Masquer l'IP de son serveur FiveM avec un proxy WireGuard

• La façade : un petit VPS avec une IP protégée, celle que voient les joueurs. Il n'héberge aucune ressource, il ne fait que transmettre.
• Le tunnel : une liaison WireGuard chiffrée entre la façade et votre serveur de jeu, sur un réseau privé du type 10.8.0.0/24.
• Le serveur de jeu : votre serveur FiveM, dont l'IP publique n'est plus jamais annoncée.

Sur les deux machines, installez WireGuard et générez une paire de clés :

apt update && apt install -y wireguard
wg genkey | tee /etc/wireguard/private.key | wg pubkey > /etc/wireguard/public.key
chmod 600 /etc/wireguard/private.key

Sur la façade, créez /etc/wireguard/wg0.conf :

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = CLE_PRIVEE_FACADE

[Peer]
PublicKey = CLE_PUBLIQUE_SERVEUR_JEU
AllowedIPs = 10.8.0.2/32

Sur le serveur de jeu, le fichier symétrique :

[Interface]
Address = 10.8.0.2/24
PrivateKey = CLE_PRIVEE_SERVEUR_JEU

[Peer]
PublicKey = CLE_PUBLIQUE_FACADE
Endpoint = IP_PUBLIQUE_FACADE:51820
AllowedIPs = 10.8.0.0/24
PersistentKeepalive = 25

1. 1Activez le tunnel des deux côtés : systemctl enable --now wg-quick@wg0.
2. 2Ouvrez le port 51820 en UDP sur la façade : ufw allow 51820/udp.
3. 3Vérifiez la liaison : ping 10.8.0.1 depuis le serveur de jeu, et wg show pour voir le dernier échange.

Sur la façade, autorisez le routage puis redirigez le port 30120, en TCP et en UDP, vers le serveur de jeu à travers le tunnel :

echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/99-proxy.conf
sysctl --system

iptables -t nat -A PREROUTING -p tcp --dport 30120 -j DNAT --to-destination 10.8.0.2:30120
iptables -t nat -A PREROUTING -p udp --dport 30120 -j DNAT --to-destination 10.8.0.2:30120
iptables -A FORWARD -d 10.8.0.2 -p tcp --dport 30120 -j ACCEPT
iptables -A FORWARD -d 10.8.0.2 -p udp --dport 30120 -j ACCEPT

Rendez ces règles persistantes avec apt install -y iptables-persistent puis netfilter-persistent save.

Conserver l'adresse IP réelle des joueurs

C'est le point que la plupart des tutoriels ratent. Si vous ajoutez une règle de masquage (MASQUERADE) sur la façade, tout fonctionne, mais votre serveur voit tous les joueurs arriver depuis 10.8.0.1 : les bans par IP, les journaux et les protections anti-triche deviennent inutilisables.

Pour garder les vraies adresses, ne masquez pas, et faites revenir les réponses par le tunnel avec une règle de routage, sur le serveur de jeu :

ip route add default dev wg0 table 100
ip rule add from 10.8.0.2 table 100

Sans cette étape, votre serveur continue d'annoncer son IP réelle dans la liste des serveurs, et le proxy ne sert à rien. Ajoutez dans server.cfg :

set sv_forceIndirectListing true
set sv_endpoints "IP_FACADE:30120"
set sv_listingIpOverride "IP_FACADE:30120"
set sv_proxyIPRanges "10.8.0.0/24"
set sv_requestParanoia 1

• sv_forceIndirectListing empêche la liste des serveurs d'annoncer votre serveur avec son IP réelle.
• sv_endpoints déclare le point d'entrée réellement utilisé par les joueurs, ici la façade.
• sv_listingIpOverride indique quelle adresse le service de listing doit interroger, utile quand le serveur est filtré et joignable uniquement via le proxy.
• sv_proxyIPRanges autorise l'en-tête X-Real-IP depuis le réseau du tunnel et exempte celui-ci du limiteur de débit.
• sv_requestParanoia durcit le serveur contre les floods HTTP passant par un proxy.

1. 1Redémarrez le serveur FiveM, puis connectez-vous avec connect IP_FACADE:30120.
2. 2Depuis un autre poste, interrogez http://IP_FACADE:30120/info.json : la réponse doit venir de votre serveur, via le proxy.
3. 3Cherchez votre serveur dans la liste : l'adresse affichée doit être celle de la façade.
4. 4Vérifiez dans vos journaux de connexion que les adresses des joueurs sont bien leurs adresses publiques, et non 10.8.0.1.

ufw allow in on wg0 to any port 30120
ufw deny 30120

• Le proxy ajoute un saut réseau : quelques millisecondes de latence en plus, négligeables si la façade est proche du serveur de jeu, pénalisantes si elle est sur un autre continent.
• La façade devient un point de défaillance : si elle tombe, le serveur devient injoignable même s'il fonctionne.
• Le tunnel réduit la taille utile des paquets. En cas de comportements étranges, abaissez le MTU de l'interface WireGuard, par exemple à 1380.
• La documentation officielle propose aussi un proxy avec le module stream de nginx, qui doit transmettre le même numéro de port en TCP et en UDP.

Si vous voulez ce résultat sans monter l'infrastructure, notre Tunnel IP fournit une façade déjà filtrée, et nos serveurs FiveM managés intègrent la protection Anti-DDoS Gcore sans configuration de votre part.