Protección DDoS para Minecraft: qué puede y qué no puede hacer un plugin

Tres tipos de ataque

Saturación de la red

Una cantidad enorme de tráfico llena la conexión del servidor. El servidor deja de estar accesible o va con lag para todos, y en el registro de entradas no aparece nada nuevo.

Saturación de conexiones

Miles de conexiones o pings a la lista de servidores que nunca llegan a ser jugadores. No saturan la conexión, pero mantienen ocupado al proxy hasta que deja de responder a los jugadores reales.

Ataque de bots

Los jugadores falsos llegan a entrar al servidor, ocupan los huecos y llenan el chat de spam. Cada bot es una conexión real, normalmente a través de una lista de proxies, así que para el servidor parece un jugador.

Por qué un plugin no puede frenar un DDoS

Un plugin se ejecuta dentro del proxy o del servidor. Cuando la conexión está saturada o la máquina está ocupada descartando paquetes, el plugin ni siquiera llega a ejecutarse. El filtrado tiene que hacerse antes de que el tráfico llegue a tu máquina: en la red de tu hosting o en un servicio situado delante.

De dónde viene la protección DDoS real

• Muchos hostings de Minecraft y algunos centros de datos, por ejemplo OVHcloud con su filtrado para juegos, incluyen protección DDoS y filtran los ataques en su red antes de que te lleguen.
• Un proxy de protección como TCPShield o Cloudflare Spectrum (planes de pago) se coloca delante del servidor: los jugadores se conectan a su red y solo te llega el tráfico limpio. Activa el PROXY protocol en el servicio y pon haproxy-protocol = true en velocity.toml o proxy_protocol: true en el config.yml de BungeeCord (o instala el plugin del servicio); si no, tu proxy ve las direcciones del servicio en lugar de las de los jugadores, y los baneos por IP y las comprobaciones de direcciones dejan de funcionar.
• Mantén oculta la dirección real. Si los atacantes conocen la dirección directa de tu proxy o de tu backend, rodean la protección, así que no uses esa dirección para nada más y cámbiala si se ha filtrado.

Estos servicios filtran tráfico. No saben nada de usuarios con VPN, de evasión de baneos ni de bots que llegan a entrar al servidor.

Qué puedes ajustar en el proxy

Los dos proxies pueden frenar a una dirección que se conecta demasiado a menudo:

• Velocity: login-ratelimit en velocity.toml, el tiempo mínimo entre entradas desde una misma dirección, en milisegundos.
• BungeeCord: connection_throttle y connection_throttle_limit en config.yml.

Esto ayuda contra una saturación desde unas pocas direcciones, no desde miles. En tu propia máquina, una regla de firewall que limite las conexiones nuevas por dirección ayuda con saturaciones de conexiones pequeñas.

Ataques de bots: donde los plugins sí sirven

Un ataque de bots es el caso en el que un plugin es la herramienta adecuada, porque cada bot llega como una entrada. Kordon comprueba la dirección de cada entrada, pasa el servidor a modo ataque cuando empieza una oleada y cierra las redes que usan los bots; el modo ataque está en todos los planes, incluido el gratuito. Un plugin de verificación como Sonar atrapa a los bots que vienen de direcciones limpias. Los dos funcionan bien juntos en un mismo proxy.

Kordon no filtra el tráfico de red, así que contra un DDoS real sigues necesitando a tu hosting. Consulta qué hacer durante un ataque de bots.

Cómo saber cuál estás sufriendo

Si el servidor no está accesible o todos tienen un ping enorme, pero en el registro de entradas no aparece nada nuevo y las gráficas del hosting muestran un pico de tráfico, es un DDoS: contacta con tu hosting. Si el registro se llena de nicks nuevos y los huecos están ocupados, es un ataque de bots: lo resuelve la protección en el proxy. A veces van combinados, así que revisa las dos cosas.