Dein Gameserver läuft im VPN, und niemand kommt rein
Ein Tunnel ist kein eingehender Pfad. Wähle den Einstieg, den Spieler nutzen, und sorge dafür, dass die Antwort denselben Weg zurückgeht, bevor du die Bind-Adresse anfasst.
Der Server läuft, das VPN ist verbunden, und niemand von außen kommt hinein. Alle im Tunnel schon, was es wie eine Zugriffsregel aussehen lässt. Es fehlt keine Berechtigung, sondern ein Pfad: eine Adresse und ein Port, die Spieler erreichen, und eine Route, auf der die Antworten denselben Weg zurückkommen. Eine VPN-Ausstiegsadresse ist kein eingehendes Hosting-Feature.
Vier Wege, auf denen Spieler den Server erreichen
Die eigentliche Entscheidung ist, wer dein Publikum ist und wie seine Pakete hereinkommen, und es lohnt sich, vier Formen zu benennen.
| Design | Who can join | What it costs |
|---|---|---|
| Private VPN players | Only members of the tunnel | Every player needs a profile and identity |
| Provider public mapping | Anyone with the assigned address and port | Depends on supported protocol and mapping lifetime |
| Your own public relay | Anyone who can reach the relay | You run and secure the relay |
| Deliberate direct entry | Anyone who can reach your line | Split routing has to stay coherent |
Das private Design ist das einfachste und das unbequemste: autorisierte Spieler treten einem eingeschränkten Netzwerk bei und erreichen das Spiel unter seiner privaten Adresse. Gib ihnen Zugriff auf den Spieldienst, nicht eine gemeinsame Identität, die über jeden Host wandern kann, den du besitzt.
Das Relay-Design ist das, was Leute unterschätzen. Ein erreichbares Gateway nimmt öffentlichen Verkehr an und leitet ihn über einen privaten Tunnel an den Host weiter, sodass Spieler nie dem Backend-VPN beitreten. Das Relay muss den Transport des Spiels tragen, und ein HTTP-Proxy ist kein allgemeines UDP-Relay.
Verfolge die Antwort genauso sorgfältig wie die Ankunft
Notiere für jeden übersetzten Einstieg vier Dinge: die externe Adresse, das Protokoll, den Port und das interne Ziel. Referenz zur Portweiterleitung macht die Unterscheidung deutlich, über die Leute stolpern, indem sie die Zielübersetzung von der Firewall-Regel trennt, die Verkehr weiter zulässt. Konfiguriere das eine ohne das andere, und du bekommst ein Mapping, das korrekt aussieht und nichts durchlässt.
Prüfe dann den Rückweg. Eine weitergeleitete Anfrage kann einwandfrei ankommen und scheitern, weil der Host über einen anderen Ausgang antwortet. Ein Relay kann den Backend-Flow quellübersetzen oder die Quelle bewahren und sich auf Routing verlassen; das sind verschiedene Designs, und sie ändern, was der Spielhost als Adresse des Spielers sieht.
Verschlüsselung rettet keinen kaputten Rückweg. Sie schützt ein Segment, keine Topologie.
Was der Tunnel nicht privat macht
Anmeldung, Updates und Zulassungsrichtlinie des Spiels erledigen weiter ihre eigene Arbeit. Ein privater Backend-Tunnel macht einen absichtlich öffentlichen Einstieg nicht privat, und er verschlüsselt die Strecke vom Spieler zum öffentlichen Einstieg überhaupt nicht. Das sind zwei verschiedene Sprünge mit zwei verschiedenen Angriffsflächen, und eine Designnotiz, die sagt, das Spiel laufe über ein VPN, beschreibt genau einen davon.
Schreib auf, welche Strecke geschützt ist und welche nicht, bevor du die Adresse irgendwem ankündigst.
Wähle das Publikum vor der Adresse
Entscheide, wer beitreten können soll, und wähle dann das passende Design. Nur Freunde heißt der private Tunnel oder ein Relay mit Allowlist. Eine öffentliche Community heißt ein Relay oder ein direkter Einstieg mit echter Angriffsfläche, plus Moderation. Wenn das geklärt ist, nutze die dokumentierten Ports des Spiels und sein Verhalten für angekündigte Adressen innerhalb des gewählten Designs.
Sortiere VPN-Adapter nicht um, bis ein Test besteht. Das ergibt einen laufenden Server mit einem undokumentierten Pfad, den nach dem nächsten Update niemand nachbauen kann.
Der Test sind zwei Spieler, einer im Tunnel und einer draußen, beide schließen einen Beitritt und eine Runde Verkehr ab. Weniger beweist nicht, dass der Einstieg funktioniert.