# Minecraft 서버 보안 가이드: 2026년 체크리스트

Minecraft 서버 침입은 대부분 사소한 데서 시작됩니다. 열려 있는 하위 서버 포트, 오래된 플러그인, 비밀번호를 여기저기 재사용하는 관리자 같은 것들입니다. 이 체크리스트에서는 흔한 취약점을 저희가 직접 점검하는 순서대로 살펴봅니다.

업데이트: 2026-11-06

## 요약

- 하위 서버는 프록시 서버만 접근할 수 있게 막고 IP 포워딩을 설정하세요.
- Paper, Velocity, 플러그인을 최신으로 유지하고, 플러그인은 정식 배포 페이지에서만 받으세요.
- 관리자에게는 꼭 필요한 권한만 주고 계정을 보호하세요.
- RCON과 query는 쓰지 않으면 끄고, 백업은 서버 밖에 보관하세요.
- DDoS는 호스팅 업체가 막고, 봇과 VPN, 차단 우회는 프록시 서버의 보호 기능으로 막습니다.

## 프록시 서버와 하위 서버 잠그기

네트워크에서는 모든 플레이어가 프록시 서버를 거쳐 들어와야 합니다. 하위 서버 포트가 인터넷에 열려 있으면 누구나 그 서버에 직접 접속해 프록시 서버의 검사를 모두 건너뛸 수 있습니다. 하위 서버가 BungeeGuard 없이 기본 BungeeCord 포워딩을 쓴다면 관리자 닉네임을 포함해 아무 이름으로나 접속할 수도 있습니다.

- 하위 서버를 127.0.0.1이나 사설 네트워크에 바인딩하거나, 방화벽에서 포트를 닫아 프록시 서버만 접근할 수 있게 하세요.
- Velocity에서 하위 서버가 1.13 이상이면 modern 플레이어 정보 포워딩을 쓰고, 각 Paper 하위 서버 설정에 같은 forwarding secret을 넣으세요. 하위 서버가 1.8~1.12라면 BungeeGuard 플러그인과 함께 bungeeguard 포워딩 모드를 쓰세요.
- BungeeCord에서는 `ip_forward`를 켜고 BungeeGuard를 추가해, 하위 서버가 내 토큰이 있는 접속만 받도록 하세요.
- 인증 플러그인을 쓰는 크랙 서버가 아니라면 프록시 서버의 online mode를 켜 두세요.

## 서버와 플러그인 최신으로 유지하기

Paper와 Velocity의 새 빌드에는 익스플로잇 수정이 꾸준히 들어갑니다. 패킷 하나로 서버를 다운시키는 버그도 그중 하나입니다. 서버 소프트웨어와 프록시 서버를 업데이트하고, 더 이상 쓰지 않는 플러그인은 지우세요. 어떤 플러그인이든 전체 권한으로 실행되는 코드입니다.

플러그인은 정식 배포 페이지(Hangar, Modrinth, SpigotMC, 제작자의 GitHub)에서만 받으세요. 유료 플러그인 유출본은 서버에 백도어가 심어지는 가장 흔한 경로 중 하나입니다.

## 권한과 op

공개 서버에서는 누구에게도 op를 주지 마세요. LuckPerms 같은 권한 플러그인을 쓰고, 역할마다 필요한 권한만 주세요.

`*`나 `essentials.*` 같은 와일드카드 권한은 조심하세요. 이런 권한에는 콘솔 명령어를 실행하거나 아이템을 지급하거나 권한을 바꾸는 명령어가 섞여 있는 경우가 많습니다. 그러면 관리자 계정 하나만 탈취해도 콘솔과 거의 같은 권한을 얻게 됩니다.

팀을 떠나는 사람의 권한은 그날 바로 회수하세요.

## 관리자 계정 보호하기

online mode 서버에서 관리자 계정은 Microsoft 계정이므로, 관리자들이 그 계정에 강력한 비밀번호와 2단계 인증을 설정했는지 확인하세요.

크랙 서버에서는 인증 플러그인의 비밀번호가 계정을 지키는 유일한 수단입니다. 관리자 비밀번호는 길게, 다른 곳에서 쓰지 않는 것으로 정하고, 인증 플러그인이 지원한다면 2단계 인증을 켜 두세요. 자세한 내용은 [비밀번호 무차별 대입](https://kordonlabs.com/ko/guides/minecraft-password-brute-force)을 참고하세요.

관리자 계정이 어디에서 접속하는지 가끔 확인하세요. 처음 보는 국가나 인터넷 제공업체에서 접속했다면 본인에게 확인해 볼 만합니다.

## 쓰지 않는 것은 닫기

- RCON은 네트워크를 통해 콘솔 전체 권한을 줍니다. 필요하지 않다면 `enable-rcon=false`로 두고, 써야 한다면 긴 비밀번호를 정하고 방화벽에서 내 주소만 허용하세요.
- 필요하지 않다면 `enable-query`를 끄세요.
- 패널, 데이터베이스, SSH 포트는 필요한 주소에만 열어 두세요.

## 백업

월드와 플러그인 데이터 백업은 서버 머신 밖에 보관하고, 실제로 복원되는지 가끔 확인하세요. 같은 디스크에 있는 백업은 머신이 고장 나거나 누군가 호스팅 계정을 탈취하면 아무 소용이 없습니다.

## DDoS, 봇, VPN

DDoS 공격은 트래픽이 Minecraft에 닿기 전에 네트워크를 마비시키므로 어떤 플러그인으로도 막을 수 없습니다. 호스팅 업체나 네트워크 보호 서비스가 막아야 합니다. [DDoS에 대해 플러그인이 할 수 있는 일과 없는 일](https://kordonlabs.com/ko/guides/minecraft-ddos-protection)을 참고하세요.

봇 공격, VPN 사용자, 차단 우회는 실제 접속으로 들어오므로 프록시 서버에서 막습니다. Kordon 같은 주소 검사가 이를 막고, 깨끗한 주소에서 오는 봇은 Sonar 같은 검증 플러그인이 잡습니다. [VPN 차단 방법](https://kordonlabs.com/ko/guides/block-vpn-minecraft-server)과 [봇 방지 플러그인 비교](https://kordonlabs.com/ko/guides/best-minecraft-antibot-plugins)를 참고하세요.

## 체크리스트

1. 하위 서버는 프록시 서버에서만 접근 가능, IP 포워딩은 secret 또는 BungeeGuard와 함께.
2. 서버, 프록시 서버, 플러그인 업데이트, 쓰지 않는 플러그인 삭제, 유출본 사용 안 함.
3. 공개 서버에서 op 없음, 역할마다 필요한 권한만.
4. 관리자 계정은 다른 곳에서 쓰지 않는 강력한 비밀번호와 2단계 인증.
5. RCON과 query는 끄거나 내 주소로만 제한.
6. 백업은 머신 밖에 보관, 복원 테스트 완료.
7. DDoS 보호는 호스팅 업체에서, 봇과 VPN 보호는 프록시 서버에서.

## 내 서버에서 사용해 보세요

관찰 모드로 시작하세요. Kordon이 누구를 막을지 보여 주고, 준비가 되면 보호를 켜면 됩니다. [계정 만들기](https://panel.kordonlabs.com/register)

## 다른 가이드

- [Minecraft DDoS 방어: 플러그인이 할 수 있는 일과 없는 일](https://kordonlabs.com/ko/guides/minecraft-ddos-protection): Minecraft 서버에 대한 DDoS 공격이 무엇인지, 왜 어떤 플러그인도 네트워크 플러드를 막지 못하는지, 실제 DDoS 방어는 어디서 이루어지는지, 봇 공격과는 어떻게 다른지 설명합니다.
- [Minecraft 서버에서 VPN과 프록시를 차단하는 방법](https://kordonlabs.com/ko/guides/block-vpn-minecraft-server): 플레이어가 VPN과 프록시로 접속하는 이유, 이를 차단하는 여러 방법, 그리고 BungeeCord나 Velocity에 Kordon AntiVPN 플러그인을 설정하는 과정을 단계별로 설명합니다.
- [비정품 마인크래프트 서버의 비밀번호 무차별 대입: 계정을 지키는 방법](https://kordonlabs.com/ko/guides/minecraft-password-brute-force): AuthMe나 nLogin을 쓰는 서버에서 공격자가 플레이어 비밀번호를 알아내는 방식, 이를 막는 인증 플러그인 설정, VPN과 프록시 차단이 도움이 되는 이유를 설명합니다.