O servidor do jogo está na VPN e ninguém consegue entrar
Um túnel não é um caminho de entrada. Escolha a entrada que os jogadores usam e faça a resposta voltar pelo mesmo caminho, antes de mexer no endereço de escuta.
O servidor está no ar, a VPN está conectada e ninguém de fora consegue entrar. Todos dentro do túnel conseguem, o que faz parecer uma regra de acesso. O que falta não é uma permissão, mas um caminho: um endereço e uma porta que os jogadores alcancem, e uma rota para as respostas voltarem pelo mesmo caminho. Um endereço de saída da VPN não é um recurso de hospedagem de entrada.
Quatro formas de os jogadores alcançarem o servidor
A escolha real é quem é o seu público e como os pacotes dele entram, e há quatro formatos que merecem nome.
| Design | Who can join | What it costs |
|---|---|---|
| Private VPN players | Only members of the tunnel | Every player needs a profile and identity |
| Provider public mapping | Anyone with the assigned address and port | Depends on supported protocol and mapping lifetime |
| Your own public relay | Anyone who can reach the relay | You run and secure the relay |
| Deliberate direct entry | Anyone who can reach your line | Split routing has to stay coherent |
O modelo privado é o mais simples e o menos conveniente: jogadores autorizados entram numa rede restrita e alcançam o jogo no endereço privado. Dê a eles acesso ao serviço do jogo, não uma identidade compartilhada que pode vagar por todo host que você possui.
O modelo com relay é o que as pessoas subestimam. Um gateway alcançável aceita tráfego público e o encaminha por um túnel privado até o host, então os jogadores nunca entram na VPN de backend. O relay precisa carregar o transporte do jogo, e um proxy HTTP não é um relay UDP genérico.
Siga a resposta com o mesmo cuidado da chegada
Para qualquer entrada traduzida, registre quatro coisas: o endereço externo, o protocolo, a porta e o alvo interno. A referência de encaminhamento de porta da Netgate explica a distinção que confunde as pessoas, separando a tradução de destino da regra de firewall que libera o tráfego adiante. Configure uma sem a outra e você terá um mapeamento que parece correto e não passa nada.
Depois verifique o retorno. Uma requisição encaminhada pode chegar perfeitamente e falhar porque o host responde por outra saída. Um relay pode traduzir a origem do fluxo de backend, ou preservar a origem e depender do roteamento; são modelos diferentes e mudam o que o host do jogo vê como endereço do jogador.
A criptografia não salva um caminho de retorno quebrado. Ela protege um segmento, não uma topologia.
O que o túnel não torna privado
A autenticação, as atualizações e a política de admissão do jogo continuam fazendo o próprio trabalho. Um túnel privado de backend não torna privada uma entrada deliberadamente pública, e não criptografa de forma alguma o trecho do jogador até a entrada pública. São dois trechos diferentes com duas exposições diferentes, e uma nota de projeto dizendo que o jogo roda sobre VPN descreve exatamente um deles.
Anote qual trecho é protegido e qual não é antes de anunciar o endereço a qualquer pessoa.
Escolha o público antes do endereço
Decida quem deve conseguir entrar e então escolha o modelo que combina. Só amigos significa o túnel privado, ou um relay com lista de permissões. Comunidade pública significa um relay ou entrada direta com exposição real, mais moderação. Uma vez definido, use as portas documentadas do jogo e o comportamento do endereço anunciado dentro do modelo escolhido.
Não reordene adaptadores de VPN até um teste passar. Isso produz um servidor que funciona com um caminho não documentado que ninguém consegue reconstruir após a próxima atualização.
O teste são dois jogadores, um dentro do túnel e um fora, ambos completando uma entrada e uma rodada de tráfego. Menos que isso não prova que a entrada funciona.