Je spelserver staat op de VPN en niemand kan meedoen
Een tunnel is geen inkomend pad. Kies de ingang die spelers gebruiken en zorg dat het antwoord dezelfde weg teruggaat, voordat je het bindadres aanraakt.
De server draait, de VPN is verbonden en niemand van buiten kan meedoen. Iedereen binnen de tunnel kan het wel, waardoor het op een toegangsregel lijkt. Wat ontbreekt is geen toestemming maar een pad: een adres en poort die spelers kunnen bereiken, en een route waarlangs de antwoorden dezelfde weg teruggaan. Een VPN-uitgangsadres is geen functie voor inkomende hosting.
Vier manieren waarop spelers de server kunnen bereiken
De echte keuze is wie je publiek is en hoe hun pakketten binnenkomen, en er zijn vier vormen die een naam verdienen.
| Design | Who can join | What it costs |
|---|---|---|
| Private VPN players | Only members of the tunnel | Every player needs a profile and identity |
| Provider public mapping | Anyone with the assigned address and port | Depends on supported protocol and mapping lifetime |
| Your own public relay | Anyone who can reach the relay | You run and secure the relay |
| Deliberate direct entry | Anyone who can reach your line | Split routing has to stay coherent |
Het particuliere ontwerp is het eenvoudigste en het minst handige: geautoriseerde spelers stappen in een beperkt netwerk en bereiken het spel op het privéadres. Geef ze toegang tot de speldienst, niet een gedeelde identiteit die over elke host die je bezit kan ronddwalen.
Het relay-ontwerp is degene die mensen onderschatten. Een bereikbare gateway accepteert openbaar verkeer en stuurt het via een particuliere tunnel naar de host, zodat spelers nooit lid worden van de backend-VPN. De relay moet het transport van het spel dragen, en een HTTP-proxy is geen algemene UDP-relay.
Volg het antwoord net zo zorgvuldig als de aankomst
Noteer voor elke vertaalde ingang vier dingen: het externe adres, het protocol, de poort en het interne doel. Netgates naslagwerk over port forwarding legt het onderscheid uit dat mensen struikelt, door bestemmingsvertaling te scheiden van de firewallregel die verkeer doorlaat. Configureer het ene zonder het andere en je krijgt een mapping die er correct uitziet en niets doorlaat.
Controleer daarna de terugweg. Een doorgestuurd verzoek kan perfect aankomen en toch mislukken omdat de host via een andere uitgang antwoordt. Een relay kan de bron van de backend-stroom vertalen, of de bron bewaren en op routering vertrouwen; dat zijn verschillende ontwerpen en ze veranderen wat de spelhost als adres van de speler ziet.
Versleuteling redt een kapotte terugweg niet. Het beschermt een segment, niet een topologie.
Wat de tunnel niet privé maakt
De authenticatie, updates en het toelatingsbeleid van het spel doen nog steeds hun eigen werk. Een particuliere backend-tunnel maakt een bewust openbare ingang niet privé, en hij versleutelt het traject van speler naar openbare ingang helemaal niet. Dat zijn twee verschillende trajecten met twee verschillende blootstellingen, en een ontwerpnotitie die zegt dat het spel over een VPN loopt, beschrijft er precies één van.
Schrijf op welk traject beschermd is en welk niet voordat je het adres aan iemand bekendmaakt.
Kies het publiek voor het adres
Bepaal wie moet kunnen meedoen en kies daarna het ontwerp dat past. Alleen vrienden betekent de particuliere tunnel, of een relay met een toelatingslijst. Een openbare gemeenschap betekent een relay of een directe ingang met echte blootstelling, plus moderatie. Als dat vaststaat, gebruik dan de gedocumenteerde poorten van het spel en het gedrag van het aangekondigde adres binnen het gekozen ontwerp.
Herschik VPN-adapters niet voordat een test slaagt. Dat levert een werkende server op met een ongedocumenteerd pad dat niemand na de volgende update kan herbouwen.
De test is twee spelers, één binnen de tunnel en één buiten, die allebei een join en een ronde verkeer afronden. Iets minder bewijst niet dat de ingang werkt.