Minecraft en VPS: control total y la factura que viene con él

En el plan gestionado, los 4GB del contrato existen para el proceso del juego. En la VPS, esos mismos 4GB pagan kernel, systemd, sshd, el MariaDB que instalaste y solo después la JVM. Quien pone Xmx4G en una máquina de 4GB ve el servidor funcionar bien unas horas y desaparecer de madrugada.

Desaparecer es la palabra exacta: sin memoria, el kernel mata el proceso más grande, sin crash report, solo el log parándose a mitad de línea. Reserva de 1GB a un cuarto de la RAM antes de fijar el Xmx, porque la JVM todavía gasta fuera del heap en metaspace y pila de hilos.

Minecraft resuelve la lógica del mundo en un solo hilo, y es el reloj de ese hilo el que se convierte en TPS. En una VPS de 1 vCPU ese hilo comparte el procesador con el recolector de basura, con el Nginx de la web y con el cron de las tres de la mañana.

El servidor vacío esconde todo eso. Aparece cuando treinta jugadores generan chunk a la vez y el recolector hace una pausa: el tick revienta y la consola avisa de que no puede seguir el ritmo. Por encima de veinte jugadores con plugins, la segunda vCPU pesa más que el gigabyte extra.

El panel tiene watchdog: el proceso murió, lo vuelve a levantar. En la VPS eso sale de un archivo en /etc/systemd/system/minecraft.service, con Restart=on-failure y RestartSec. Sin él, sesión de screen cerrada es servidor offline hasta que alguien se despierte.

Y ahí falta una decisión. Reiniciar en bucle un servidor que se rompió por un mundo corrupto solo multiplica el destrozo: limita los intentos con StartLimitBurst y manda la alerta fuera de la máquina. Un monitor externo en el puerto 25565 avisa mejor que cualquier promesa de uptime.

Lobby y survival detrás de un proxy exigen online-mode desactivado en los backends. Solo es seguro si escuchan en 127.0.0.1 o están bloqueados en el firewall: un puerto de backend abierto sin verificación de sesión es una invitación a entrar con el nick del administrador.

El forwarding moderno con secreto compartido resuelve la identidad del jugador, no la regla de firewall. Antes de anunciar la IP, comprueba con ss en qué dirección escucha cada proceso java, y deja la base de datos en el socket local.