди.

Не копирайте примерния адрес на партньора на друга машина, за да имитирате тази топология. Адресите в примера описват роли и повторното използване на един адрес в две роли създава припокриване, което маршрутизацията не може да реши.

Откриване, акаунти и какво да не променяте

Автоматичното откриване в локалната мрежа е удобство, изградено върху съобщения. Маршрутизираният VPN не е длъжен да носи тези broadcast пакети, така че липсващ запис в списъка на локалната мрежа не казва нищо за това дали изричният частен адрес работи. Въведете адреса, после съдете. Ако се свърже, пропускът в откриването е неудобство за използваемостта, а не повреда, и може да се документира като такъв, вместо да се разследва.

Пазете непокътната и нормалната автентикация на акаунта и политиката за допускане на играта. Работещият частен маршрут дава път, не членство, и никакво разбъркване на приоритетите на адаптера не замества идентифицирането на дестинацията, която клиентът трябва да използва.