Protecció DDoS per a Minecraft: què pot fer i què no un plugin

Tres tipus d’atac

Inundació de xarxa

Una quantitat enorme de trànsit omple la connexió del servidor. El servidor deixa de ser accessible o va lent per a tothom, i al registre d’entrades no hi apareix res de nou.

Inundació de connexions

Milers de connexions o pings de la llista de servidors que mai no es converteixen en jugadors. No saturen la connexió, però mantenen el proxy ocupat fins que deixa de respondre als jugadors reals.

Atac de bots

Uns jugadors falsos completen l’entrada, ocupen les places i omplen el xat de missatges brossa. Cada bot és una connexió real, normalment des d’una adreça d’una llista de proxies, de manera que al servidor li sembla un jugador.

Per què un plugin no pot aturar un DDoS

Un plugin s’executa dins del proxy o del servidor. Quan la connexió està saturada o la màquina està ocupada descartant paquets, el plugin ni tan sols arriba a executar-se. El filtratge s’ha de fer abans que el trànsit arribi a la vostra màquina: a la xarxa del vostre proveïdor d’allotjament o en un servei situat davant.

D’on ve la protecció DDoS real

• Molts proveïdors d’allotjament de Minecraft i alguns centres de dades, per exemple OVHcloud amb el seu filtratge per a jocs, inclouen protecció DDoS i filtren els atacs a la seva xarxa abans que us arribin.
• Un proxy de protecció com TCPShield o Cloudflare Spectrum (plans de pagament) se situa davant del servidor: els jugadors es connecten a la seva xarxa i només us arriba el trànsit net. Activeu el protocol PROXY al servei i poseu haproxy-protocol = true a velocity.toml o proxy_protocol: true al config.yml de BungeeCord (o instal·leu el plugin del servei); si no, el vostre proxy veu les adreces del servei en lloc de les dels jugadors, i els bans per IP i les comprovacions d’adreces deixen de funcionar.
• Mantingueu amagada l’adreça real. Si els atacants coneixen l’adreça directa del vostre proxy o servidor de joc, esquiven la protecció, així que no feu servir aquesta adreça per a res més i canvieu-la si s’ha filtrat.

Aquests serveis filtren trànsit. No saben res dels usuaris de VPN, de l’evasió de bans ni dels bots que completen l’entrada.

Què podeu configurar al proxy

Tots dos proxies poden alentir una adreça que es connecta massa sovint:

• Velocity: login-ratelimit a velocity.toml, el temps mínim entre entrades des d’una mateixa adreça, en mil·lisegons.
• BungeeCord: connection_throttle i connection_throttle_limit a config.yml.

Això ajuda contra una inundació des de poques adreces, no des de milers. A la vostra pròpia màquina, una regla de tallafoc que limiti les connexions noves per adreça ajuda contra les inundacions de connexions petites.

Atacs de bots: aquí sí que ajuden els plugins

Un atac de bots és el cas en què un plugin és l’eina adequada, perquè cada bot arriba com una entrada. Kordon comprova l’adreça de cada entrada, passa el servidor al mode d’atac quan comença una onada i tanca les xarxes que fan servir els bots; el mode d’atac és a tots els plans, també al gratuït. Un plugin de verificació com Sonar atrapa els bots que arriben d’adreces netes. Tots dos funcionen bé junts en un mateix proxy.

Kordon no filtra el trànsit de xarxa, així que contra un DDoS real continueu necessitant el vostre proveïdor d’allotjament. Vegeu què fer durant un atac de bots.

Com saber quin atac patiu

Si el servidor no és accessible o tothom té un ping enorme, mentre el registre d’entrades no mostra entrades noves i els gràfics del proveïdor d’allotjament mostren un pic de trànsit, és un DDoS: poseu-vos en contacte amb el vostre proveïdor. Si el registre s’omple de nicks nous i s’omplen les places, és un atac de bots: la protecció al proxy se n’encarrega. De vegades tots dos es combinen, així que comproveu les dues coses.