Zabezpiecz proxy i backendy
W sieci każdy gracz powinien wchodzić przez proxy. Jeśli port serwera backendowego jest otwarty na internet, każdy może wejść na niego bezpośrednio, ominąć wszystko, co sprawdza proxy, a jeśli backend używa zwykłego przekazywania BungeeCord bez BungeeGuard, zalogować się pod dowolnym nickiem, także admina.
- Ustaw serwerom backendowym nasłuch na 127.0.0.1 lub w sieci prywatnej albo zamknij ich porty w zaporze, żeby dostęp miało tylko proxy.
- Na Velocity z backendami 1.13+ używaj trybu przekazywania danych gracza modern i wpisz ten sam forwarding secret do konfiguracji każdego backendu Paper. Dla backendów od 1.8 do 1.12 użyj trybu przekazywania bungeeguard z pluginem BungeeGuard.
- Na BungeeCord włącz
ip_forwardi dodaj BungeeGuard, żeby backend przyjmował tylko połączenia z twoim tokenem. - Zostaw włączony online mode na proxy, chyba że prowadzisz serwer non-premium z pluginem do logowania.
Aktualizuj serwer i pluginy
Nowe buildy Paper i Velocity regularnie łatają exploity, w tym takie, które potrafią jednym pakietem położyć serwer. Aktualizuj oprogramowanie serwera i proxy oraz usuwaj pluginy, których już nie używasz: każdy plugin to kod działający z pełnym dostępem.
Pobieraj pluginy tylko z ich własnych stron: Hangar, Modrinth, SpigotMC lub GitHub autora. Kopie płatnych pluginów z wycieków to jedna z najczęstszych dróg, którymi na serwer trafia backdoor.
Uprawnienia i op
Na serwerze publicznym nie dawaj nikomu opa. Używaj pluginu do uprawnień, na przykład LuckPerms, i dawaj każdej roli tylko to, czego potrzebuje.
Uważaj na uprawnienia z gwiazdką, takie jak * czy essentials.*. Często obejmują komendy, które uruchamiają polecenia konsoli, dają przedmioty albo zmieniają uprawnienia, więc każdy, kto przejmie konto moderatora, ma prawie takie same możliwości jak konsola.
Odbieraj uprawnienia tego samego dnia, w którym ktoś odchodzi z zespołu.
Chroń konta administracji
Na serwerze w trybie online konto członka administracji to konto Microsoft, więc dopilnuj, żeby administracja miała tam silne hasło i weryfikację dwuetapową.
Na serwerze non-premium konto chroni tylko hasło z pluginu do logowania. Hasła administracji powinny być długie i nieużywane nigdzie indziej, a logowanie dwuskładnikowe powinno być włączone, jeśli twój plugin je obsługuje. Więcej w poradniku o łamaniu haseł metodą brute force.
Co jakiś czas sprawdzaj, skąd logują się konta administracji. Wejście z nowego kraju lub od nowego dostawcy warto wyjaśnić.
Zamknij to, czego nie używasz
- RCON daje pełny dostęp do konsoli przez sieć. Zostaw
enable-rcon=false, chyba że go potrzebujesz, a jeśli tak, użyj długiego hasła i wpuść w zaporze tylko swój adres. - Wyłącz
enable-query, jeśli go nie potrzebujesz. - Porty panelu, bazy danych i SSH powinny być otwarte tylko dla adresów, które ich potrzebują.
Kopie zapasowe
Trzymaj kopie zapasowe światów i danych pluginów poza maszyną serwera i co jakiś czas sprawdzaj, czy da się je przywrócić. Kopia na tym samym dysku nie pomoże, gdy maszyna padnie albo ktoś przejmie konto u dostawcy hostingu.
DDoS, boty i VPN
Atak DDoS zalewa sieć, zanim cokolwiek dotrze do Minecrafta, więc żaden plugin go nie zatrzyma; musi to zrobić twój hosting albo usługa ochrony sieci. Zobacz, co plugin może, a czego nie może zrobić przeciw DDoS.
Ataki botów, użytkownicy VPN i omijanie banów przychodzą jako prawdziwe wejścia i zatrzymuje się je na proxy: sprawdzaniem adresów, takim jak Kordon, a w przypadku botów z czystych adresów pluginem weryfikującym, takim jak Sonar. Przeczytaj, jak zablokować VPN, i zajrzyj do porównania pluginów antybot.
Lista kontrolna
- Backendy dostępne tylko z proxy, przekazywanie IP z sekretem lub BungeeGuard.
- Serwer, proxy i pluginy zaktualizowane, nieużywane pluginy usunięte, nic z wycieków.
- Brak opa na serwerze publicznym, role tylko z potrzebnymi uprawnieniami.
- Konta administracji z silnymi, unikalnymi hasłami i weryfikacją dwuetapową.
- RCON i query wyłączone lub ograniczone do twojego adresu.
- Kopie zapasowe poza maszyną, przywracanie przetestowane.
- Ochrona przed DDoS od hostingu, ochrona przed botami i VPN na proxy.