Чем рискует сервер в offline mode
- любой игрок может назвать себя ником администратора, и сервер ему поверит, пока плагин авторизации не спросит пароль;
- боту не нужен лицензионный аккаунт, тысяча ботов стоит атакующему столько же, сколько один;
- новый ник после бана ничего не стоит;
- ники с пробелами и похожими буквами из других алфавитов выглядят как чужие.
Плагин авторизации обязателен
Плагин авторизации вроде AuthMe или nLogin просит игрока зарегистрироваться и вводить пароль при каждом входе. Без него пиратский сервер открыт для любого, кто знает ник администратора. Многие такие плагины умеют пускать владельцев лицензии без пароля, это удобно игрокам.
Kordon плагин авторизации не заменяет: пароли он не видит и не проверяет. Как защитить сами пароли, разобрано в статье про перебор паролей.
Что закрывает Kordon
Kordon проверяет подключение на прокси ещё до того, как игрок дойдёт до плагина авторизации.
- VPN, прокси и хостинги не проходят, поэтому забаненному игроку сложнее вернуться с новым ником.
- Волну ботов Kordon замечает сам и переводит сервер в режим атаки.
- Правила для ников отсекают шаблонные ники ботов и ники с кириллицей и пробелами. Шаблон «Как в nLogin / AuthMe» совпадает с правилами этих плагинов, и игрок не застрянет на регистрации из-за неподходящего ника. Учтите, что игроков Bedrock через Floodgate, у которых ник начинается с точки, этот шаблон не пустит.
- В чёрный список можно внести ник, адрес или диапазон. У пиратских игроков UUID получается из ника с учётом регистра букв, поэтому бан по UUID обходится ником
steveвместоSteve. Ники Kordon сравнивает без учёта регистра, так что на пиратском сервере надёжнее банить по нику.
Осторожно с белым списком
Белый список Kordon пропускает игрока без проверки на VPN. На лицензионном сервере ник подтверждает Mojang. На пиратском ник может назвать кто угодно, и запись в белом списке по нику пропустит без проверки любого, кто его назовёт.
Поэтому персонал на пиратском сервере лучше добавлять в белый список по IP-адресу. Если адрес у человека меняется, а VPN он не пользуется, в белый список его можно вообще не добавлять: обычный домашний адрес проверку и так проходит.
Ники с пробелами и похожими буквами
Velocity в offline mode пропускает ники почти из любых символов длиной до 16. Steve и Steve с пробелом в конце для сервера разные аккаунты, а в чате и в табе они выглядят одинаково. То же с кириллическими «а», «е», «о» вместо латинских.
Правило «Как в Paper», которое включено по умолчанию, пускает только латиницу, цифры, _ и точку, и такие ники не проходят. Не выключайте его. Подробнее в статье про фильтр ников.
Что сделать по порядку
- Поставьте плагин авторизации и настройте минимальную длину пароля.
- Поставьте Kordon на прокси и посмотрите день-два в режиме наблюдения.
- Оставьте правило ников «Как в Paper» или, если у вас нет игроков Bedrock, выберите «Как в nLogin / AuthMe».
- Включите защиту на уровне «Сбалансированная».
- Добавьте персонал в белый список по IP, а не по нику.
- Баньте нарушителей по нику: закрытый VPN не даст им быстро вернуться.