DDoS-Schutz für Minecraft: was ein Plugin kann und was nicht

Drei Arten von Angriffen

Überflutung des Netzwerks

Riesige Mengen an Datenverkehr füllen die Leitung des Servers. Der Server ist nicht mehr erreichbar oder laggt für alle, und im Login-Protokoll taucht nichts Neues auf.

Überflutung mit Verbindungen

Tausende Verbindungen oder Serverlisten-Pings, aus denen nie Spieler werden. Sie lasten die Leitung nicht aus, halten den Proxy-Server aber so lange beschäftigt, bis er echten Spielern nicht mehr antwortet.

Bot-Angriff

Gefälschte Spieler schließen den Login ab, belegen die Slots und spammen den Chat zu. Jeder Bot ist eine echte Verbindung, meist über eine Proxy-Liste, für den Server sieht er also wie ein Spieler aus.

Warum ein Plugin keinen DDoS stoppen kann

Ein Plugin läuft auf dem Proxy-Server oder auf dem Server selbst. Wenn die Leitung ausgelastet ist oder der Rechner damit beschäftigt ist, Pakete zu verwerfen, kommt das Plugin gar nicht erst zum Zug. Gefiltert werden muss, bevor der Datenverkehr deinen Rechner erreicht: im Netzwerk deines Hosters oder bei einem Dienst, der davor sitzt.

Woher echter DDoS-Schutz kommt

• Viele Minecraft-Hoster und einige Rechenzentren, zum Beispiel OVHcloud mit seiner Filterung für Spieleserver, bieten DDoS-Schutz inklusive und filtern Angriffe in ihrem Netzwerk, bevor sie bei dir ankommen.
• Ein Schutz-Proxy wie TCPShield oder Cloudflare Spectrum (bezahlte Tarife) sitzt vor dem Server: Spieler verbinden sich mit dessen Netzwerk, und nur sauberer Datenverkehr kommt bei dir an. Schalte im Dienst das PROXY-Protokoll ein und setz haproxy-protocol = true in velocity.toml oder proxy_protocol: true in der config.yml von BungeeCord (oder installiere das Plugin des Dienstes). Sonst sieht dein Proxy-Server die Adressen des Dienstes statt der Adressen der Spieler, und IP-Bans und Adressprüfungen funktionieren nicht mehr.
• Halte die echte Adresse geheim. Kennen Angreifer die direkte Adresse deines Proxy-Servers oder Backends, umgehen sie den Schutz. Nutze diese Adresse also für nichts anderes und ändere sie, wenn sie bekannt geworden ist.

Diese Dienste filtern Datenverkehr. Von VPN-Nutzern, Ban-Umgehung oder Bots, die den Login abschließen, wissen sie nichts.

Was du auf dem Proxy-Server einstellen kannst

Beide Proxys können eine Adresse bremsen, die sich zu oft verbindet:

• Velocity: login-ratelimit in velocity.toml, die Mindestzeit zwischen Logins von einer Adresse in Millisekunden.
• BungeeCord: connection_throttle und connection_throttle_limit in config.yml.

Das hilft gegen eine Überflutung von wenigen Adressen, nicht von Tausenden. Auf deinem eigenen Rechner hilft bei kleinen Überflutungen mit Verbindungen eine Firewall-Regel, die neue Verbindungen pro Adresse begrenzt.

Bot-Angriffe: hier helfen Plugins wirklich

Bei einem Bot-Angriff ist ein Plugin das richtige Werkzeug, denn jeder Bot kommt als Login herein. Kordon prüft die Adresse jedes Logins, schaltet den Server in den Angriffsmodus, wenn eine Welle beginnt, und schließt die Netze, die die Bots nutzen; den Angriffsmodus gibt es in jedem Tarif, auch im kostenlosen. Ein Prüf-Plugin wie Sonar fängt Bots ab, die von sauberen Adressen kommen. Beide lassen sich gut zusammen auf einem Proxy-Server betreiben.

Kordon filtert keinen Netzwerkverkehr, gegen einen echten DDoS brauchst du also weiterhin deinen Hoster. Siehe was du bei einem Bot-Angriff tun solltest.

Woran du erkennst, welcher Angriff es ist

Ist der Server nicht erreichbar oder haben alle einen riesigen Ping, während im Login-Protokoll keine neuen Verbindungen auftauchen und die Grafiken deines Hosters einen Ausschlag beim Datenverkehr zeigen, ist es ein DDoS: Wende dich an deinen Hoster. Füllt sich das Protokoll mit neuen Nicknames und sind die Slots belegt, ist es ein Bot-Angriff: Darum kümmert sich der Schutz auf dem Proxy-Server. Manchmal kommt beides zusammen, prüf also beides.