Minecraft RCON Passwort-Generator
Generiere ein sicheres RCON-Passwort für deinen Minecraft-Server zusammen mit direkt einfügbaren server.properties-Zeilen, einem Docker-Befehl (itzg/minecraft-server) und einem mcrcon-Befehl, der über einen SSH-Tunnel läuft. Alles wird in deinem Browser generiert.
Leute suchen nach "Minecraft-Server-Passwort" und erwarten ein Feld, in das Spieler ein Passwort eingeben, um beizutreten. Vanilla Java Edition hat so etwas nicht. Das RCON-Passwort ist es auch nicht. RCON ist eine Remote-Admin-Konsole: ein TCP-Port, der Serverbefehle (/op, /stop, /whitelist und alles Weitere) von jedem akzeptiert, der das Passwort kennt. Damit kannst du Befehle ausführen, ohne dich mit dem Terminal des Servers zu verbinden, und Backup-Skripte nutzen es, um das Speichern zu pausieren. Es hält Spieler nicht vom Beitreten ab.
Hier gibt es also zwei getrennte Aufgaben:
- Kontrolliere, wer spielen darf: Whitelist plus Online-Modus.
- Schütze die Admin-Konsole: ein starkes RCON-Passwort und RCON fern vom öffentlichen Internet.
Die Whitelist ist das Schloss. Das sind die server.properties-Einstellungen, die zählen:
| Eigenschaft | Was es tut |
|---|---|
white-list=true | Nur Spieler auf der Whitelist (und Ops) können beitreten. |
enforce-whitelist=true | Wenn sich die Whitelist ändert, werden Online-Spieler, die nicht mehr darauf stehen, gekickt. |
online-mode=true | Spieler müssen gegen Minecrafts Kontoserver verifiziert werden. Das macht die Namen auf der Whitelist überhaupt erst aussagekräftig. |
Füge dann deine Spieler von der Server-Konsole oder im Spiel als Op hinzu:
/whitelist on
/whitelist add SomePlayer
/whitelist remove SomePlayer
/whitelist list
/whitelist reload
/op YourNameOps können bei aktiver Whitelist immer beitreten, auch wenn sie nicht gelistet sind, also sei sparsam mit /op. Ops können außerdem jeden Befehl ausführen, den auch RCON kann.
Die server.properties-Seite sind drei Zeilen:
enable-rcon=true
rcon.port=25575
rcon.password=YOUR_GENERATED_PASSWORDStandardwerte: enable-rcon ist false, rcon.port ist 25575 und rcon.password ist leer. Wenn RCON mit leerem Passwort aktiviert wird, startet es nicht.
Ein langes, zufälliges Passwort behandelt das Raten. Nichts, was ein Passwort tun kann, behandelt den Klartext. Also:
- Leite 25575 nicht weiter auf deinem Router. Nur der Spiele-Port (standardmäßig 25565) muss für Spieler erreichbar sein.
- Firewall es ab auf einem VPS. Mit ufw:
sudo ufw allow 25565/tcpundsudo ufw deny 25575/tcp. - Veröffentliche in Docker nur den Spiele-Port oder veröffentliche RCON mit ... auf localhost
-p 127.0.0.1:25575:25575. Von Docker veröffentlichte Ports umgehen ufw-Regeln.
server.properties wird als Java-properties-Datei gelesen. Ein Backslash beginnt eine Escape-Sequenz, und führende Leerzeichen werden entfernt. Doppelpunkte, Gleichheitszeichen, Rauten und Ausrufezeichen funktionieren, aber Minecraft schreibt sie mit einem Backslash davor um. Deshalb verwendet dieser Generator standardmäßig A-Z, a-z und 0-9.
| In der Datei geschrieben | Passwort, das funktionierte | Lehre |
|---|---|---|
ab\cd | abcd | Ein Backslash escaped das nächste Zeichen und verschwindet. |
x\ty | x, a tab, y | \t wird zu einem echten Tab. |
end\\ | end\ | Schreibe \\ für einen einzelnen Backslash. |
ab:c=d#e!f | ab:c=d#e!f | Funktioniert, und der Server hat die Zeile als ab\:c\=d\#e\!f umgeschrieben. |
Die Datei ist nicht der einzige Parser in der Kette. Das Passwort durchläuft auch deine Shell, vielleicht eine Compose-Datei, vielleicht eine .env-Datei, vielleicht ein Backup-Skript. Jedes davon hat seine eigenen Regeln für $, Anführungszeichen, Backslashes und !. Wenn du den Alles-Symbole-Modus wählst, escaped der Generator \ : = # ! in der properties-Zeile.
- RCON ist standardmäßig aktiviert, weil das Image es für saubere Shutdowns und für die Koordination des Speicherns während Backups nutzt.
- Wenn du RCON_PASSWORD nicht setzt, wird bei jedem Start ein zufälliges Passwort generiert. Das ist sicher, aber externe Tools können es nicht kennen.
- Setze RCON_PASSWORD oder RCON_PASSWORD_FILE, das auf eine Datei zeigt (praktisch mit Docker-Secrets).
- Der Container enthält rcon-cli, bereits mit dem Passwort konfiguriert.
docker exec mc rcon-cli listfunktioniert einfach. - Sei vorsichtig, den RCON-Port extern zu veröffentlichen.
- Kein RCON. Der Bedrock Dedicated Server hat keine RCON-Einstellung in server.properties.
- Allowlist, nicht Whitelist. Setze allow-list=true und verwalte allowlist.json mit dem allowlist-Befehl. Anders als bei Java bringt dich ein Operator-Status nicht über die Liste hinweg.
online-mode=trueerfordert Xbox-Live-Authentifizierung.
Ändere das RCON-Passwort, wenn jemand mit Zugriff geht, wenn es jemals in einen Chat oder einen Screenshot getippt wurde oder wenn du feststellst, dass der Port freigelegt war.
- 25575 weiterzuleiten, "damit das Panel funktioniert" – nutze einen Tunnel oder platziere das Panel auf derselben Maschine.
- Das Passwort von deinem Hosting-Konto oder von etwas anderem wiederzuverwenden. RCON sendet es im Klartext, also geh davon aus, dass es leaken kann.
- Es in git in einer Compose-Datei zu committen. Nutze RCON_PASSWORD_FILE oder eine nicht versionierte .env.
- Das RCON-Passwort als Beitrittspasswort zu behandeln. Spieler kommen ohne Whitelist trotzdem einfach rein.
- Einen Backslash in server.properties einzufügen und sich zu wundern, warum das Passwort nicht funktioniert.