Geyser und Bedrock hinter dem DDoS-Schutz einrichten

Warum Bedrock anders ist

• Java schickt beim Verbinden mit, welche Domain der Spieler eingegeben hat. So können viele Server dieselbe Adresse beim Schutz teilen.
• Bedrock (Handy, Konsole, Windows-Edition) verbindet sich über UDP und schickt die Domain nicht mit. Deshalb braucht jeder Server eine eigene Adresse mit eigenem Port.
• Bedrock kennt keine SRV-Einträge. Spieler müssen den Port also selbst eintragen.

So richtest du es ein

Du brauchst einen laufenden Geyser (als Plugin auf Velocity oder Paper, oder eigenständig) und musst wissen, unter welcher Adresse und welchem Port er erreichbar ist. Der Standard-Port ist 19132.

1. Route öffnen

   Im Dashboard unter Domains & Routen die Einstellungen deiner Domain öffnen.

2. Bedrock einschalten

   Im Bereich Bedrock (Minecraft Mobile/Konsole) trägst du Geyser-Host (IP oder Domain deines Servers) und Geyser-Port ein und klickst auf Bedrock aktivieren.

3. Adresse notieren

   Unter Bedrock-Ingress siehst du jetzt die Adresse und den Port, unter denen Bedrock-Spieler deinen Server erreichen.

4. Schöne Adresse anlegen

   Leg bei deinem Domain-Anbieter einen A-Eintrag an, z. B. bedrock.deinserver.de, der auf die angezeigte IP zeigt. Liegt die Domain bei Cloudflare: Proxy-Status Nur DNS (graue Wolke).

5. Deinen Spielern sagen

   Server-Adresse bedrock.deinserver.de, Port: der angezeigte Port. Beides tragen sie unter „Server hinzufügen“ ein.

Echte Spieler-IP bei Bedrock

Ohne Zusatz sieht Geyser bei allen Bedrock-Spielern die Adresse unseres Filters. Damit die echte IP ankommt, stellst du bei BlackProtect Echte Spieler-IP weiterreichen auf An – nur erstes Paket (empfohlen) und schaltest es in der config.yml von Geyser im Abschnitt bedrock ein:

bedrock:
  port: 19132
  enable-proxy-protocol: true

Bedrock-Port absichern

Wie bei Java gilt: Nur unsere Filter-Server sollen den Geyser-Port erreichen. Auf einem eigenen Linux-Server mit ufw sieht das so aus (Adressen werden live geladen):

• Frankfurt am Main194.62.248.59
• Nürnberg185.217.124.16

# SSH zuerst erlauben, sonst sperrst du dich aus!
# (Läuft SSH bei dir auf einem anderen Port, trag ihn statt 22 ein.)
sudo ufw allow 22/tcp

# Bedrock (Geyser) nur für die Filter-Server von BlackProtect
sudo ufw allow from 194.62.248.59 to any port 19132 proto udp
sudo ufw allow from 185.217.124.16 to any port 19132 proto udp

# Eine alte Freigabe für alle entfernen (falls vorhanden)
sudo ufw delete allow 19132/udp

sudo ufw enable
sudo ufw status

Läuft Geyser auf einem anderen Port, ersetze 19132 durch deinen Port. Mehr zu Firewalls, auch zu Docker und Pterodactyl: Server-IP verstecken.

Typische Probleme

• Server erscheint in der Liste, Beitreten klappt nicht: Fast immer passt die Einstellung für die echte Spieler-IP nicht zusammen (siehe oben).
• Server erscheint gar nicht: Prüfe Port und Host bei BlackProtect, ob Geyser läuft und ob der UDP-Port in der Firewall für unsere Filter-Server offen ist.
• Fehlermeldung „keine freie Bedrock-Ingress verfügbar“: Dann sind gerade alle Bedrock-Adressen vergeben. Schreib uns im Discord, wir schalten mehr frei.