Ochrona przed DDoS w Minecraft: co plugin może, a czego nie

Trzy rodzaje ataków

Zalew sieci

Ogromna ilość ruchu zapycha łącze serwera. Serwer staje się nieosiągalny albo laguje wszystkim, a w dzienniku wejść nie pojawia się nic nowego.

Zalew połączeń

Tysiące połączeń lub pingów listy serwerów, z których nigdy nie robią się gracze. Nie zapychają łącza, ale zajmują proxy tak długo, aż przestaje odpowiadać prawdziwym graczom.

Atak botów

Fałszywi gracze normalnie wchodzą na serwer, zajmują sloty i spamują na czacie. Każdy bot to prawdziwe połączenie, zwykle przez listę proxy, więc dla serwera wygląda jak gracz.

Dlaczego plugin nie zatrzyma DDoS

Plugin działa wewnątrz proxy lub serwera. Gdy łącze jest zapchane albo maszyna jest zajęta odrzucaniem pakietów, plugin w ogóle nie dochodzi do głosu. Filtrowanie musi się odbyć, zanim ruch dotrze do twojej maszyny: w sieci twojego hostingu albo w usłudze, która stoi przed nią.

Skąd bierze się prawdziwa ochrona przed DDoS

• Wiele hostingów Minecraft i niektóre centra danych, na przykład OVHcloud z filtrowaniem dla gier, mają w ofercie ochronę przed DDoS i filtrują ataki w swojej sieci, zanim do ciebie dotrą.
• Proxy ochronne, takie jak TCPShield lub Cloudflare Spectrum (płatne plany), stoi przed serwerem: gracze łączą się z jego siecią, a do ciebie dociera tylko czysty ruch. Włącz PROXY protocol w usłudze i ustaw haproxy-protocol = true w velocity.toml lub proxy_protocol: true w config.yml BungeeCord (albo zainstaluj plugin tej usługi), inaczej twoje proxy widzi adresy usługi zamiast adresów graczy, a bany na IP i sprawdzanie adresów przestają działać.
• Nie ujawniaj prawdziwego adresu. Jeśli atakujący znają bezpośredni adres twojego proxy lub backendu, omijają ochronę, więc nie używaj tego adresu do niczego innego i zmień go, jeśli wyciekł.

Te usługi filtrują ruch. Nic nie wiedzą o użytkownikach VPN, omijaniu banów ani o botach, które normalnie wchodzą na serwer.

Co możesz ustawić na proxy

Oba proxy potrafią spowolnić adres, który łączy się zbyt często:

• Velocity: login-ratelimit w velocity.toml, minimalny czas między wejściami z jednego adresu w milisekundach.
• BungeeCord: connection_throttle i connection_throttle_limit w config.yml.

To pomaga przy zalewie z kilku adresów, nie z tysięcy. Na własnej maszynie przy małych zalewach połączeń pomaga reguła zapory, która ogranicza nowe połączenia z jednego adresu.

Ataki botów: tu pluginy pomagają

Atak botów to przypadek, w którym plugin jest właściwym narzędziem, bo każdy bot przychodzi jako wejście. Kordon sprawdza adres każdego wejścia, przełącza serwer w tryb ataku, gdy zaczyna się fala, i zamyka sieci, z których korzystają boty; tryb ataku jest w każdym planie, także w darmowym. Plugin weryfikujący, taki jak Sonar, łapie boty z czystych adresów. Oba narzędzia dobrze działają razem na jednym proxy.

Kordon nie filtruje ruchu sieciowego, więc przeciw prawdziwemu DDoS nadal potrzebujesz pomocy hostingu. Zobacz, co robić podczas ataku botów.

Jak rozpoznać, z czym masz do czynienia

Jeśli serwer jest nieosiągalny albo wszyscy mają ogromny ping, w dzienniku wejść nie przybywa nowych wpisów, a wykresy hostingu pokazują skok ruchu, to DDoS: skontaktuj się z hostingiem. Jeśli dziennik zapełnia się nowymi nickami, a sloty są zajęte, to atak botów: poradzi sobie z nim ochrona na proxy. Czasem oba ataki idą razem, więc sprawdź jedno i drugie.