Защита от DDoS для Minecraft: что может плагин и чего не может

Три вида атак

Сетевой флуд

Огромный объём трафика забивает канал сервера. Сервер становится недоступен или лагает у всех, а в журнале входов ничего нового не появляется.

Флуд подключениями

Тысячи подключений или пингов списка серверов, которые так и не становятся игроками. Канал они не забивают, но держат прокси занятым, пока он не перестанет отвечать настоящим игрокам.

Бот-атака

Фейковые игроки проходят вход, занимают слоты и спамят в чат. Каждый бот подключается по-настоящему, обычно через список прокси, поэтому сервер видит в нём игрока.

Почему плагин не остановит DDoS

Плагин работает внутри прокси или сервера. Когда канал забит или машина занята отбрасыванием пакетов, до плагина дело просто не доходит. Фильтровать трафик нужно до того, как он попадёт на вашу машину: в сети хостинга или в сервисе перед ней.

Откуда берётся настоящая защита от DDoS

• Многие Minecraft-хостинги и некоторые дата-центры, например OVHcloud с его игровой фильтрацией, дают защиту от DDoS и отсеивают атаки в своей сети до того, как они дойдут до вас.
• Защитный прокси, например TCPShield или Cloudflare Spectrum (на платных тарифах), стоит перед сервером: игроки подключаются к его сети, а до вас доходит только чистый трафик. Включите в сервисе PROXY protocol и пропишите haproxy-protocol = true в velocity.toml или proxy_protocol: true в config.yml BungeeCord (или поставьте плагин сервиса), иначе ваш прокси будет видеть адреса сервиса вместо адресов игроков, и баны по IP и проверка адресов перестанут работать.
• Держите настоящий адрес в секрете. Если атакующие знают прямой адрес вашего прокси или бэкенда, они пойдут в обход защиты, поэтому не используйте этот адрес ни для чего другого и смените его, если он утёк.

Эти сервисы фильтруют трафик. Об игроках с VPN, обходе банов и ботах, которые проходят вход, они ничего не знают.

Что можно настроить на прокси

Оба прокси умеют притормаживать адрес, который подключается слишком часто:

• Velocity: login-ratelimit в velocity.toml, минимальное время между входами с одного адреса в миллисекундах.
• BungeeCord: connection_throttle и connection_throttle_limit в config.yml.

Это помогает против флуда с нескольких адресов, но не с тысяч. На своей машине против небольшого флуда подключениями поможет правило файрвола, которое ограничивает новые подключения с одного адреса.

Бот-атаки: здесь плагины помогают

Против бот-атаки плагин как раз подходит, потому что каждый бот приходит как вход. Kordon проверяет адрес каждого входа, переводит сервер в режим атаки, когда начинается волна, и закрывает сети, которыми пользуются боты. Режим атаки есть на всех тарифах, включая бесплатный. Плагин проверки, например Sonar, ловит ботов с чистых адресов. Они хорошо работают вместе на одном прокси.

Kordon не фильтрует сетевой трафик, поэтому против настоящего DDoS хостинг вам всё равно нужен. Смотрите, что делать во время бот-атаки.

Как понять, что у вас

Если сервер недоступен или у всех огромный пинг, при этом в журнале входов нет новых заходов, а графики хостинга показывают всплеск трафика, у вас DDoS: обращайтесь к хостингу. Если журнал заполняется новыми никами и слоты заняты, у вас бот-атака, и с ней справится защита на прокси. Иногда их совмещают, так что проверьте и то и другое.