Ochrana Minecraft serveru před DDoS: co plugin zvládne a co ne

Tři druhy útoků

Zahlcení sítě

Obrovské množství provozu zaplní linku serveru. Server přestane být dostupný nebo se všem seká a v protokolu připojení se nic nového neobjeví.

Zahlcení připojeními

Tisíce připojení nebo pingů ze seznamu serverů, ze kterých se nikdy nestanou hráči. Linku nezahltí, ale vytěžují proxy server tak dlouho, až přestane odpovídat skutečným hráčům.

Útok botů

Falešní hráči dokončí připojení, obsadí sloty a spamují chat. Každý bot je skutečné připojení, obvykle přes seznam proxy, takže pro server vypadá jako hráč.

Proč plugin DDoS nezastaví

Plugin běží uvnitř proxy serveru nebo serveru. Když je linka zahlcená nebo je stroj zaměstnaný zahazováním paketů, plugin se ke slovu vůbec nedostane. Filtrovat se musí dřív, než provoz dorazí na váš stroj: v síti vašeho hostingu nebo ve službě před ním.

Odkud se bere skutečná ochrana před DDoS

• Mnoho Minecraft hostingů a některá datová centra, například OVHcloud se svým herním filtrováním, mají ochranu před DDoS v ceně a filtrují útoky ve své síti dřív, než k vám dorazí.
• Ochranná proxy, jako je TCPShield nebo Cloudflare Spectrum (placené tarify), stojí před serverem: hráči se připojují do její sítě a k vám dorazí jen čistý provoz. Zapněte ve službě PROXY protocol a nastavte haproxy-protocol = true ve velocity.toml nebo proxy_protocol: true v config.yml BungeeCordu (nebo nainstalujte plugin služby). Jinak váš proxy server uvidí místo adres hráčů adresy služby a IP bany i kontroly adres přestanou fungovat.
• Skutečnou adresu držte v tajnosti. Pokud útočníci znají přímou adresu vašeho proxy serveru nebo backendu, ochranu obejdou, takže tu adresu nepoužívejte k ničemu jinému, a pokud unikla, změňte ji.

Tyto služby filtrují provoz. O uživatelích VPN, obcházení banů ani botech, kteří dokončí připojení, nic nevědí.

Co můžete nastavit na proxy serveru

Oba proxy servery umí zpomalit jednu adresu, která se připojuje příliš často:

• Velocity: login-ratelimit ve velocity.toml, minimální doba mezi připojeními z jedné adresy v milisekundách.
• BungeeCord: connection_throttle a connection_throttle_limit v config.yml.

To pomáhá proti zahlcení z několika adres, ne z tisíců. Pokud server běží na vlastním stroji, pomůže proti menšímu zahlcení připojeními pravidlo firewallu, které omezí počet nových připojení z jedné adresy.

Útoky botů: tady pluginy pomáhají

Útok botů je případ, kdy je plugin správný nástroj, protože každý bot přichází jako připojení. Kordon kontroluje adresu každého připojení, a když začne vlna, přepne server do režimu útoku a uzavře sítě, které boti používají. Režim útoku je v každém tarifu, i v bezplatném. Ověřovací plugin, jako je Sonar, zachytí boty z čistých adres. Oba spolu dobře fungují na jednom proxy serveru.

Kordon nefiltruje síťový provoz, takže proti skutečnému DDoS stále potřebujete svůj hosting. Viz co dělat během útoku botů.

Jak poznat, o který útok jde

Pokud je server nedostupný nebo mají všichni obrovský ping, zatímco protokol připojení neukazuje žádná nová připojení a grafy hostingu ukazují skok v provozu, jde o DDoS: obraťte se na svůj hosting. Pokud se protokol plní novými nicky a sloty jsou obsazené, jde o útok botů: poradí si s ním ochrana na proxy serveru. Někdy přicházejí oba najednou, proto zkontrolujte obojí.