Assegureu el proxy i els servidors de joc
En una xarxa, tots els jugadors haurien d’entrar pel proxy. Si el port d’un servidor de joc està obert a internet, qualsevol hi pot entrar directament, saltar-se tot el que comprova el proxy i, si el servidor de joc fa servir el reenviament simple de BungeeCord sense BungeeGuard, entrar amb qualsevol nom, també el d’un administrador.
- Vinculeu els servidors de joc a 127.0.0.1 o a una xarxa privada, o tanqueu-ne els ports al tallafoc perquè només el proxy hi pugui arribar.
- A Velocity amb servidors de joc 1.13+, feu servir el reenviament modern de la informació del jugador i poseu el mateix secret de reenviament a la configuració de cada servidor Paper. Per a servidors de joc de la 1.8 a la 1.12, feu servir el mode de reenviament bungeeguard amb el plugin BungeeGuard.
- A BungeeCord, activeu
ip_forwardi afegiu BungeeGuard, perquè un servidor de joc només accepti les connexions que porten el vostre testimoni. - Mantingueu el mode en línia activat al proxy, tret que tingueu un servidor no prèmium amb un plugin d’autenticació.
Mantingueu el servidor i els plugins al dia
Les compilacions noves de Paper i Velocity corregeixen sovint vulnerabilitats, incloses algunes que fan caure el servidor amb un sol paquet. Actualitzeu el programari del servidor i el proxy, i traieu els plugins que ja no feu servir: cada plugin és codi que s’executa amb accés complet.
Baixeu els plugins només de les seves pàgines: Hangar, Modrinth, SpigotMC o el GitHub de l’autor. Les còpies filtrades de plugins de pagament són una de les vies més habituals per on una porta del darrere acaba en un servidor.
Permisos i op
No doneu op a ningú en un servidor públic. Feu servir un plugin de permisos com LuckPerms i doneu a cada rol només el que necessita.
Aneu amb compte amb els permisos comodí com * o essentials.*. Sovint inclouen ordres que executen ordres de consola, donen objectes o canvien permisos, així que qui s’apoderi d’un compte de moderador obté gairebé el mateix poder que la consola.
Traieu els permisos a una persona el mateix dia que deixa l’equip.
Protegiu els comptes dels moderadors
En un servidor amb el mode en línia, el compte d’un moderador és un compte de Microsoft, així que assegureu-vos que els vostres moderadors hi fan servir una contrasenya forta i la verificació en dos passos.
En un servidor no prèmium, el compte només el protegeix la contrasenya del plugin d’autenticació. Les contrasenyes dels moderadors haurien de ser llargues i no fer-se servir enlloc més, i la verificació en dos passos hauria d’estar activada si el vostre plugin d’autenticació l’admet. Més informació a atacs de força bruta a les contrasenyes.
Mireu de tant en tant des d’on entren els comptes dels moderadors. Si n’hi ha una des d’un país o un proveïdor nou, val la pena preguntar-ho.
Tanqueu el que no feu servir
- RCON dona accés complet a la consola per la xarxa. Deixeu
enable-rcon=falsesi no el necessiteu i, si el necessiteu, feu servir una contrasenya llarga i permeteu només la vostra adreça al tallafoc. - Desactiveu
enable-querysi no el necessiteu. - Els ports del tauler de control, de la base de dades i d’SSH només haurien d’estar oberts a les adreces que els necessiten.
Còpies de seguretat
Guardeu les còpies de seguretat dels mons i de les dades dels plugins fora de la màquina del servidor, i comproveu de tant en tant que les podeu restaurar. Una còpia al mateix disc no serveix de res quan la màquina falla o algú s’apodera del compte d’allotjament.
DDoS, bots i VPN
Un atac DDoS satura la xarxa abans que res arribi a Minecraft, així que cap plugin no el pot aturar; ho ha de fer el vostre proveïdor d’allotjament o un servei de protecció de xarxa. Vegeu què pot fer i què no un plugin contra els DDoS.
Els atacs de bots, els usuaris de VPN i l’evasió de bans arriben com a entrades reals, i s’aturen al proxy: amb comprovacions d’adreces com Kordon i, per als bots des d’adreces netes, amb un plugin de verificació com Sonar. Vegeu com bloquejar les VPN i la comparació de plugins antibot.
Llista de comprovació
- Servidors de joc accessibles només des del proxy, reenviament d’IP amb secret o BungeeGuard.
- Servidor, proxy i plugins actualitzats, plugins sense ús eliminats, res de fonts filtrades.
- Cap op en un servidor públic, rols només amb els permisos que necessiten.
- Comptes dels moderadors amb contrasenyes fortes i úniques i verificació en dos passos.
- RCON i query desactivats o limitats a la vostra adreça.
- Còpies de seguretat fora de la màquina, restauració provada.
- Protecció DDoS del proveïdor d’allotjament, protecció contra bots i VPN al proxy.