Velocity-Hosting für Minecraft-Netzwerke

Ein gut abgestimmtes Paper trägt eine Menge Leute, lange bevor ein Proxy Sinn ergibt. Was ein Projekt zu Velocity drängt, ist die Zahl der parallelen Java-Prozesse, nicht die Auslastung.

Die Rechnung kippt, sobald die Instanzen nicht mehr zueinander passen: andere Versionen, andere Mod-Loader, andere Neustartzyklen. Nichts davon passt in einen einzigen Server, und genau dort zahlt sich der Proxy aus.

Umgekehrt gilt es genauso deutlich: Der Proxy ist ein weiterer Dienst zum Überwachen und der Punkt, durch den alle hindurchgehen. Wer einen Server hat und nur eine weitere Welt will, fährt mit einem Multiworld-Plugin besser.

Den Spieler bei Mojang authentifiziert der Proxy, also laufen die Backends mit abgeschaltetem online-mode und glauben ihm, wer da gerade angekommen ist. Beim alten Forwarding reist diese Information am Handshake angehängt mit, ohne Signatur.

Modern forwarding schließt die Lücke mit einem gemeinsamen Geheimnis: Velocity signiert die Spielerdaten mit dem Inhalt von forwarding.secret, und das Backend lehnt die Verbindung ab, wenn die Signatur nicht passt. Bei Paper steht das in der paper-global.yml.

Zwei Details bringen mehr Leute zu Fall als die Theorie. Das Geheimnis muss Byte für Byte übereinstimmen, und ein einziger überzähliger Zeilenumbruch am Dateiende weist bereits alle ab. Und wer über den Proxy hereinkommt, bekommt eine Online-UUID: Forwarding auf einem alten Server einzuschalten heißt, Inventare und Rechte zu migrieren.

Ein Backend mit abgeschaltetem online-mode akzeptiert jeden Namen. Antwortet sein Port im Internet, verbindet sich jemand von außen als vermeintlicher Besitzer und ist mit allen Rechten drin. Das ist weder ein Fehler von Velocity noch von BungeeCord: Es ist der Preis dafür, die Authentifizierung zu delegieren und auf halbem Weg stehen zu bleiben.

Die Regel: Nur der Port des Proxys bleibt öffentlich, standardmäßig 25577, und jedes Backend nimmt Verbindungen ausschließlich von dessen IP an. Mit UFW ist das eine Regel je Backend plus die Standardablehnung eingehender Verbindungen. Danach aus einem anderen Netz testen: Kommt die direkte Verbindung zustande, steht das Netzwerk offen.

Velocity lädt keine Chunks, simuliert keine Entities und speichert keine Welt. Es liest ein Paket, entscheidet über das Ziel und schreibt es wieder heraus, pro Spieler und in beide Richtungen. Den Heap zu vergrößern ändert fast nichts: Zuerst eng werden die Paketrate und das Limit offener Verbindungen.

Deshalb trägt ein kleiner VPS den Proxy, während die Backends auf Maschinen mit CPU-Luft liegen. Woran sich nicht sparen lässt, ist Entfernung: Jeder Sprung zwischen den Enden landet im Ping, und mit beiden in São Paulo fällt diese Schicht aus der Rechnung.