Minecraft über ein VPN: Welche Adresse gehört in die Serverliste?

Die VPN-Endpunktadresse in die Minecraft-Serverliste zu tippen wirkt logisch und scheitert jedes Mal, weil diese Adresse den Tunnel beendet und nicht das Spiel hostet. Ein Spieler, der mit demselben VPN verbunden ist, hat bereits einen Weg zum Spielhost, also muss der Eintrag den Host und den Port nennen, auf dem das Spiel lauscht. Bringen Sie diese beiden Angaben in Ordnung, und der Rest des Problems ist gewöhnliche Diensterreichbarkeit, eine viel kürzere Checkliste, als es zunächst scheint.

Zwei Adressen, zwei Aufgaben

Die eine Adresse ist öffentliche Infrastruktur: der Transportendpunkt, der verschlüsselte Pakete zwischen Peers befördert. Die andere ist eine private Adresse der Maschine, die den dedizierten Server betreibt. Sie sind nicht austauschbar, und die eine durch die andere zu ersetzen erzeugt eine abgelehnte Verbindung oder einen Timeout, der wie ein Firewallproblem aussieht.

Mit dem Standardport tippt der Spieler 10.60.0.20:25565 und sonst nichts. Mojangs Java-Server-Downloadseite nennt 25565 als Standard, und einem Serverbetreiber, der den Port geändert hat, muss man glauben, statt es anhand einer alten Anleitung anzuzweifeln.

Machen Sie diese Adresse zu einem echten Dienst

Eine erreichbare Adresse ist notwendig und nicht ausreichend. Der dedizierte Server muss laufen, mit der Version kompatibel sein, die der Client des Spielers ausführt, und auf einer Adresse lauschen, an die der Tunnel zustellen kann. Ein Prozess, der nur an Loopback gebunden ist, wird nicht dadurch erreichbar, dass jemand der Maschine eine weitere Adresse hinzufügt.

Bestätigen Sie den Listener, bevor Sie eine Firewall anfassen:

ss -lntp | grep 25565
nc -vz 10.60.0.20 25565

Die erste Zeile zeigt, woran der Prozess tatsächlich gebunden ist, und die zweite zeigt, ob ein Peer einen TCP-Handshake abschließen kann. Wenn die Bindung 127.0.0.1 ist, ändert keine Menge an VPN-Konfiguration das Ergebnis, und dieses eine Detail erklärt eine überraschende Zahl von Meldungen «das VPN ist kaputt».

Peer-Richtlinie, Firewall und der Rückweg

Zwei Berechtigungsfragen stehen über dem Listener. Die Peer-Konfiguration des VPN muss Verkehr zwischen den beiden Peers erlauben, und die Firewall des Spielhosts muss den Spielport von diesem Peer annehmen. Halten Sie beides auf den Spieldienst und die autorisierten Peers beschränkt, statt die Host-Firewall abzuschalten, was eine Regel mit zwei Zeilen gegen ein viel größeres Problem eintauscht. Enge Regeln sind auch die einzige Variante davon, die eine Sicherheitsprüfung ohne einen Absatz Begründung übersteht.

Denken Sie dann daran, was ein erfolgreicher Ping beweist. Den VPN-Gateway zu erreichen oder eine Antwort vom Spielhost zu bekommen zeigt nur, dass ICMP den Pfad überquert hat. Eine Spielverbindung braucht den konkreten Port in beide Richtungen offen, und der Rückweg zählt genauso viel wie der Hinweg.

Wenn der Server hinter dem Gateway steht

Im obigen Beispiel ist der Spielserver ein Peer, was den Adressplan trivial hält. Liegt der Server stattdessen in einem LAN hinter einem VPN-Gateway, braucht der Spieler die routbare private Adresse des Servers, das Gateway braucht Weiterleitung für dieses LAN, und der LAN-Host braucht eine Route zurück zum getunnelten Client. Fehlt der Rückweg, stirbt der Handshake auf halbem Weg, was der verwirrendste der drei Fehler ist.

Kopieren Sie die Beispiel-Peer-Adresse nicht auf eine andere Maschine, um diese Topologie nachzubilden. Adressen in einem Beispiel beschreiben Rollen, und dieselbe Adresse in zwei Rollen wiederzuverwenden erzeugt eine Überlappung, die Routing nicht auflösen kann.

Erkennung, Konten und was Sie nicht ändern sollten

Automatische LAN-Erkennung ist ein Komfort, der auf Ankündigungen aufbaut. Ein geroutetes VPN muss diese Broadcasts nicht tragen, daher sagt ein fehlender Eintrag in der LAN-Liste nichts darüber aus, ob die explizite private Adresse funktioniert. Tippen Sie die Adresse ein, und urteilen Sie dann. Wenn sie verbindet, ist die Erkennungslücke ein Komfortproblem und kein Fehler, und sie kann als solches dokumentiert werden, statt untersucht zu werden.

Halten Sie auch die normale Kontoauthentifizierung und Zulassungsrichtlinie des Spiels intakt. Eine funktionierende private Route gewährt einen Weg, keine Mitgliedschaft, und kein Umsortieren der Adapterpriorität ersetzt die Bestimmung des Ziels, das der Client verwenden sollte.