Documentation

Un serveur Minecraft entre amis, sans ouvrir de port

Vous avez monté un serveur Minecraft sur votre PC, et le premier tutoriel venu vous demande d'ouvrir le port 25565 sur votre box. Il existe une autre voie : le serveur et vos amis rejoignent le même réseau privé, chacun se connecte par le nom de la machine, et personne d'autre sur Internet ne peut seulement voir que le serveur existe. Aucune redirection de port, aucune configuration de box — chez vous comme chez eux.

Pourquoi ouvrir le port 25565 est une mauvaise idée

Un serveur Minecraft Java écoute par défaut sur le port 25565. Pour que des amis le rejoignent depuis chez eux, la méthode classique consiste à créer une redirection de port sur la box : dire au routeur « ce qui arrive sur le 25565, envoie-le à mon PC ». C'est précisément là que les ennuis commencent.

Un port ouvert est un port scanné

Un port ouvert sur Internet est un service exposé : il est scanné en permanence par des robots, et le 25565 est un port bien connu. Chaque faille du logiciel qui écoute devient exploitable depuis n'importe où — et c'est votre réseau familial qui est derrière.

La corvée de configuration

Interface d'administration de la box, règle de redirection à créer à la main, adresse IP publique qui change, CGNAT des accès 4G/5G et de nombreuses fibres récentes où il n'y a tout simplement aucun port à ouvrir : la moitié des « mes amis n'arrivent pas à se connecter » vient de là.

L'hébergeur loué : un autre compromis

Louer un serveur hébergé fonctionne, mais c'est un abonnement qui court, et votre monde vit sur la machine de quelqu'un d'autre. Pour un serveur entre amis, faire tourner le serveur chez soi et le rendre joignable en privé est souvent le meilleur des deux mondes.

L'approche réseau privé : joignable par vos amis, invisible du reste

Avec VIGIL-MESH, la machine qui héberge le serveur et celles de vos amis rejoignent le même espace de travail : un réseau privé chiffré qui relie vos machines entre elles, par-dessus Internet. Chaque machine y reçoit une adresse stable et un nom, et n'établit que des connexions sortantes — aucun port entrant n'est ouvert, ni chez vous, ni chez vos amis.

Vos amis se connectent au serveur par le nom de la machine (MagicDNS) ou par son adresse stable — la même quel que soit le réseau physique où elle se trouve.
Le trafic est chiffré de bout en bout (QUIC/TLS 1.3) et emprunte un chemin direct pair-à-pair dès qu'il existe ; en attendant, un relais aveugle fait le lien, puis la session migre sans coupure.
Les politiques d'accès sont en deny by default : seuls les membres de votre espace de travail peuvent joindre le serveur. Pour le reste d'Internet, il n'existe pas.
Rien à configurer sur la box — ni la vôtre, ni celle de vos amis, ni celle de la résidence étudiante ou du partage de connexion 4G.

Dans le jeu, rien ne change : chacun ajoute le serveur avec le nom de la machine hôte à la place de l'adresse IP publique, et s'y connecte comme à n'importe quel serveur. Le nom survit aux changements de réseau — pas de nouvelle adresse à redonner au groupe à chaque fois.

Et le mode « Ouvrir au LAN » ?

Minecraft sait aussi partager une partie solo sans serveur dédié : le mode « Ouvrir au LAN » annonce la partie sur le réseau local, et les autres joueurs du même réseau la voient apparaître toute seule. À travers un VPN classique, cette annonce se perd — elle repose sur la diffusion locale, que les VPN routés abandonnent.

Chaque réseau VIGIL est un vrai domaine de diffusion : l'annonce « Ouvrir au LAN » traverse le mesh chiffré et arrive chez chaque membre, comme si tout le monde était sur le même switch. La partie apparaît dans la liste des parties locales de vos amis, où qu'ils soient.

Mettre le serveur en ligne — pour vos amis seulement

1
Créez votre espace de travailOuvrez un compte VIGIL-MESH — gratuit pour un usage personnel. Un espace de travail est créé pour vous : ce sera le réseau privé de votre serveur.
2
Installez le client sur la machine du serveurInstallez le client VIGIL-MESH sur la machine qui fait tourner le serveur Minecraft — Windows ou Linux — puis enrôlez-la depuis la console : page Réseaux, panneau Machines, « Ajouter une machine ». Une clé à usage unique fait le rattachement.
3
Invitez vos amisInvitez les autres joueurs dans votre espace de travail. Chacun installe le client sur sa machine de jeu et la rattache au réseau — la même séquence, chez eux, sans toucher à leur box.
4
Vérifiez la connectivitéDans la console, chaque machine apparaît avec son adresse stable et son nom. Un ping vers le nom de la machine hôte confirme que tout le monde se voit.
5
Ajoutez le serveur dans le jeuChaque joueur ajoute un serveur multijoueur avec le nom MagicDNS de la machine hôte comme adresse, et se connecte — exactement comme si le serveur était sur son réseau local.

Le serveur tourne chez vous, vos amis le joignent par son nom, et le port 25565 n'est jamais sorti de votre réseau privé.

Questions fréquentes

Est-ce que ça rajoute du lag ?

VIGIL-MESH établit un chemin direct pair-à-pair entre chaque joueur et le serveur dès qu'il existe : les paquets vont d'une machine à l'autre sans détour imposé par un serveur central. Quand la connexion démarre par le relais, la migration vers le direct se fait sans coupure — la partie en cours ne voit rien. Personne ne peut promettre un ping chiffré, mais le chemin emprunté est le plus court disponible.

C'est gratuit ?

Oui, VIGIL-MESH est gratuit pour un usage personnel — et un serveur Minecraft entre amis relève exactement de cet usage. Le trafic direct pair-à-pair est illimité.

Ça marche avec un serveur moddé (Forge, Fabric, plugins) ?

Oui, même principe. Pour le réseau, un serveur Minecraft Java — vanilla, moddé ou avec plugins — reste un service qui écoute en TCP et que les clients joignent par une adresse : rien ne change dans la manière de le joindre à travers le mesh. Les mods restent à gérer côté jeu, comme d'habitude.

Faut-il quand même configurer une whitelist ?

Sur le mesh, seuls les membres de votre espace de travail peuvent atteindre le serveur : par défaut, tout le reste est refusé (deny by default), et le serveur n'est pas exposé à Internet — les scans automatiques ne le voient pas. La whitelist du jeu reste une bonne pratique en jeu, mais elle n'est plus votre seule ligne de défense.

Mes amis en 4G/5G ou derrière un CGNAT peuvent-ils rejoindre ?

Oui. Chaque machine établit uniquement des connexions sortantes en 443 UDP — ce qu'un CGNAT laisse passer. La connexion s'établit immédiatement via le relais, puis migre sans coupure vers le chemin direct quand la traversée NAT aboutit. Si le direct est impossible, le trafic reste relayé par la vigie, chiffré de bout en bout.

Lire ensuiteJouer en LAN à distance : le VPN qui diffuse vraiment →