Minecrafti serveri port forwarding: ava see, paranda see või jäta vahele

Alusta siit: kumb neist oled sina?

Neli olukorda, neli erinevat vastust. Leia enda oma ja hüppa sinna — põhjused peaaegu ei kattu, nii et vale haru lugemine maksab terve õhtu.

Kaheminutiline kontroll, mis tasub esimesena ära teha

Üks asi otsustab, kas port forwarding saab sinu puhul üldse toimida, ja see võtab kaks minutit. Tee see ära enne, kui puudutad ainsatki ruuteri seadet, sest kui vastus tuleb vale, ei aita selle lehe esimeses harus enam miski.

1. Ava ruuteri haldusleht ja leia WAN- või internetiaadress, mille ta enda kohta näitab. See on oleku- või ülevaateekraanil, tavaliselt sildiga WAN IP, Internet IP või IPv4 address.
2. Otsi brauseris "what is my IP" samas võrgus olevas seadmes ja pane kirja aadress, mis vastuseks tuleb.
3. Võrdle neid. Kui need kattuvad, on sul päris avalik aadress ja port forwarding hakkab tööle kohe, kui see korralikult seadistada. Kui need ei kattu, tõlgib sinu pakkuja su liiklust ja sinu enda ruuteris avatud port ei jõua internetti — vaata miks see ei töötanud, mida sellega peale hakata.

Suuna port korralikult

Iga ruuteri menüü on isemoodi üles ehitatud ja funktsioon kannab mitut nime — Port Forwarding, Virtual Server, NAT Forwarding, Applications and Gaming. See, mis peab juhtuma, on kõikjal sama: ütle ruuterile, et Minecrafti porti saabuv liiklus tuleb anda edasi masinale, kus server töötab.

1. Anna serverimasinale kõigepealt püsiv kohalik aadress. Just see samm jäetakse vahele ja seepärast lakkab suunamine nädala pärast töötamast. Ruuter jagab kohalikke aadresse ajutiselt, nii et arvuti, mis täna on 192.168.1.42, võib pärast taaskäivitust olla 192.168.1.57 — ja reegel osutab endiselt vanale. Lahenda see kas ruuteris, lisades sellele arvutile DHCP reserveeringu, või arvutis endas, määrates staatilise aadressi väljaspool ruuteri DHCP vahemikku. Reserveering on neist kahest kindlam, sest ruuter jääb ainsaks tõe allikaks.
2. Loo suunamisreegel. Nii sise- kui välisport pane serveri pordiks. Protokoll TCP Java puhul (25565), UDP Bedrocki puhul (19132). Sihtkoht: kohalik aadress, mille sa just fikseerisid. Kui ruuter nõuab pordivahemikku, kirjuta algusesse ja lõppu sama number.
3. Lase see läbi masina enda tulemüüri. Ruuter saadab liikluse nüüd arvutini ja arvuti enda tulemüür võib selle ikka ära visata. Windowsis lisa Windows Defender Firewallis sissetulev reegel pordi jaoks — või serverit käitava Java-faili jaoks. See on teine kõige sagedasem põhjus, miks õige suunamine näiliselt midagi ei tee.
4. Testi väljastpoolt oma võrku. Mitte oma elutoas olevast brauserist. Lülita telefonis Wi-Fi välja, et see oleks mobiilse andmeside peal, ja proovi aadressini jõuda, või kasuta serveri töötamise ajal veebipõhist pordikontrollijat. Mõlemad testivad sama asja: kas väline maailm pääseb sisse.

Kui kontroll väljastpoolt õnnestub, ühenduvad sõbrad sinu avaliku aadressi ja pordiga — Java puhul your.public.ip:25565. Kui pakkuja vahetab su avalikku aadressi aeg-ajalt, nagu enamik koduühendusi teeb, annab tasuta dünaamiline DNS-nimi sulle püsiva hostinime, mis sellega kaasas käib.

Suunasid pordi ära ja ikka ei tööta

Käi nimekiri järjekorras läbi. See on järjestatud selle järgi, kui sageli iga punkt vastuseks osutub, ja kahe esimese välistamine ei maksa midagi.

1. Sa testisid seestpoolt, omaenda võrgust

Sellest oli juba juttu ja see on tõesti kõige levinum valehäire: hairpinning on standardis kohustuslik, aga paljud ruuterid eiravad seda, nii et oma avaliku aadressi testimine omaenda elutoast võib ebaõnnestuda ka täiesti korralikult töötaval seadistusel. Testi mobiilse andmeside pealt uuesti, enne kui midagi muud muudad.

2. Serverimasina kohalik aadress on muutunud

Kui see töötas ja siis lakkas, on peaaegu alati see põhjus. Reegel osutab endiselt aadressile, mida arvutil enam ei ole. Lisa DHCP reserveering, et see ei saaks uuesti nihkuda.

3. Carrier-grade NAT — see, millel lahendust pole

Kui ruuteri WAN-aadress ei kattu sellega, mida näitab "what is my IP", tõlgib pakkuja su liiklust enne internetti jõudmist ja port, mille sa oma ruuteris avad, välismaailma jaoks lihtsalt ei eksisteeri. Selle saab ruuterist otse välja lugeda:

Carrier-grade NAT on olemas sellepärast, et IPv4 aadresse ei jätku igale majapidamisele, nii et pakkujad jagavad ühte avalikku aadressi paljude klientide vahel. See pole rike ja keegi pole midagi valesti teinud. Sinu valikud on küsida pakkujalt avalikku IPv4 aadressi — paljud pakuvad seda, vahel tasuta, vahel tasulise lisana — või lõpetada selle vajamine, kasutades kas tunnelit või hostitud serverit.

4. Topelt-NAT: kaks ruuterit ühes ahelas

Privaataadress sinu ruuteri WAN-poolel tähendab, et sinu ruuter on ühendatud teise ruuteri külge — tavaliselt pakkuja antud karp, mis töötab router mode'is, mitte lihtsa modemina. Sinu reegel on õige; see lihtsalt peatub teise seadme juures. Kolm väljapääsu, parim esimesena: pane pakkuja karp bridge mode'i või modem mode'i, et sinu ruuter saaks avaliku aadressi otse; või suuna sama port teist korda ka eespool olevas karbis, sinu ruuteri poole; või vii server hoopis eespool oleva karbi taha.

5. Masina enda tulemüür

Ruuter suunab, arvuti viskab ära. Lisa sissetulev reegel pordi või serveri käivitatava faili jaoks ja testi uuesti väljastpoolt.

6. Vale protokoll või vale port

Java on TCP 25565, Bedrock on UDP 19132. Need ei ole omavahel vahetatavad ja TCP-suunamise taga olev Bedrocki server on kättesaamatu, nähes seejuures seestpoolt täiesti terve välja. Kui su server on Bedrock, erineb seadistus enamas kui ainult pordis — Bedrocki serveri juhend katab selle algusest lõpuni.

Kas port forwarding on turvaline?

Lühike vastus: ühe pordi avamine serverile, mida sa uuendatuna hoiad, on täiesti korras ja täpselt seda teeb iga Minecrafti server internetis. Risk ei ole avatud port ise — vaid see, mis selle taga kuulab, ja asjaolu, et sinu koduaadress on nüüd serveri aadress. Mõlemat saab hallata ja kumbki pole põhjus loobuda.

Mida avatud port tegelikult teeb

Suunatud port avab internetile täpselt ühe programmi: selle, mis sellel pordil kuulab. See ei ava sinu arvutit, sinu faile ega teisi seadmeid majas. Küll aga tähendab see, et igaüks, kes aadressi leiab, saab sellele ühele programmile saata mida iganes — nii et selle taga olev tarkvara peab olema tarkvara, mida sa paigatuna hoiad.

Päris pretsedent, täpselt esitatuna

Minecrafti näide, mille järele inimesed haaravad, on Log4Shell — CVE-2021-44228, hindega 10.0 kriitiline ja avaldatud 10. detsembril 2021 — ning Mojang avaldas samal päeval teate, mis kinnitas, et Java Edition oli mõjutatud. Tasub olla täpne selles, kuidas see töötas, sest levinud ümberjutustus on vale viisil, mis siin loeb.

Microsofti enda ülevaade kirjeldab rünnakut nii, et ründaja ühendus haavatava serveriga ja saatis spetsiaalselt koostatud mängusisese sõnumi, mis seejärel käivitas koodi serveris ja ühendatud haavatavates klientides. Mõlemad suunad olid tõelised. Kuid igal dokumenteeritud juhul pidi ründaja ühenduma ja suhtlema — avatud port iseenesest ei käivitanud midagi. Õppetund ei ole "ära ava porte", vaid "hoia pordi taga olev asi uuendatuna", mis toona tähendas üleminekut versioonile 1.18.1 või Mojangi avaldatud lipu kasutamist vanemate versioonide puhul.

Hind, millele paika pole

Kõige rohkem tasub mõelda hoopis millelegi, mis pole üldse turvaauk: sinu avalik aadress saab serveri aadressiks ja see on olemas kõigil, keda sa kutsud, ning kõigil, kellele nemad selle edasi annavad. Teenusetõkestusrünnak hostitud serveri pihta tabab seda serverit; koduühenduse pihta viib see kogu majapidamise internetist ära ja sina ei saa seda oma poolelt filtreerida, sest liin on juba täis. Aadressi ei saa tagasi võtta, kui see on korra välja läinud. Töökindluse juhend selgitab, mida see pikemas plaanis tähendab; lühidalt on see hea vahetus viie sõbra puhul ja halb avaliku serveri puhul.

Mis selle tegelikult turvaliseks teeb

Hoia server ajakohasel versioonil, lülita whitelist sisse, et sisse saaksid ainult kutsutud, jäta online-mode vaikeväärtusele, et kontosid kontrollitaks, ja tee maailmast varukoopia enne katsetamist. Need neli ongi kogu nimekiri ja need on koos täpsete väärtustega kirjas serveri seadistamise juhendi turvaliste seadete osas. Tee need ära ja üks suunatud port on täiesti tavaline asi.

Kuidas sõpru sisse lasta ilma porti avamata

Tunnel annab välismaailmale aadressi, mis kuulub tunneli pakkujale, ja veab seejärel liikluse sealt sinu arvutis olevasse serverisse mööda ühendust, mille sinu arvuti ise väljapoole avas. Ruuteris ei muutu midagi ja just seepärast töötab see carrier-grade NAT-i taga, kus port forwarding ei saa. Vahetuskaubaks on see, et teekonnale tuleb nüüd kolmas osapool, ja tasuta tasemetel on päris piirangud.

Kolm nime, mida otsitakse, koos sellega, mida nende enda dokumentatsioon täna ütleb:

playit.gg

See, mis katab mõlemat väljaannet. Nii Java kui Bedrock on tasuta tasemel sisseehitatud eelseaded, nii et Bedrocki server UDP peal töötab ilma maksmata — mis on ebatavaline ja ongi peamine põhjus selle valimiseks. Sinu mängijad saavad sinu aadressi asemel playiti antud aadressi ja paigaldad ainult sina. Ausad piirangud: tasuta tunnelid sõidavad jagatud globaalsel marsruutimisel ja playiti enda dokumentatsioon hoiatab, et mängija võidakse saata kaugesse andmekeskusse, kirjeldades teed nelja hüppena, mille viivitused liituvad; piirkonna valimine ja oma domeeni kasutamine on tasulised. Tasuta kontod saavad eraldada neli porti.

ngrok

Java jaoks sobiv, Bedrocki jaoks kasutu — ngrok toetab HTTP-d, HTTPS-i, TCP-d ja TLS-i ning ütleb otse, et UDP-d ta ei tee. Kaks tasuta taseme detaili panevad sind komistama, kui keegi ei hoiata: puhta TCP lõpp-punkti avamine nõuab kontole makseviisi lisamist, kuigi see jääb tasuta, ja aadress määratakse juhuslikult iga kord, kui sa tunneli käivitad, nii et sõbrad vajavad igal seansil uut, kui sa reserveeritud aadressi eest ei maksa. Üks müüt tasub siinsamas maha matta: laialt korratav väide, et tasuta ngroki tunnelid surevad kahe tunni pärast, on aegunud — ngroki praegune dokumentatsioon ütleb, et tasuta lõpp-punktid võivad püsida võrgus lõputult.

Hamachi

Kolmest vanim ja see, mis töötab teisiti: see pole üldse tunnel avaliku aadressi juurde, vaid virtuaalne LAN. Kõik liituvad sama privaatvõrguga ja ühenduvad seejärel nii, nagu oleksid samas ruumis. See erinevus ongi kogu lugu, mõlemat pidi.

See on ikka veel elus — GoTo Group haldab seda LogMeIn-i brändi all ja väljalaskemärkmetes on 2026. aasta sissekandeid — ja tasuta tase on endiselt olemas, aga see piirab võrgu viie liikmega koos sinuga. Neli sõpra. Ja erinevalt playit.gg-st või ngrokist peab iga mängija kliendi paigaldama ja võrguga liituma, mille peale teismeliste seltskonnal plaan tavaliselt katkeb. Tehniliselt on tegu täieliku virtuaalse võrguadapteriga, mis vahendab ühendusi vaikimisi UDP kaudu, nii et see pole TCP-ga piiratud — kuid GoTo dokumentatsioon ei maini kordagi Minecrafti, Bedrocki ega porti 19132, nii et pea Bedrocki Hamachi kaudu pigem testimata kui toetatuks. GoTo hoiatab oma abilehtedel ka, et rakendused, mis on ehitatud "high-speed, low-latency LAN environments" jaoks, ei pruugi selle kaudu hästi töötada.

Mis tunnel sulle maksma läheb

Peamiselt viivitus. Liiklus, mis oleks muidu tulnud otse sinu koju, läheb nüüd esmalt pakkuja juurde ja tasuta tasemetel saad harva valida, kus see asub. Viie sõbraga ellujäämismaailmas ei märka seda keegi; seal, kus ajastus loeb, märgatakse küll. Teine hind on see, et sinu serveri kättesaadavus sõltub nüüd sellest, kas kolmanda osapoole tasuta tase samadel tingimustel edasi eksisteerib — mis, nagu ülalolevad tunnelid näitavad, pole miski, mida eeldada.

Millal on hostitud server aus vastus

Seda ei vaja iga lugeja ja vastupidist väita oleks ebaaus — paljud ajavad head serverit aastaid vabal arvutil. Aga on neli olukorda, kus ülalkirjeldatud võitlus pole võidetav või pole seda väärt, ja siis on parem see välja öelda kui lasta sul häälestada ruuterit, mis aidata ei saa:

• Sa oled carrier-grade NAT-i taga. See on see juhtum, millel ruuteri poolel lahendust pole. Tunnel või hostitud server on ainsad kaks teed ja ainult üks neist annab sulle aadressi, mille üle sina otsustad.
• Sa tahad, et maailm oleks kättesaadav ka siis, kui arvuti on väljas. Server sinu lauaarvutis eksisteerib seni, kuni lauaarvuti ärkvel on. Kui inimesed mängivad eri kellaaegadel, ongi see kogu probleem ja ükski pordiseade seda ei lahenda.
• Sa pigem ei jagaks oma koduaadressi. Eriti kui server saab avalikuks või kui liitujad on pigem sinu lapse sõbrad kui sinu omad.
• Rohkem kui käputäis mängijaid. Nii kodune üleslaadimiskiirus kui ka arvuti, mida kasutatakse ka muuks, hakkavad mõlemad piire näitama, ja see paistab välja lagina, mis näeb välja nagu mängu viga.

Mis muutub: aadress on andmekeskuse aadress, mitte sinu maja oma, see püsib üleval iseenesest ja selle vastu suunatud rünnak ei vii sinu peret internetist ära. Hallatud pakett võtab lisaks ära need selle lehe osad, mis on lihtsalt kohustus — pole suunamist, pole dünaamilist DNS-i, pole tulemüürireeglit. HytHosti serverid töötavad NVMe salvestusel 99,9% käideldavuse SLA-ga, ees on Voxility DDoS-filtreerimine ja live chat'i tugi on saadaval kella 8-st 23-ni (Chișinău aja järgi). Kui sul on maailm juba arvutis olemas, on kolimine kausta kopeerimine ja me teeme selle sinu eest ära.

Kui sa pole serverit veel üldse üles pannud, alusta hoopis juhendist kuidas teha Minecrafti server — see leht eeldab, et sul on server juba töös ja puudu on ainult ühendus.