Aller au contenu

ADR-0011 : Exposition du serveur de jeux sans tunnel, avec split DNS

  • Statut : Acceptée
  • Date : 2026-11-04

Contexte

Le serveur de jeux (VM dans le VLAN GAMES) doit être joignable depuis internet par un nom de domaine. Contraintes : - WAN 5G avec IP publique réelle (pas de CGNAT), mais dynamique ; - une box opérateur devant OPNsense : deux niveaux de NAT ; - le serveur doit aussi être joignable depuis le réseau local, par le même nom.

Options envisagées

  1. Tunnel ou overlay tiers (ZeroTier, Tailscale, tunnel Cloudflare) : pas de redirection de ports, mais dépendance à un service externe, client à installer pour chaque joueur, et chemin réseau opaque.
  2. Exposition directe : DDNS + redirections de ports + nom DNS public. Standard, maîtrisé de bout en bout.

Décision

Option 2.

Joueur ── game.<domaine> (CNAME → home.<domaine>, DDNS)
      ── IP publique ── box : TCP 25565 → WAN OPNsense
      ── OPNsense : redirection → 10.0.70.10:25565 (règle de pare-feu associée)
      ── VM jeux (DMZ GAMES)
Brique Choix Raison
IP publique dynamique DDNS (os-ddclient) avec détection par service web L'interface WAN porte une adresse privée de la box : la lire publierait une IP privée
Nom du service CNAME vers le nom DDNS Un seul enregistrement à tenir à jour, quel que soit le nombre de services
Adresse WAN d'OPNsense Réservation DHCP sur la box La redirection de la box doit viser une adresse stable
Redirection OPNsense Alias de port minecraft, règle de pare-feu associée La redirection est la source unique de vérité du flux : pas de règle orpheline
Accès depuis le LAN Split DNS (Host Override Unbound vers l'IP privée) Évite le hairpin NAT, souvent mal géré par les box

Conséquences

  • Contrôle d'accès applicatif obligatoire : online-mode=true et liste blanche, le port étant scanné en permanence.
  • Le même nom renvoie l'IP publique depuis internet et l'IP privée depuis le LAN.
  • Depuis GUEST, le serveur n'est pas joignable (blocage RFC1918) ; une règle dédiée, placée au-dessus du blocage, l'autoriserait.
  • Le journal de la redirection est désactivé après les tests (bruit des scans).