Zabezpečte proxy server a backendy
V síti by měl každý hráč přicházet přes proxy server. Pokud je port backendového serveru otevřený do internetu, může se na něj kdokoli připojit napřímo a obejít všechny kontroly na proxy serveru. Pokud backend navíc používá obyčejné přeposílání BungeeCordu bez BungeeGuard, může se přihlásit pod libovolným jménem, třeba i pod jménem admina.
- Nechte backendové servery naslouchat jen na 127.0.0.1 nebo v privátní síti, případně jejich porty zavřete ve firewallu, aby se k nim dostal jen proxy server.
- Na Velocity s backendy 1.13+ použijte moderní přeposílání informací o hráči (modern forwarding) a do konfigurace každého backendu Paper vložte stejný forwarding secret. U backendů 1.8 až 1.12 použijte režim přeposílání bungeeguard s pluginem BungeeGuard.
- Na BungeeCordu zapněte
ip_forwarda přidejte BungeeGuard, aby backend přijímal jen připojení s vaším tokenem. - Nechte na proxy serveru zapnutý online mode, pokud neprovozujete cracked server s autorizačním pluginem.
Udržujte server a pluginy aktuální
Nové buildy Paperu a Velocity pravidelně opravují exploity, včetně těch, které shodí server jediným paketem. Aktualizujte software serveru i proxy server a odstraňte pluginy, které už nepoužíváte: každý plugin je kód, který běží s plným přístupem.
Stahujte pluginy jen z jejich vlastních stránek: Hangar, Modrinth, SpigotMC nebo GitHub autora. Uniklé kopie placených pluginů patří k nejčastějším cestám, jak se na server dostane backdoor.
Oprávnění a op
Na veřejném serveru nedávejte op nikomu. Použijte plugin pro oprávnění, například LuckPerms, a každé roli dejte jen to, co potřebuje.
Dejte si pozor na zástupná oprávnění jako * nebo essentials.*. Často zahrnují příkazy, které spouštějí příkazy konzole, dávají předměty nebo mění oprávnění, takže kdo převezme účet moderátora, získá skoro stejnou moc jako konzole.
Oprávnění člověku odeberte ještě v den, kdy z týmu odejde.
Chraňte účty správců
Na serveru v online mode je účet správce účtem Microsoft, takže dbejte, aby tam vaši správci měli silné heslo a dvoufázové ověření.
Na cracked serveru chrání účet jen heslo autorizačního pluginu. Hesla správců by měla být dlouhá a nepoužitá nikde jinde, a pokud to váš autorizační plugin podporuje, mělo by být zapnuté dvoufázové přihlášení. Více v článku o hádání hesel hrubou silou.
Občas se podívejte, odkud se účty správců připojují. Připojení z nové země nebo od nového poskytovatele stojí za to se zeptat.
Zavřete, co nepoužíváte
- RCON dává přes síť plný přístup ke konzoli. Nechte
enable-rcon=false, pokud ho nepotřebujete, a pokud ano, použijte dlouhé heslo a ve firewallu povolte jen svou adresu. - Vypněte
enable-query, pokud ho nepotřebujete. - Porty panelu, databáze a SSH by měly být otevřené jen pro adresy, které je potřebují.
Zálohy
Uchovávejte zálohy světů a dat pluginů mimo stroj se serverem a občas si ověřte, že je dokážete obnovit. Záloha na stejném disku nepomůže, když stroj selže nebo někdo převezme účet u hostingu.
DDoS, boti a VPN
DDoS útok zahltí síť dřív, než cokoli dorazí do Minecraftu, takže ho žádný plugin nezastaví. Musí to udělat váš hosting nebo služba ochrany sítě. Viz co plugin proti DDoS zvládne a co ne.
Útoky botů, uživatelé VPN a obcházení banů přicházejí jako skutečná připojení a zastavují se na proxy serveru: kontrolou adres, jakou dělá Kordon, a u botů z čistých adres ověřovacím pluginem, jako je Sonar. Viz jak blokovat VPN a srovnání antibot pluginů.
Kontrolní seznam
- Backendy dostupné jen z proxy serveru, přeposílání IP se secretem nebo BungeeGuard.
- Server, proxy server a pluginy aktualizované, nepoužívané pluginy odstraněné, nic z uniklých zdrojů.
- Žádný op na veřejném serveru, role jen s oprávněními, která potřebují.
- Účty správců se silnými jedinečnými hesly a dvoufázovým ověřením.
- RCON a query vypnuté nebo omezené na vaši adresu.
- Zálohy mimo stroj, obnovení vyzkoušené.
- Ochrana před DDoS od hostingu, ochrana před boty a VPN na proxy serveru.