Port forwarding თუ ჰოსტინგი თამაშის სერვერისთვის

Port forward არის წესი შენს სახლის როუტერზე, რომელიც ამბობს: "ამ პორტზე მოსული მოულოდნელი ტრაფიკი შიგნით იმ მანქანას ეკუთვნის". ერთი გჭირდება ყოველ პორტზე, რომელსაც თამაშის სერვერი უსმენს, სწორ პროტოკოლზე, ისეთ მისამართზე მიმართული, რომელიც არასოდეს იცვლება - და ის მხოლოდ მაშინ მუშაობს, თუ შენს როუტერს მართლა აქვს საჯარო IPv4 მისამართი, რაც ყოველწლიურად სულ უფრო იშვიათია. ჰოსტინგზე მყოფი სერვერი მთელ ამ ფენას გვერდს უვლის: ის უკვე საჯარო მისამართზე დგას, ასე რომ "გადამისამართება" "პორტის გამოყოფად" იქცევა, და როუტერი, პროვაიდერის NAT და შენი ოჯახის upload გზაზე აღარ არის. ეს სტატია სწორედ ამ ქსელურ განსხვავებაზეა - რას აკეთებს forward, რა აფუჭებს მას და რას ცვლი, როცა სერვერი სახლიდან გაგაქვს.

თუ ჯერ კიდევ წყვეტ, სახლში დაჰოსტო თუ არა საერთოდ, ჯერ წაიკითხე თამაშის სერვერი სახლში თუ ქირით; ის ელექტროენერგიას, uptime-ს და ფასს განიხილავს. აქ ქსელის დონეზე ვრჩებით.

რას აკეთებს სინამდვილეში port forward#

შენი როუტერი ქსელური მისამართების ტრანსლაციას (NAT) აკეთებს. სახლში ყოველ მოწყობილობას კერძო მისამართი აქვს (192.168.1.x, 10.0.0.x), ხოლო როუტერი გამავალ პაკეტებს ისე გადაწერს, რომ ისინი მისი ერთადერთი საჯარო მისამართიდან მოსულად ჩანდეს. ის ყოველ გამავალ ნაკადს connection-tracking ცხრილში იმახსოვრებს, ასე რომ, როცა პასუხი ბრუნდება, იცის, რომელ მოწყობილობას გადასცეს.

ეს ცხრილი არის მთელი მიზეზი, რის გამოც სახლის ქსელები ნაგულისხმევად ჩუმად უსაფრთხოა, და მთელი მიზეზი, რის გამოც სახლში გაშვებული თამაშის სერვერი ნაგულისხმევად არ მუშაობს. შენს სერვერთან დამაკავშირებელი მოთამაშე პირველ პაკეტს აგზავნის. ცხრილში მისთვის ჩანაწერი არ არსებობს, რადგან საუბარი შიგნიდან არავის დაუწყია, ამიტომ როუტერი მას აგდებს.

Port forward არის სტატიკური ჩანაწერი ამ ცხრილში, რომელსაც შენ წერ:

ტექნიკურად ეს destination NAT-ია: როუტერი შემომავალი პაკეტების დანიშნულებას public-ip:2456-დან 192.168.1.50:2456-ზე გადაწერს და გზას უხსნის. სერვერი პასუხობს, როუტერი წყაროს უკან გადაწერს, და მოთამაშე პასუხს იმ მისამართიდან ხედავს, რომელსაც დაუკავშირდა. თავად სერვერმა არასოდეს იცის, რომ ტრანსლაცია მოხდა.

ამის სამუშაოდ სამი პირობა უნდა სრულდებოდეს, და რეალურ ცხოვრებაში თითოეული ფუჭდება:

1. როუტერის WAN მხარე ნამდვილი საჯარო IPv4 მისამართია და არა კიდევ ერთი კერძო.
2. წესში მითითებული შიდა მისამართი ისევ სერვერის მისამართია.
3. ინტერნეტსა და სერვერს შორის სხვა არაფერი - პროვაიდერი, მეორე როუტერი, თავად სერვერის firewall - პაკეტს მანამდე არ აგდებს.

Forward-ები, რომლებიც გავრცელებულ თამაშებს სჭირდება#

ხალხის უმეტესობა ერთ პორტს გადაამისამართებს და მერე უკვირს, რატომ არის სერვერი უხილავი. თამაშებს ხშირად სერვერების სიისთვის მეორე პორტი სჭირდებათ, და პროტოკოლიც მნიშვნელოვანია. ეს არის forward-ები სახლის სერვერისთვის ნაგულისხმევი პარამეტრებით; სრული სია RCON-ით და დამატებებით არის თამაშის სერვერის პორტების ახსნაში.

ამ ცხრილიდან ორი წესი გამომდინარეობს. გადაამისამართე ზუსტად ის, რასაც თამაში იყენებს, ზუსტად იმ პროტოკოლზე, რომელსაც იყენებს - TCP წესი UDP თამაშისთვის არაფერს ემთხვევა და არსად შეცდომას არ აჩენს. და ნუ გადაამისამართებ RCON-ის ან ვებ-ადმინის პორტებს ინტერნეტზე მხოლოდ იმიტომ, რომ რომელიმე გზამკვლევში ეწერა; მართე სახლის შიგნიდან. RCON უსაფრთხოდ ხსნის, რატომ არის ეს პორტი ის, რომელსაც თავდამსხმელები ეძებენ.

ჯერ შიდა მისამართი დააფიქსირე

Forward შიდა მისამართზე მიუთითებს. თუ სერვერის მანქანა მისამართს DHCP-ით იღებს, გადატვირთვის ან გამორთულად გატარებული გრძელი შაბათ-კვირის შემდეგ შეიძლება სხვა მიიღოს, და forward უკვე პრინტერზე მიუთითებს. სანამ რომელიმე forward-ს დაწერ, როუტერში შექმენი DHCP reservation სერვერის MAC მისამართზე მიბმით. სტატიკური მისამართის თავად მანქანაზე ჩაწერაც მუშაობს, მაგრამ მხოლოდ თუ როუტერის DHCP pool-ის გარეთ აირჩევ, რომლის საზღვრებიც ხალხის უმეტესობამ არ იცის.

გახსენი თავად მანქანის firewall

როუტერის მიერ პაკეტის გატარება საქმის ნახევარია. Windows Defender Firewall-იც ბლოკავს მოულოდნელ შემომავალ ტრაფიკს, ხოლო "allow this app" ფანჯარა, რომელსაც პირველი გაშვებისას აჩვენებს, ადვილად იხურება ან ადვილად დასტურდება მხოლოდ კერძო ქსელებისთვის. აშკარა წესი უფრო გასაგებია:

New-NetFirewallRule -DisplayName "Valheim server" -Direction Inbound `  -Protocol UDP -LocalPort 2456-2457 -Action Allow

Linux-ზე ufw-ით ეს არის sudo ufw allow 2456:2457/udp. თუ სერვერი სახლის სხვა კომპიუტერიდან მისაწვდომია, გარედან კი არა, მანქანის firewall რიგზეა და პრობლემა მის ზემოთაა.

როუტერის ფუნქციები, რომლებიც ხელს უშლის#

სამომხმარებლო როუტერებს რამდენიმე ფუნქცია აქვს, რომლებიც თამაშის სერვერებთან ცუდად თანაარსებობს. არცერთი მათგანი ეგზოტიკური არ არის; ხალხის უმეტესობა ერთს მაინც აწყდება.

Double NAT

ყველაზე გავრცელებული ფარული პრობლემა. პროვაიდერმა მოდემ-როუტერი მოგცა, შენ კი მასში საკუთარი როუტერი ჩართე. ახლა ზედიზედ ორი NAT-ია: პროვაიდერის ყუთს საჯარო მისამართი აქვს, შენს როუტერს - კერძო მისამართი პროვაიდერის ყუთის ქსელში, ხოლო შენს სერვერს - კერძო მისამართი შენსაში. Forward შენს როუტერზე არაფერს აკეთებს, რადგან პაკეტი პირველ ყუთს ვერასოდეს ცდება.

ამის დანახვა როუტერის სტატუსის გვერდიდან შეგიძლია: თუ მისი WAN მისამართი 192.168.x.x, 10.x.x.x ან 172.16-31.x.x დიაპაზონშია, მის წინ რაღაც NAT-ს აკეთებს. შიგნიდან გაშვებული traceroute-იც აჩვენებს:

$ traceroute -n 1.1.1.1 1  192.168.1.1     0.6 ms 2  192.168.0.1     1.2 ms 3  100.72.14.1     8.9 ms ...

ზედიზედ ორი კერძო hop სახლში double NAT-ია. მათ შემდეგ 100.64.0.0/10 მისამართი პროვაიდერის საკუთარი carrier-grade NAT-ია, რაც სხვა და უფრო ცუდი პრობლემაა, განხილული NAT და CGNAT თამაშის ჰოსტებისთვის სტატიაში. სახლის double NAT-ისთვის გამოსავლები უპირატესობის მიხედვით: პროვაიდერის ყუთი bridge ან მხოლოდ-მოდემის რეჟიმში გადაიყვანე, რომ შენმა როუტერმა საჯარო მისამართი მიიღოს; ან პროვაიდერის ყუთს ყველაფრის შენს როუტერზე გადამისამართება დაუყენე (ხშირად "exposed host" ჰქვია, შენი როუტერის მისამართზე მიმართული); ან პორტები ორივე ყუთზე გადაამისამართე.

UPnP და NAT-PMP

UPnP სახლის შიგნით არსებულ პროგრამას საშუალებას აძლევს, როუტერს პორტის გახსნა სთხოვოს შენს გარეშე. ზოგი თამაშის სერვერი და launcher ამას თავის ავტომატურად გადასამისამართებლად იყენებს, და როცა მუშაობს, უხილავია. პრობლემა ისაა, რომ ბევრ როუტერზე ჩუმად ფუჭდება, lease შეიძლება ამოიწუროს, და სახლის ნებისმიერ მოწყობილობაზე ნებისმიერ პროგრამას შეუძლია მისი გამოყენება - მათ შორის ისეთს, რომელიც განზრახ არ დაგიყენებია. გზამკვლევების უმეტესობა, ჩვენი ჩათვლით, გირჩევს, გამორთო ის და forward-ები ხელით დაწერო. თუ ჩართულს დატოვებ, დროდადრო ჩახედე როუტერის UPnP ცხრილში, რომ ნახო, რა გაიხსნა თავისით.

Hairpin NAT, ანუ რატომ ვერ ამოწმებ შიგნიდან

შენი ქსელის შიგნიდან შენს საჯარო მისამართთან დაკავშირება მოითხოვს, რომ როუტერმა პაკეტი შემოაბრუნოს და უკან შიგნით გაგზავნოს. ამას hairpin NAT ან NAT loopback ჰქვია, და ბევრი სამომხმარებლო როუტერი მას არ უჭერს მხარს. შედეგი სახლის ჰოსტინგის ყველაზე შეცდომაში შემყვანი ტესტია: ყველაფერი სწორადაა, მაგრამ საკუთარი კომპიუტერიდან საჯარო მისამართით ვერ უერთდები, ამიტომ ასკვნი, რომ forward გაფუჭებულია.

სახლის შიგნიდან LAN მისამართით შედი, ხოლო საჯარო მისამართი გარედან შეამოწმე - მობილური ინტერნეტით, გამორთული wifi-ით, ან მეგობრის დახმარებით, რომელსაც სხვა პროვაიდერი ჰყავს.

სათამაშო ფუნქციები და ALG-ები

"Game mode", "gaming acceleration", SIP ALG და მსგავსი გადამრთველები ტრაფიკს ისე გადაწერს ან პრიორიტეტს ანიჭებს, რომ ზოგჯერ UDP ნაკადებს აფუჭებს. იშვიათად ხდება, რომ forward-ი მთლიანად ჩავარდეს, მაგრამ თუ forward, რომელიც უნდა მუშაობდეს, არ მუშაობს, ახალი როუტერის ყიდვამდე სცადე მათი გამორთვა.

პორტები, რომლებსაც პროვაიდერი არ უშვებს

ზოგი საცხოვრებელი პროვაიდერი სამომხმარებლო ხაზებზე რამდენიმე პორტზე შემომავალ ტრაფიკს ბლოკავს - როგორც წესი, ფოსტისა და ვების პორტებს, მაგალითად 25 და 80 - და ამას პირობებში წერს. თამაშის პორტები იშვიათად იბლოკება, მაგრამ სერვერი, რომელიც ჭკუის გამოჩენით ცნობილ პორტზე გადაიტანე, შეიძლება ზუსტად ასეთზე აღმოჩნდეს. თუ forward გავრცელებულ ვებ-პორტზე არ მუშაობს, ხოლო იგივე თამაში თავის ნაგულისხმევ პორტზე მუშაობს, მიზეზი ეს არის.

მისამართები, რომლებიც იცვლება#

სახლის სერვერის ქვეშ ორი სხვადასხვა მისამართი შეიძლება შეიცვალოს.

შიდა, რომელიც ზემოთ reservation-ით გადავჭერით. და საჯარო, რომელიც საცხოვრებელი კავშირების უმეტესობაზე დინამიკურია: იცვლება, როცა როუტერი ხელახლა უკავშირდება, როცა პროვაიდერი ტექნიკურ სამუშაოებს ატარებს, ან ფიქსირებული განრიგით. ყოველ მოთამაშეს, რომელმაც შენი სერვერი მისამართით შეინახა, ახლა მკვდარი ჩანაწერი აქვს.

Dynamic DNS სიმპტომს ასწორებს. პატარა კლიენტი - ჩაშენებული ბევრ როუტერში, ან სკრიპტი სერვერზე - A ჩანაწერს ანახლებს ყოველთვის, როცა საჯარო მისამართი იცვლება, ხოლო მოთამაშეები ციფრების ნაცვლად სახელს იყენებენ. კარგად მუშაობს ერთი დათქმით: ჩანაწერს TTL აქვს, და სანამ ის არ ამოიწურება, resolver-ები ძველ მისამართს არიგებენ. დინამიკურ ჩანაწერზე TTL მოკლე დატოვე (60-300 წამი). სტატიკური IP მისამართი: როდის გჭირდება ვარიანტებს განიხილავს, ხოლო დომენის მიბმა თამაშის სერვერზე თავად ჩანაწერს ეხება.

რას აკეთებს ჰოსტინგზე მყოფი სერვერი სხვანაირად#

ჰოსტინგზე მყოფი თამაშის სერვერის მანქანა დატა-ცენტრში, საჯარო მისამართზე დგას. არ არის შენი NAT, არ არის პროვაიდერის ყუთი, არ არის ოჯახი, რომელიც upload-ს იყოფს. Port forward-ის ეკვივალენტი არის allocation: ჰოსტი შენს სერვერს მისამართს და ერთ ან რამდენიმე პორტს აძლევს, და კონტეინერი ზუსტად მათზეა მიბმული.

Pterodactyl-ზე დაფუძნებულ პანელზე, რომელზეც RE:NODE მუშაობს, ეს მიბმა სიტყვასიტყვითია. ყოველი სერვერი საკუთარ კონტეინერში მუშაობს, ხოლო Wings, node-ზე მომუშავე daemon, გამოყოფილ პორტებს node-ის საჯარო მისამართიდან კონტეინერში აქვეყნებს. თამაში შიგნით ჩვეულებრივ თავის პორტზე იბმება. მოთამაშეებისთვის ის ზუსტად საჯარო მისამართზე მყოფ თამაშის სერვერს ჰგავს, რადგან სწორედ ეს არის.

რა იცვლება პრაქტიკაში:

• გადასამისამართებელი არაფერია. Allocation თავად არის forward. RE:NODE-ზე ყოველი გეგმა წერს, რამდენ პორტს მოიცავს, ხოლო დამატებითი პორტები - query, RCON - Network ჩანართზე ემატება და იშლება. თამაშის საკუთარი პორტის პარამეტრი Startup ჩანართზეა, ასე რომ პორტის ცვლილების ორივე ნახევარი ორ ჩანართს შორისაა.
• არც CGNAT, არც double NAT. სერვერის გვერდზე ნაჩვენები მისამართი ის მისამართია, რომელსაც მოთამაშეები იყენებენ.
• სამიზნე შენი სახლი არ არის. თუ ვინმე სერვერს flood-ით დატვირთავს, flood დატა-ცენტრის ქსელზე მოდის და არა შენი მისაღების კავშირზე. RE:NODE-ზე ეს ნიშნავს upstream ფილტრაციას, რომელიც აშკარა მოცულობით flood-ებს აგდებს; შეტევებს, რომლებიც რეალურ მოთამაშეებს ჰგავს, არავინ ფილტრავს, და რას ვაკეთებთ შეტევებთან ამ განსხვავებაზე გულწრფელად საუბრობს.
• Upload შენი ოჯახის აღარ არის. დატვირთული სერვერი აღარ ეჯიბრება ზედა სართულზე მიმდინარე ვიდეოზარს, და სერვერის ტრაფიკი გიგაბაიტობით არ ითვლება - თუმცა შეუზღუდავი არ ნიშნავს ნებართვას საერთო არხის გასავსებად, როგორც bandwidth და სამართლიანი გამოყენება ხსნის.

რასაც თმობ, ეს კიდის კონტროლია. პანელზე node-ისთვის firewall-ის წესებს არ წერ; ჰოსტი წყვეტს, რა მიაღწევს კონტეინერს, და შენი პორტები ის პორტებია, რომლებიც გამოგიყვეს. თუ მეორე სერვისის გაშვება გჭირდება ნებისმიერ პორტზე, ის allocation-ში უნდა ჩაეტიოს. VDS-ზე სრულ ქსელურ სტეკს იბრუნებ, მისი დაცვის სრულ საქმესთან ერთად.

გვერდიგვერდ#

Ping-ის სტრიქონი ერთ წინადადებას იმსახურებს. როცა სახლში ჰოსტავ, შენ LAN-ის დაყოვნებით თამაშობ, დანარჩენები კი შენს სახლამდე ინტერნეტის დაყოვნებით. სწრაფ შუტერში ეს რეალური უპირატესობაა, co-op survival თამაშში კი ვერავინ ამჩნევს. ჰოსტინგზე მყოფი სერვერი ყველას, შენი ჩათვლით, ერთნაირ პირობებში აყენებს - და ევროპაში გაფანტული ჯგუფისთვის გერმანიაში მყოფი სერვერი ხშირად ჯგუფის შუაგულთან უფრო ახლოსაა, ვიდრე რომელიმე მოთამაშის სახლი. სად უნდა იდგეს შენი თამაშის სერვერი ციფრებს გაჩვენებს.

Forward-ის სწორად შემოწმება#

ხაზის რომელ მხარესაც არ უნდა იყო, ერთი და იმავე თანმიმდევრობით შეამოწმე, რადგან ყოველი ნაბიჯი ერთ ფენას გამოყოფს.

1. სერვერი უსმენს, და რაზე? Linux-ზე ss -lnup UDP-სთვის და ss -lntp TCP-სთვის. Windows-ზე Get-NetUDPEndpoint -LocalPort 2456 ან netstat -ano | findstr 2456. თუ მისამართი 127.0.0.1-ია, სერვერი loopback-ზეა მიბმული და გარედან მას ვერაფერი მიაღწევს.
2. შეუძლია LAN-ში სხვა მანქანას LAN მისამართით შესვლა? თუ არა, მანქანის firewall ბლოკავს.
3. შეუძლია გარე მანქანას საჯარო მისამართითა და პორტით შესვლა? თუ LAN მუშაობს, გარედან კი არა, პრობლემა როუტერში ან პროვაიდერშია: არასწორი პროტოკოლი, არასწორი შიდა მისამართი, double NAT ან CGNAT.
4. სერვერი სიაში ჩანს? თუ პირდაპირი შესვლა მუშაობს, სია კი არა, query პორტი აკლია ან თამაშს login token სჭირდება. რატომ არ ჩანს სერვერი სერვერების სიაში ამ შემთხვევას დეტალურად არჩევს.

# From an outside machine: TCP games$ nc -vz 203.0.113.10 25565# UDP cannot be tested with nc honestly - an open and a filtered UDP# port look the same. Query the game instead (Steam games):$ python3 -c "import a2s; print(a2s.info(('203.0.113.10', 27015)))"

მეორე ბრძანებას სჭირდება pip install python-a2s და მუშაობს მხოლოდ იმ თამაშებზე, რომლებიც Steam-ის A2S query-ს პასუხობენ; query პორტები და A2S პროტოკოლსა და ხელსაწყოებს ხსნის. მთელი ამ თანმიმდევრობის ნაბიჯ-ნაბიჯ ვერსიისთვის თამაშის შეცდომის შეტყობინებებით იხილე რატომ ვერ უერთდებიან მოთამაშეები შენს სერვერს.

არჩევანი მათ შორის#

სახლში port forwarding სწორი პასუხია, როცა ყველა ეს პირობა სრულდება: შენს როუტერს ნამდვილი საჯარო IPv4 მისამართი აქვს, ჯგუფი პატარაა, მანქანას შეუძლია ჩართული დარჩეს, და ეთანხმები, რომ მოთამაშეები შენს სახლის მისამართს უკავშირდებიან. არაფერი ღირს და ბევრს გასწავლის.

ის სწორ პასუხად აღარ რჩება, როგორც კი რომელიმე პირობა ირღვევა. CGNAT მყარი გაჩერებაა - ვერცერთი forward ვერასოდეს იმუშავებს, ხოლო გამოსავლები tunnel-ები ან relay-ებია, განხილული tunnel-ები და proxy-ები თამაშის სერვერებისთვის სტატიაში. Upload, რომელიც მოთამაშეების რაოდენობას ვერ ზიდავს, საჯარო სერვერი, რომელიც ყურადღებას მიიზიდავს, ან ჯგუფი, რომელსაც შენი არყოფნისას თამაში უნდა - ეს რბილი გაჩერებებია. ამ დროს პრობლემა forward კი არა, სახლია.

FAQ#

მჭირდება port forward ქირით აღებული სერვერისთვის?

არა. ქირით აღებულ სერვერს უკვე აქვს საჯარო მისამართი, და პორტებს მას ჰოსტი უყოფს. მხოლოდ ის უნდა დარწმუნდე, რომ თამაში მოცემული პორტების გამოსაყენებლადაა მორგებული და რომ ნებისმიერი მეორე პორტი, მაგალითად query პორტი, ასევე გამოყოფილია.

უსაფრთხოა UPnP-ის ჩართულად დატოვება თამაშის სერვერისთვის?

თავისთავად ის უფრო მოსახერხებელია, ვიდრე საშიში, მაგრამ შენს ქსელში ნებისმიერ პროგრამას შემომავალი პორტების გახსნის საშუალებას აძლევს კითხვის გარეშე, და ბევრ როუტერზე ჩუმად ფუჭდება. Forward-ების ხელით წერა და UPnP-ის გამორთვა უფრო პროგნოზირებადია და ზუსტად გაცოდინებს, რა არის ღია.

რატომ შემიძლია ჩემს სერვერზე LAN მისამართით შესვლა, საჯარო მისამართით კი არა?

ჩვეულებრივ იმიტომ, რომ შენი როუტერი hairpin NAT-ს არ უჭერს მხარს და ვერ ატარებს შიგნიდან გაგზავნილ პაკეტს საკუთარ საჯარო მისამართზე. შეამოწმე საჯარო მისამართი სხვა ქსელიდან, მაგალითად ტელეფონიდან მობილური ინტერნეტით. თუ იქიდან მუშაობს, არაფერია გაფუჭებული.

შემიძლია ერთი და იგივე პორტი სახლის ორ სერვერზე გადავამისამართო?

არა. ერთი გარე პორტი ერთ შიდა მისამართს შეესაბამება. მეორე სერვერი სხვა პორტზე გაუშვი და ის ცალკე გადაამისამართე, და გახსოვდეს, რომ თამაშები, რომლებიც Steam-ის query ბლოკს 27015-ის ირგვლივ იყენებენ, ერთმანეთს შეეჯახებიან, თუ მათ query პორტებსაც არ გადაიტან.

ანელებს port forwarding თამაშს?

არა. ტრანსლაცია როუტერის hardware-ში ან kernel-ში მიკროწამებში ხდება. სახლის სერვერს ანელებს ოჯახის upload-ის რიგის გავსება, როცა კავშირს სხვა ვინმე იყენებს, რაც მოთამაშეებთან დაყოვნების ნახტომებად ჩანს.