Přesměrování portů pro Minecraft server: otevřít, opravit, nebo obejít

Začněte tady: který případ je ten váš?

Čtyři situace, čtyři různé odpovědi. Najděte tu svou a skočte rovnou na ni — příčiny se skoro nepřekrývají, takže čtení cizí větve je promarněný večer.

Dvouminutová kontrola, kterou se vyplatí udělat jako první

O tom, jestli u vás může přesměrování portů vůbec fungovat, rozhoduje jediná věc a zabere dvě minuty. Udělejte ji dřív, než sáhnete na jediné nastavení routeru — pokud vyjde špatně, nic z první větve téhle stránky vám nepomůže.

1. Otevřete administraci routeru a najděte adresu WAN nebo internetovou adresu, kterou uvádí. Bývá na obrazovce stavu nebo přehledu, obvykle popsaná jako WAN IP, Internet IP nebo IPv4 address.
2. Vyhledejte „what is my IP" v prohlížeči na stejné síti a poznamenejte si adresu, která se vrátí.
3. Porovnejte je. Když se shodují, máte skutečnou veřejnou adresu a přesměrování bude fungovat, jakmile ho správně nastavíte. Když se neshodují, poskytovatel váš provoz překládá a port otevřený na vašem vlastním routeru se do internetu nedostane — v části proč to nefungovalo najdete, co s tím.

Přesměrujte port pořádně

Menu má každý router uspořádané jinak a sama funkce se jmenuje různě — Port Forwarding, Virtual Server, NAT Forwarding, Applications and Gaming. Podstata je ale všude stejná: říct routeru, že provoz přicházející na port Minecraftu má předat počítači, na kterém běží server.

1. Nejdřív dejte počítači se serverem pevnou lokální adresu. Právě tenhle krok se přeskakuje a právě proto přesměrování za týden přestane fungovat. Router přiděluje lokální adresy dočasně, takže z počítače, který je dnes 192.168.1.42, se po restartu může stát 192.168.1.57 — a pravidlo pořád ukazuje na tu starou. Vyřešte to buď na routeru rezervací DHCP pro daný počítač, nebo přímo na počítači nastavením statické adresy mimo rozsah DHCP routeru. Rezervace je bezpečnější, protože router zůstává jediným zdrojem pravdy.
2. Vytvořte pravidlo pro přesměrování. Vnitřní i vnější port nastavte na port serveru. Protokol TCP pro Javu (25565), UDP pro Bedrock (19132). Cíl: lokální adresa, kterou jste právě zafixovali. Pokud router trvá na rozsahu portů, zadejte stejné číslo jako začátek i konec.
3. Povolte port ve firewallu samotného počítače. Router už provoz na počítač posílá a firewall počítače ho pořád může zahodit. Ve Windows přidejte příchozí pravidlo pro port — nebo pro spustitelný soubor Javy, na které server běží — ve Windows Defender Firewall. Tohle je druhý nejčastější důvod, proč se zdá, že správné přesměrování nedělá nic.
4. Testujte zvenčí své sítě. Ne z prohlížeče v obýváku. Vypněte na telefonu Wi-Fi, aby byl na mobilních datech, a zkuste se na adresu dostat, nebo použijte online kontrolu portů, zatímco server běží. Obojí testuje totéž: jestli se dovnitř dostane vnější svět.

Jakmile kontrola zvenčí projde, kamarádi se připojí přes vaši veřejnou adresu a port — u Javy tedy your.public.ip:25565. Pokud vám poskytovatel čas od času veřejnou adresu mění, což většina domácích přípojek dělá, dá vám bezplatné dynamické DNS pevné jméno, které tu změnu sleduje.

Port máte přesměrovaný a stejně to nefunguje

Projděte tenhle seznam popořadě. Je seřazený podle toho, jak často bývá který bod tou správnou odpovědí, a první dva se vyloučí zdarma.

1. Testovali jste zevnitř vlastní sítě

Popsáno výše a je to opravdu nejčastější falešný poplach: hairpinning je v standardu jako MUST, který spousta routerů ignoruje, takže test vlastní veřejné adresy z vlastního obýváku může selhat i na dokonale funkční sestavě. Než začnete měnit cokoli dalšího, zopakujte test na mobilních datech.

2. Lokální adresa počítače se serverem se změnila

Pokud to fungovalo a pak přestalo, bývá to skoro vždycky tímhle. Pravidlo míří na adresu, kterou už počítač nemá. Přidejte rezervaci DHCP, aby adresa znovu neutekla.

3. Carrier-grade NAT — případ bez obejití

Když se adresa WAN v routeru neshoduje s tím, co hlásí vyhledávání „what is my IP", překládá váš provoz poskytovatel ještě předtím, než se dostane do internetu, a port otevřený na vašem vlastním routeru pro vnější svět prostě neexistuje. Dá se to vyčíst přímo z routeru:

Carrier-grade NAT existuje proto, že adres IPv4 není dost na to, aby jednu dostala každá domácnost, a poskytovatelé tak sdílejí jednu veřejnou adresu mezi mnoha zákazníky. Není to porucha a nikdo neudělal nic špatně. Máte dvě možnosti: požádat poskytovatele o veřejnou adresu IPv4 — spousta z nich ji nabízí, někdy zdarma, jindy jako placenou službu — nebo ji přestat potřebovat, ať už přes tunel, nebo přes hostovaný server.

4. Dvojitý NAT: dva routery v jednom řetězci

Privátní adresa na straně WAN vašeho routeru znamená, že je zapojený do dalšího routeru — obvykle do krabičky od poskytovatele, která běží v režimu routeru místo prostého modemu. Vaše pravidlo je správně, jen skončí u druhého zařízení. Tři cesty ven, od nejlepší: přepnout zařízení poskytovatele do bridge mode nebo modem mode, aby veřejnou adresu dostával přímo váš router; nebo přesměrovat stejný port podruhé i na nadřazeném zařízení, a to na váš router; nebo server přesunout za nadřazené zařízení.

5. Firewall samotného počítače

Router přesměrovává, počítač zahazuje. Přidejte příchozí pravidlo pro port nebo pro spustitelný soubor serveru a otestujte znovu zvenčí.

6. Špatný protokol nebo špatný port

Java je TCP 25565, Bedrock je UDP 19132. Zaměnit je nelze a Bedrock server za TCP přesměrováním je zvenčí nedosažitelný, přestože zevnitř vypadá úplně v pořádku. Pokud máte Bedrock, liší se toho víc než jen port — návod na Bedrock server to pokrývá od začátku do konce.

Je přesměrování portů bezpečné?

Krátká odpověď: otevřít jeden port k serveru, který udržujete aktualizovaný, je v pořádku a přesně to dělá každý Minecraft server na internetu. Riziko není v otevřeném portu samotném — je v tom, co za ním naslouchá, a v tom, že adresa vaší domácnosti je teď adresou serveru. Obojí se dá zvládnout a ani jedno není důvod se toho bát.

Co otevřený port doopravdy dělá

Přesměrovaný port vystaví internetu přesně jeden program: ten, který na daném portu naslouchá. Neotevře váš počítač, vaše soubory ani ostatní zařízení v domě. Znamená to jen, že kdokoli, kdo adresu najde, může tomu jednomu programu poslat cokoli — takže software za ním musí být software, který udržujete záplatovaný.

Skutečný precedent, řečeno přesně

Příklad z Minecraftu, po kterém lidé sahají, je Log4Shell — CVE-2021-44228, hodnocení 10.0 Kritické, zveřejněno 10. prosince 2021 — a Mojang téhož dne vydal doporučení, ve kterém potvrdil, že Java Edition je zasažená. Vyplatí se být přesný v tom, jak to fungovalo, protože rozšířené převyprávění se plete přesně v tom, na čem tady záleží.

Vlastní rozbor Microsoftu popisuje útok jako připojení útočníka ke zranitelnému serveru a odeslání speciálně sestavené zprávy ve hře, což pak spustilo kód na serveru i na připojených zranitelných klientech. Oba směry byly reálné. Ale ve všech doložených případech se útočník musel připojit a interagovat — samotný otevřený port nespustil nic. Poučení tedy nezní „neotvírejte porty", ale „udržujte aktualizované to, co je za portem", což tehdy znamenalo přejít na 1.18.1 nebo použít přepínač, který Mojang zveřejnil pro starší verze.

Cena, na kterou žádná záplata není

To, co stojí za nejdelší rozmyšlení, není zranitelnost vůbec: vaše veřejná adresa se stane adresou serveru a má ji každý, koho pozvete, i každý, komu ji předá dál. Útok na odepření služby proti hostovanému serveru zasáhne ten server; proti domácí přípojce odstaví od internetu celou domácnost a odfiltrovat ho ze své strany nejde, protože linka je už zahlcená. Adresu nelze vzít zpátky, jakmile je venku. Návod o dostupnosti rozebírá, co to znamená v delším čase; praktické shrnutí je, že pro pět kamarádů je to férová výměna a pro veřejný server špatná.

Co to skutečně dělá bezpečným

Držte server na aktuální verzi, zapněte whitelist, aby se připojili jen pozvaní, nechte online-mode ve výchozím nastavení, aby se účty ověřovaly, a než začnete experimentovat, zazálohujte svět. Tyhle čtyři body jsou celý seznam a najdete je i s přesným nastavením v sekci o bezpečném nastavení v návodu na založení serveru. Udělejte je a jeden přesměrovaný port je úplně obyčejná věc.

Jak pustit kamarády dovnitř bez otevírání portu

Tunel dá vnějšímu světu adresu, která patří poskytovateli tunelu, a odtud pak provoz donese na server u vás v počítači spojením, které váš počítač sám otevřel ven. Na routeru se nemění nic, a proto tunel funguje i za carrier-grade NAT, kde přesměrování portů nezmůže nic. Výměnou za to teď v cestě stojí třetí strana a bezplatné tarify mají velmi konkrétní limity.

Tři jména, která lidé hledají, a to, co dnes říká dokumentace každého z nich:

playit.gg

Ten, který pokrývá obě edice. Java i Bedrock jsou hotové předvolby už v bezplatném tarifu, takže Bedrock server na UDP funguje bez placení — což je neobvyklé a je to hlavní důvod, proč ho zvolit. Hráči dostanou adresu přidělenou od playit místo té vaší a instalovat něco musíte jen vy. Poctivé limity: bezplatné tunely jedou po sdíleném globálním směrování a dokumentace samotného playit varuje, že hráče může poslat do vzdáleného datacentra, přičemž cestu popisuje jako čtyři úseky, jejichž latence se sčítá; volba regionu a vlastní doména jsou placené. Bezplatný účet může alokovat čtyři porty.

ngrok

Pro Javu se hodí, pro Bedrock je k ničemu — ngrok podporuje HTTP, HTTPS, TCP a TLS a přímo uvádí, že UDP neumí. Dvě věci v bezplatném tarifu vás doženou, pokud vás na ně nikdo neupozorní: otevření holého TCP endpointu vyžaduje přidat k účtu platební metodu, i když tarif zůstává zdarma, a adresa se přiděluje náhodně při každém spuštění tunelu, takže kamarádi potřebují novou každé sezení, dokud si nezaplatíte rezervovanou adresu. Jeden mýtus rovnou pohřbíme: často opakované tvrzení, že bezplatné tunely ngroku po dvou hodinách padnou, je zastaralé — současná dokumentace ngroku říká, že bezplatné endpointy mohou zůstat online neomezeně dlouho.

Hamachi

Nejstarší ze tří a jediný, který funguje jinak: není to vůbec tunel k veřejné adrese, je to virtuální LAN. Všichni se připojí do stejné privátní sítě a pak se spojí, jako by seděli v jedné místnosti. Tenhle rozdíl je celý příběh, a to v obou směrech.

Pořád žije — GoTo Group ho provozuje pod značkou LogMeIn a poznámky k vydání obsahují záznamy z roku 2026 — a bezplatný tarif také existuje dál, jenže omezuje síť na pět členů včetně vás. Čtyři kamarádi. A na rozdíl od playit.gg nebo ngroku si klienta instaluje a do sítě se připojuje každý hráč, což u party teenagerů bývá přesně to místo, kde plán umře. Technicky je to plnohodnotný virtuální síťový adaptér, který spojení ve výchozím stavu zprostředkovává přes UDP, takže není omezený jen na TCP — jenže dokumentace GoTo nikde nezmiňuje Minecraft, Bedrock ani port 19132, takže Bedrock přes Hamachi berte jako neověřený, ne jako podporovaný. GoTo navíc ve vlastní nápovědě upozorňuje, že aplikace stavěné pro „high-speed, low-latency LAN environments" přes něj nemusí fungovat dobře.

Co vás tunel stojí

Především latenci. Provoz, který by šel rovnou k vám domů, teď jde nejdřív k poskytovateli tunelu, a v bezplatných tarifech si málokdy vyberete, kde to je. U survival světa s pěti kamarády si toho nikdo nevšimne; všude, kde záleží na načasování, ano. Druhá cena je, že dostupnost vašeho serveru teď závisí na tom, jestli bezplatný tarif třetí strany bude dál existovat za stejných podmínek — a to, jak tunely výše ukazují, není nic samozřejmého.

Kdy je hostovaný server poctivá odpověď

Nepotřebuje to každý a tvrdit opak by bylo nepoctivé — spousta lidí provozuje dobrý server na náhradním počítači celé roky. Jsou ale čtyři situace, ve kterých se výše popsaný boj vyhrát nedá nebo se nevyplatí, a je lepší to říct rovnou než vás nechat ladit router, který vám pomoct nemůže:

• Jste za carrier-grade NAT. Tohle je ten případ, který na routeru řešení nemá. Zbývá tunel nebo hostovaný server a jen jeden z nich vám dá adresu, kterou ovládáte vy.
• Chcete, aby byl svět dostupný i s vypnutým počítačem. Server na vašem počítači existuje, dokud počítač běží. Pokud lidé hrají v různé časy, je v tom celý problém a žádné nastavení portů ho nevyřeší.
• Radši byste domácí adresu nerozdávali. Zvlášť pokud má být server veřejný nebo pokud se připojují kamarádi vašeho dítěte, a ne vaši.
• Víc než hrstka hráčů. Domácí odchozí linka i počítač, který se zároveň používá k něčemu jinému, se začnou projevovat — a projeví se jako lagy, které vypadají jako problém hry.

Co se změní: adresa je datacentrová, ne adresa vašeho domu, server drží online sám o sobě a útok mířený na něj neodstaví od internetu vaši rodinu. Spravovaný tarif navíc odbourá z téhle stránky všechno, co je otrava — žádné přesměrování, žádné dynamické DNS, žádné pravidlo ve firewallu. Servery HytHost běží na úložišti NVMe se SLA na dostupnost 99,9 %, s DDoS filtrací od Voxility před nimi a s podporou přes živý chat od 8:00 do 23:00 (čas Kišiněva). Pokud už svět na svém počítači máte, přesun je zkopírování složky a uděláme ho za vás.

Jestli server ještě vůbec nemáte, začněte raději návodem jak si udělat Minecraft server — tahle stránka počítá s tím, že server už běží a chybí jen připojení.