FiveM-Reverse-Proxy: Wozu dient er wirklich und wie richtet man ihn auf einem VPS ein?

„Stellen Sie einen Proxy vor Ihren Server“ ist der Ratschlag, der in den FiveM-Discord-Servern nach einem Angriff am häufigsten gegeben wird. Er ist manchmal zutreffend, oft jedoch unvollständig. Ein Reverse-Proxy verändert zwar, was die Angreifer sehen, nicht jedoch die Menge an Datenverkehr, die sie senden können. Dieser Leitfaden erläutert, wovor er tatsächlich schützt, wann es besser ist, darauf zu verzichten, und wie Sie einen solchen ordnungsgemäß auf einem VPS einrichten, falls dies die richtige Lösung für Sie ist.

1. Die Funktion eines Reverse-Proxys

Ein Reverse-Proxy ist ein Zwischenserver, der zwischen den Spielern und Ihrem Server angeordnet ist. Die Spieler stellen eine Verbindung zur Adresse des Proxys her; der Proxy leitet den Datenverkehr über einen privaten Kanal an den eigentlichen Server, den sogenannten Ursprungsserver, weiter. Sowohl für die Spieler als auch für die öffentliche Serverliste existiert lediglich die Adresse des Proxys.

2. Was ein Proxy tatsächlich schützt

• Die Adresse Ihres Ursprungsservers, solange sie noch nie veröffentlicht wurde. Darin liegt der Hauptvorteil: Man kann einen Rechner, dessen Adresse man nicht kennt, nicht direkt angreifen.
• Ein gehosteter Server ohne Schutzmaßnahmen : bei Ihnen zu Hause über eine Glasfaserverbindung oder bei einem Hosting-Anbieter ohne Filterung. Der Proxy, der bei einem geschützten Hosting-Anbieter eingerichtet ist, nimmt die Zugriffe an Ihrer Stelle entgegen.
• Mehrere Server hinter einem einzigen Zugangspunkt, das verschoben werden kann, ohne dass sich die den Spielern mitgeteilte Adresse ändert.

3. Seine Grenzen, über die weniger gesprochen wird

• Ein Proxy filtert von sich aus nichts. Wird er ohne Netzwerkschutz gehostet, führt ein volumetrischer Angriff zu einer Überlastung, und Ihr Server ist genau wie zuvor nicht mehr erreichbar. Der Proxy muss selbst hinter einem Netzwerk-Anti-DDoS-Schutz stehen.
• Dies führt zu einer erhöhten Latenz : ein Umweg über einen zusätzlichen Server. Befindet sich dieser im selben Land wie der Ursprungsserver, beträgt die Verzögerung nur wenige Millisekunden; ist er jedoch ungünstig platziert, spüren die Spieler dies.
• Dadurch entsteht eine weitere Schwachstelle. Sollte der Proxy ausfallen, ist der Server nicht erreichbar, selbst wenn er einwandfrei funktioniert.
• Die ursprüngliche Adresse ist leicht zu ermitteln : ein veralteter DNS-Eintrag, ein Skript, das eine externe API aufruft, ein Screenshot der Konsole. Ein einziger Sicherheitsverstoß, und der Proxy ist nutzlos.
• Es erschwert die Verwaltung : Je nach Methode kann es vorkommen, dass der Server die tatsächliche Adresse der Spieler nicht mehr erkennen kann, was Sperren anhand der IP-Adresse sowie bestimmte Anti-Cheat-Maßnahmen erschwert.

4. Proxy oder direkt geschützter VPS?

Ein Proxy ist sinnvoll, wenn

• Ihr Server läuft bei Ihnen vor Ort oder bei einem Hosting-Anbieter ohne Anti-DDoS-Schutz, und Sie können ihn nicht verlegen.
• Sie möchten mehrere Server unter einer einzigen Adresse zusammenfassen.
• Sie sind bereit, eine weitere Maschine und einen weiteren Tunnel zu warten.

Ein gesicherter VPS reicht aus, wenn

• Sie können den Server selbst auf einem Rechner hosten, der bereits im Vorfeld gefiltert wird.
• Sie möchten eine möglichst geringe Latenz.
• Sie bevorzugen eine einfache Architektur ohne zusätzliche Fehlerquellen.

Diese Entscheidung haben wir für unsere Spielserver getroffen: Der Anti-DDoS-Schutz filtert den Datenverkehr im Netzwerk, noch bevor er den Rechner erreicht, sodass der Server sich nicht verstecken muss. Wir erläutern diese Überlegungen ausführlich auf unserer Seite zum geschützten FiveM-Server. Wenn Ihre Situation unter die linke Spalte fällt, ist der weitere Verlauf dieses Leitfadens für Sie bestimmt.

5. Die zu errichtende Architektur

• Ein Proxy-VPS, der bei einem Hosting-Anbieter mit Anti-DDoS-Netzwerk gehostet wird, idealerweise im selben Land wie der Ursprungsserver. Ein kleiner VPS reicht aus: Ein Proxy beansprucht nur wenig Rechenleistung. Ein NVMe-VPS Ein Einsteigermodell reicht aus.
• Ein WireGuard-Tunnel zwischen dem Proxy und dem Ursprungsserver: Der weitergeleitete Datenverkehr wird verschlüsselt übertragen, und der Ursprungsserver benötigt keinen offenen Port im Internet.
• Nginx auf dem Proxy, mit seinem Modul stream, der den Port 30120 sowohl über TCP als auch über UDP durch den Tunnel an die Quelle weiterleitet.

In den Beispielen hat der Proxy die Adresse 10.8.0.1 im Tunnel und der Ursprungsserver 10.8.0.2.

6. Der WireGuard-Tunnel

Dieser Tunnel verbindet ausschließlich Ihren Proxy mit Ihrem eigenen Spielserver. Die Nutzung eines VPS als VPN zum Surfen oder für andere Personen stellt eine andere Verwendungsart dar, die durch unsere WireGuard-Modul.

Installieren Sie WireGuard auf beiden Rechnern und generieren Sie auf beiden Seiten ein Schlüsselpaar:

apt update && apt install -y wireguard
cd /etc/wireguard && umask 077
wg genkey | tee private.key | wg pubkey > public.key

Auf der Proxy, /etc/wireguard/wg0.conf :

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <cle privee du proxy>
[Peer]
PublicKey = <cle publique de l'origine>
AllowedIPs = 10.8.0.2/32

Auf der Ursprungsserver :

[Interface]
Address = 10.8.0.2/24
PrivateKey = <cle privee de l'origine>
[Peer]
PublicKey = <cle publique du proxy>
Endpoint = IP_PUBLIQUE_DU_PROXY:51820
AllowedIPs = 10.8.0.1/32
PersistentKeepalive = 25

Der Ursprung initiiert die Verbindung zum Proxy mithilfe von PersistentKeepalive : Sie benötigt daher keinen eingehenden Port, was sogar hinter einer Routerbox funktioniert. Starten Sie den Tunnel auf beiden Seiten mit systemctl enable --now wg-quick@wg0, und überprüfen Sie anschließend mit ping 10.8.0.2 über den Proxy.

7. Der Nginx-Relay auf dem Proxy

apt install -y nginx libnginx-mod-stream

Fügen Sie am Ende von /etc/nginx/nginx.conf, außerhalb des Operationssaals http :

stream {
    upstream fivem_tcp { server 10.8.0.2:30120; }
    upstream fivem_udp { server 10.8.0.2:30120; }
    server {
        listen 30120;
        proxy_pass fivem_tcp;
    }
    server {
        listen 30120 udp reuseport;
        proxy_pass fivem_udp;
        proxy_timeout 60s;
    }
}

nginx -t && systemctl reload nginx
ufw allow 30120 comment 'FiveM via proxy'
ufw allow 51820/udp comment 'WireGuard'

Schließen Sie auf dem Ursprungsserver den Port 30120 für den Internetzugang und lassen Sie nur den Tunnel zu: ufw allow in on wg0 to any port 30120. Dadurch wird sichergestellt, dass niemand den Proxy umgeht.

8. Die Datei „server.cfg“ des Ursprungsservers

Sie müssen FiveM noch mitteilen, dass es sich hinter einem Proxy befindet, damit es sich in der öffentlichen Liste mit der Proxy-Adresse anmeldet und dem Relay vertraut. FiveM stellt hierfür Richtlinien bereit; die wichtigsten sind:

set sv_forceIndirectListing true
set sv_listingHostOverride "play.monserveur.fr"
set sv_proxyIPRanges "10.8.0.0/24"
set sv_endpoints "IP_PUBLIQUE_DU_PROXY:30120"

Lassen Sie Ihre Domain auf folgende Adresse verweisen: play.monserveur.fr im Beispiel an die Adresse des Proxy, niemals zum Ursprung hin. Siehe DNS konfigurieren.

9. Überprüfen Sie, ob alles dicht ist

1. Melden Sie sich im Spiel an mit connect play.monserveur.fr:30120 : Der Server sollte wie gewohnt antworten.
2. Versuchen Sie von einem anderen Anschluss aus, die ursprüngliche Adresse direkt über Port 30120 anzusteuern: Die Verbindung sollte fehlschlagen.
3. Suchen Sie Ihre ursprüngliche Adresse im öffentlichen DNS-Verlauf Ihrer Domain: Sollte sie dort aufgeführt sein, ändern Sie sie bitte, da sie bereits bekannt ist.
4. Beobachten Sie die Latenz der Spieler in den ersten Tagen: Sollte diese deutlich angestiegen sein, verlegen Sie den Proxy näher an die Quelle.

Sollten beim Start Probleme auftreten, lesen Sie bitte Die häufigsten Fehler beim Systemstart, und was Verkehrsbehinderungen betrifft, FiveM-Server, der ruckelt.

Häufig gestellte Fragen

Weiterlesen

So sichern Sie Ihren Linux-VPS in 10 Schritten

SSH, Firewall, Fail2ban, automatische Updates: Der umfassende Leitfaden zur Absicherung Ihres Linux-VPS-Servers bereits ab der ersten Verbindung und zur Vermeidung von …

Anti-DDoS: So funktioniert der Schutz

Die Filtermechanismen auf den Schichten L3, L4 und L7 sowie die automatische Abwehrmaßnahmen verstehen und erfahren, warum die Netzwerkkapazität ebenso wichtig ist wie der Erkennungsalgorithmus…

Über Remote Desktop eine Verbindung zu einem Windows-VPS herstellen

Verbindung zu Ihrem Windows-VPS über Remote Desktop (RDP) von Windows, Mac, Linux, iPhone oder Android aus herstellen