Verrouiller le proxy et les backends
Sur un réseau, chaque joueur doit passer par le proxy. Si le port d'un serveur backend est ouvert sur Internet, n'importe qui peut s'y connecter directement, contourner toutes les vérifications du proxy et, si le backend utilise le forwarding BungeeCord classique sans BungeeGuard, se connecter sous n'importe quel nom, y compris celui d'un admin.
- Faites écouter les serveurs backend sur 127.0.0.1 ou à un réseau privé, ou fermez leurs ports dans le pare-feu pour que seul le proxy puisse les joindre.
- Sur Velocity avec des backends 1.13+, utilisez le modern player info forwarding et indiquez le même forwarding secret dans la configuration de chaque backend Paper. Pour des backends 1.8 à 1.12, utilisez le mode de forwarding bungeeguard avec le plugin BungeeGuard.
- Sur BungeeCord, activez
ip_forwardet ajoutez BungeeGuard, pour qu'un backend n'accepte que les connexions qui présentent votre jeton. - Laissez l'online mode activé sur le proxy, sauf si vous gérez un serveur crack avec un plugin d'authentification.
Garder le serveur et les plugins à jour
Les nouveaux builds de Paper et de Velocity corrigent régulièrement des exploits, y compris certains qui font planter le serveur avec un seul paquet. Mettez à jour le logiciel du serveur et le proxy, et supprimez les plugins que vous n'utilisez plus : chaque plugin est du code qui tourne avec un accès complet.
Ne téléchargez les plugins que depuis leurs propres pages : Hangar, Modrinth, SpigotMC ou le GitHub de l'auteur. Les copies piratées de plugins payants font partie des moyens les plus courants par lesquels une porte dérobée arrive sur un serveur.
Permissions et op
Ne donnez l'op à personne sur un serveur public. Utilisez un plugin de permissions comme LuckPerms et donnez à chaque rôle uniquement ce dont il a besoin.
Méfiez-vous des permissions génériques comme * ou essentials.*. Elles incluent souvent des commandes qui exécutent des commandes console, donnent des objets ou modifient les permissions : quiconque prend le contrôle d'un compte de modérateur obtient alors presque les mêmes pouvoirs que la console.
Retirez les permissions d'un membre le jour où il quitte l'équipe.
Protéger les comptes du staff
Sur un serveur en online mode, un compte du staff est un compte Microsoft : assurez-vous que votre staff y utilise un mot de passe solide et la vérification en deux étapes.
Sur un serveur crack, le compte n'est protégé que par le mot de passe du plugin d'authentification. Les mots de passe du staff doivent être longs et n'être utilisés nulle part ailleurs, et la connexion à deux facteurs doit être activée si votre plugin d'authentification la prend en charge. Plus de détails dans les attaques par force brute sur les mots de passe.
Regardez de temps en temps d'où se connectent les comptes du staff. Une connexion depuis un nouveau pays ou un nouveau fournisseur d'accès mérite qu'on se renseigne.
Fermer ce que vous n'utilisez pas
- RCON donne un accès complet à la console par le réseau. Laissez
enable-rcon=falsesi vous n'en avez pas besoin ; sinon, utilisez un long mot de passe et n'autorisez que votre propre adresse dans le pare-feu. - Désactivez
enable-querysi vous n'en avez pas besoin. - Les ports du panneau, de la base de données et de SSH ne doivent être ouverts qu'aux adresses qui en ont besoin.
Sauvegardes
Gardez les sauvegardes des mondes et des données des plugins en dehors de la machine du serveur, et vérifiez de temps en temps que vous pouvez les restaurer. Une sauvegarde sur le même disque ne sert à rien quand la machine tombe en panne ou que quelqu'un prend le contrôle du compte d'hébergement.
DDoS, bots et VPN
Une attaque DDoS sature le réseau avant que quoi que ce soit n'atteigne Minecraft, donc aucun plugin ne peut l'arrêter ; c'est le rôle de votre hébergeur ou d'un service de protection réseau. Voir ce qu'un plugin peut et ne peut pas faire contre un DDoS.
Les attaques de bots, les utilisateurs de VPN et le contournement de bannissement arrivent sous forme de vraies connexions, et c'est sur le proxy qu'on les arrête : par des vérifications d'adresse comme Kordon et, pour les bots venant d'adresses propres, par un plugin de vérification comme Sonar. Voir comment bloquer les VPN et la comparaison des plugins anti-bot.
Checklist
- Backends joignables uniquement depuis le proxy, transfert des IP avec un secret ou BungeeGuard.
- Serveur, proxy et plugins à jour, plugins inutilisés supprimés, aucune copie piratée.
- Pas d'op sur un serveur public, rôles limités aux permissions nécessaires.
- Comptes du staff avec des mots de passe solides et uniques, vérification en deux étapes activée.
- RCON et query désactivés ou limités à votre adresse.
- Sauvegardes hors de la machine, restauration testée.
- Protection DDoS chez l'hébergeur, protection contre les bots et les VPN sur le proxy.