Proxy-Server und Backends absichern
In einem Netzwerk sollte jeder Spieler über den Proxy-Server hereinkommen. Ist der Port eines Backend-Servers aus dem Internet erreichbar, kann sich jeder direkt damit verbinden, alles überspringen, was der Proxy prüft, und sich, wenn das Backend einfaches BungeeCord-Forwarding ohne BungeeGuard nutzt, unter jedem beliebigen Namen einloggen, auch unter dem eines Admins.
- Binde die Backend-Server an 127.0.0.1 oder ein privates Netz oder schließ ihre Ports in der Firewall, damit nur der Proxy-Server sie erreicht.
- Nutze auf Velocity mit Backends ab 1.13 das moderne Player-Info-Forwarding und trag dasselbe Forwarding-Secret in die Konfiguration jedes Paper-Backends ein. Für Backends von 1.8 bis 1.12 nimm den Forwarding-Modus bungeeguard mit dem Plugin BungeeGuard.
- Schalte auf BungeeCord
ip_forwardein und installiere BungeeGuard, damit ein Backend nur Verbindungen annimmt, die deinen Token mitbringen. - Lass den Online-Modus auf dem Proxy-Server an, außer du betreibst einen Cracked-Server mit einem Auth-Plugin.
Server und Plugins aktuell halten
Neue Builds von Paper und Velocity beheben regelmäßig Exploits, auch solche, die den Server mit einem einzigen Paket abstürzen lassen. Aktualisiere die Serversoftware und den Proxy und entferne Plugins, die du nicht mehr nutzt: Jedes Plugin ist Code, der mit vollem Zugriff läuft.
Lade Plugins nur von ihren eigenen Seiten herunter: Hangar, Modrinth, SpigotMC oder der GitHub-Seite des Autors. Geleakte Kopien von Bezahl-Plugins sind einer der häufigsten Wege, auf denen eine Backdoor auf einen Server gelangt.
Rechte und OP
Gib auf einem öffentlichen Server niemandem OP. Nutze ein Rechte-Plugin wie LuckPerms und gib jeder Rolle nur, was sie braucht.
Sei vorsichtig mit Wildcard-Rechten wie * oder essentials.*. Sie enthalten oft Befehle, die Konsolenbefehle ausführen, Items vergeben oder Rechte ändern. Wer einen Moderator-Account übernimmt, hat damit fast dieselbe Macht wie die Konsole.
Entzieh einer Person die Rechte noch am Tag, an dem sie das Team verlässt.
Accounts des Serverteams schützen
Auf einem Server im Online-Modus ist ein Team-Account ein Microsoft-Konto. Achte also darauf, dass dein Serverteam dort ein starkes Passwort und die zweistufige Überprüfung nutzt.
Auf einem Cracked-Server schützt den Account nur das Passwort des Auth-Plugins. Passwörter des Serverteams sollten lang sein und nirgends sonst verwendet werden, und der Zwei-Faktor-Login sollte aktiv sein, wenn dein Auth-Plugin ihn unterstützt. Mehr dazu unter Brute-Force-Angriffe auf Passwörter.
Schau ab und zu nach, von wo sich die Team-Accounts einloggen. Ein Login aus einem neuen Land oder von einem neuen Anbieter ist eine Nachfrage wert.
Schließ, was du nicht nutzt
- RCON gibt vollen Konsolenzugriff über das Netzwerk. Lass
enable-rcon=falsestehen, außer du brauchst es. Wenn doch, nimm ein langes Passwort und erlaube in der Firewall nur deine eigene Adresse. - Schalte
enable-queryaus, wenn du es nicht brauchst. - Die Ports des Panels, der Datenbank und von SSH sollten nur für die Adressen offen sein, die sie brauchen.
Backups
Bewahre Backups der Welten und Plugin-Daten außerhalb des Server-Rechners auf und prüf ab und zu, ob du sie wiederherstellen kannst. Ein Backup auf derselben Festplatte hilft nicht, wenn der Rechner ausfällt oder jemand das Hosting-Konto übernimmt.
DDoS, Bots und VPNs
Ein DDoS-Angriff überflutet das Netzwerk, bevor überhaupt etwas bei Minecraft ankommt, deshalb kann kein Plugin ihn stoppen; das muss dein Hoster oder ein Dienst für Netzwerkschutz übernehmen. Siehe was ein Plugin gegen DDoS kann und was nicht.
Bot-Angriffe, VPN-Nutzer und Ban-Umgehung kommen als echte Logins an und werden auf dem Proxy-Server gestoppt: durch Adressprüfungen wie Kordon und, bei Bots von sauberen Adressen, durch ein Prüf-Plugin wie Sonar. Siehe VPNs blockieren und Anti-Bot-Plugins im Vergleich.
Checkliste
- Backends nur vom Proxy-Server aus erreichbar, IP-Weiterleitung mit Secret oder BungeeGuard.
- Server, Proxy und Plugins aktualisiert, ungenutzte Plugins entfernt, nichts aus geleakten Quellen.
- Kein OP auf einem öffentlichen Server, Rollen nur mit den Rechten, die sie brauchen.
- Team-Accounts mit starken, einzigartigen Passwörtern und zweistufiger Überprüfung.
- RCON und Query aus oder auf deine Adresse beschränkt.
- Backups außerhalb des Rechners, Wiederherstellung getestet.
- DDoS-Schutz vom Hoster, Schutz vor Bots und VPNs auf dem Proxy-Server.