Minecraft por VPN: qual endereço entra na lista de servidores?
O endpoint da VPN constrói o túnel; o jogo precisa do endereço privado do host e da porta. Mapeie os papéis para os endereços e depois verifique o ouvinte, a rota e as regras do host.
Escrever o endpoint da VPN na lista de servidores do Minecraft parece lógico e falha todas as vezes, porque esse endereço termina o túnel em vez de hospedar o jogo. Um jogador conectado à mesma VPN já tem um caminho até o host do jogo, então a entrada precisa nomear o host e a porta em que o jogo escuta. Acerte esses dois e o resto do problema é disponibilidade normal do serviço, uma lista de verificação bem mais curta do que parece no início.
Dois endereços, duas tarefas
Um endereço é infraestrutura pública: o endpoint de transporte que leva pacotes cifrados entre pares. O outro é um endereço privado da máquina que executa o servidor dedicado. Não são intercambiáveis, e substituir um pelo outro produz uma conexão recusada ou um tempo esgotado que parece um problema de firewall.
| Role | Address | Where it belongs |
|---|---|---|
| Public transport endpoint | 203.0.113.40 | VPN client configuration, never the game |
| Game host on the VPN | 10.60.0.20 | Server address field, with the port |
| Player peer | 10.60.0.30 | Assigned by the tunnel, nothing to type |
Com a porta padrão, o jogador digita 10.60.0.20:25565 e nada mais. A página de download do servidor Java da Mojang indica 25565 como padrão, e ao operador que mudou a porta é preciso acreditar, em vez de duvidar com base num tutorial antigo.
Transforme esse endereço num serviço real
Um endereço alcançável é necessário e não suficiente. O servidor dedicado precisa estar em execução, ser compatível com a versão que o cliente do jogador executa e escutar num endereço para o qual o túnel possa entregar. Um processo ligado apenas ao loopback não se torna alcançável porque alguém adicionou outro endereço à máquina.
Confirme o ouvinte antes de tocar num firewall:
ss -lntp | grep 25565
nc -vz 10.60.0.20 25565A primeira linha mostra a que o processo realmente se ligou, e a segunda mostra se um par consegue completar o aperto de mão TCP. Quando a ligação é 127.0.0.1, nenhuma quantidade de configuração de VPN muda o resultado, e esse único detalhe explica um número surpreendente de relatos de «a VPN está quebrada».
Política de pares, firewall e o caminho de volta
Duas perguntas de permissão ficam acima do ouvinte. A configuração de pares da VPN precisa permitir tráfego entre os dois pares, e o firewall do host do jogo precisa aceitar a porta do jogo daquele par. Mantenha ambos restritos ao serviço do jogo e aos pares autorizados em vez de desativar o firewall do host, o que troca uma regra de duas linhas por um problema muito maior. Regras estreitas são também a única versão disto que passa numa revisão de segurança sem um parágrafo de justificativa.
Depois lembre o que um ping bem-sucedido prova. Alcançar o gateway da VPN, ou receber resposta do host do jogo, demonstra apenas que o ICMP atravessou o caminho. Uma conexão de jogo exige que a porta específica esteja aberta nos dois sentidos, e o caminho de volta importa tanto quanto o de ida.
Quando o servidor está atrás do gateway
O exemplo acima tem o servidor de jogo como par, o que mantém o plano de endereços trivial. Se o servidor viver numa LAN atrás de um gateway VPN, o jogador precisa do endereço privado roteável do servidor, o gateway precisa do encaminhamento configurado para essa LAN, e o host da LAN precisa de uma rota de volta para o cliente tunelado. Erre o caminho de volta e o aperto de mão morre no meio, que é a falha mais confusa das três.
Não copie o endereço de par do exemplo para outra máquina para imitar esta topologia. Endereços num exemplo descrevem papéis, e reutilizar um em dois papéis cria uma sobreposição que o roteamento não consegue resolver.
Descoberta, contas e o que não mudar
A descoberta automática de LAN é uma comodidade construída sobre anúncios. Uma VPN roteada não precisa carregar essas difusões, então uma entrada ausente na lista de LAN não diz nada sobre se o endereço privado explícito funciona. Digite o endereço e depois julgue. Se conectar, a lacuna de descoberta é um incômodo de usabilidade e não uma falha, e pode ser documentada como tal em vez de investigada.
Mantenha intactas também a autenticação normal da conta e a política de admissão do jogo. Uma rota privada que funciona concede um caminho, não uma pertença, e nenhum rearranjo de prioridades de adaptador substitui a identificação do destino que o cliente deveria usar.