Proxy sunucusunu ve backend sunucularını kilitleyin
Bir ağda her oyuncu proxy sunucusu üzerinden gelmelidir. Bir backend sunucusunun portu internete açıksa herkes ona doğrudan bağlanabilir, proxy sunucusunun yaptığı tüm kontrolleri atlayabilir ve backend BungeeGuard olmadan düz BungeeCord yönlendirmesi kullanıyorsa, yöneticininki dahil istediği isimle giriş yapabilir.
- Backend sunucularını 127.0.0.1 adresini ya da özel bir ağı dinleyecek şekilde ayarlayın veya portlarını güvenlik duvarında kapatın; böylece onlara yalnızca proxy sunucusu ulaşabilir.
- Velocity'de 1.13+ backend sunucularıyla modern player info forwarding kullanın ve aynı forwarding secret değerini her Paper backend sunucusunun yapılandırmasına girin. 1.8 ile 1.12 arası backend sunucuları için BungeeGuard plugin'iyle bungeeguard yönlendirme modunu kullanın.
- BungeeCord'da
ip_forwardayarını açın ve BungeeGuard ekleyin; böylece backend yalnızca sizin token'ınızı taşıyan bağlantıları kabul eder. - Kimlik doğrulama plugin'i olan korsan (cracked) bir sunucu çalıştırmıyorsanız proxy sunucusunda online mode'u açık tutun.
Sunucuyu ve plugin'leri güncel tutun
Yeni Paper ve Velocity sürümleri, sunucuyu tek bir paketle çökertebilenler dahil açıkları düzenli olarak kapatır. Sunucu yazılımını ve proxy sunucusunu güncelleyin, artık kullanmadığınız plugin'leri kaldırın: her plugin tam erişimle çalışan bir koddur.
Plugin'leri yalnızca kendi sayfalarından indirin: Hangar, Modrinth, SpigotMC ya da geliştiricinin GitHub sayfası. Ücretli plugin'lerin sızdırılmış kopyaları, bir sunucuya arka kapı yerleşmesinin en yaygın yollarından biridir.
Yetkiler ve op
Herkese açık bir sunucuda kimseye op vermeyin. LuckPerms gibi bir yetki plugin'i kullanın ve her role yalnızca ihtiyacı olanı verin.
* veya essentials.* gibi joker yetkilere dikkat edin. Bunlar çoğu zaman konsol komutu çalıştıran, eşya veren ya da yetki değiştiren komutları da kapsar; bu yüzden bir moderatör hesabını ele geçiren biri neredeyse konsol kadar güç elde eder.
Ekipten ayrılan birinin yetkilerini ayrıldığı gün geri alın.
Yetkili hesaplarını koruyun
Online mode açık bir sunucuda yetkili hesabı bir Microsoft hesabıdır; yetkililerinizin orada güçlü bir şifre ve iki adımlı doğrulama kullandığından emin olun.
Korsan bir sunucuda hesabı yalnızca kimlik doğrulama plugin'indeki şifre korur. Yetkili şifreleri uzun olmalı ve başka hiçbir yerde kullanılmamalı; kimlik doğrulama plugin'iniz destekliyorsa iki adımlı giriş de açık olmalı. Ayrıntılar brute force ile şifre kırma rehberinde.
Zaman zaman yetkili hesaplarının nereden giriş yaptığına bakın. Yeni bir ülkeden ya da sağlayıcıdan gelen bir giriş görürseniz hesabın sahibine sormaya değer.
Kullanmadığınız şeyleri kapatın
- RCON, ağ üzerinden tam konsol erişimi verir. İhtiyacınız yoksa
enable-rcon=falseolarak bırakın; ihtiyacınız varsa uzun bir şifre kullanın ve güvenlik duvarında yalnızca kendi adresinize izin verin. - İhtiyacınız yoksa
enable-queryayarını kapatın. - Panelin, veritabanının ve SSH'ın portları yalnızca bunlara ihtiyacı olan adreslere açık olmalı.
Yedekler
Dünyaların ve plugin verilerinin yedeklerini sunucu makinesinin dışında tutun ve zaman zaman geri yüklenebildiklerini kontrol edin. Aynı diskteki bir yedek, makine bozulduğunda ya da biri hosting hesabını ele geçirdiğinde işe yaramaz.
DDoS, botlar ve VPN'ler
DDoS saldırısı, Minecraft'a herhangi bir şey ulaşmadan önce ağı doldurur, bu yüzden hiçbir plugin onu durduramaz; bunu hosting sağlayıcınız ya da bir ağ koruma hizmeti yapmalıdır. Bir plugin'in DDoS'a karşı neyi yapıp neyi yapamayacağı rehberine bakın.
Bot saldırıları, VPN kullanıcıları ve ban atlatma gerçek girişler olarak gelir ve proxy sunucusunda durdurulur: Kordon gibi adres kontrolleriyle ve temiz adreslerden gelen botlar için Sonar gibi bir doğrulama plugin'iyle. VPN nasıl engellenir ve anti-bot plugin'lerinin karşılaştırması rehberlerine bakın.
Kontrol listesi
- Backend sunucularına yalnızca proxy sunucusundan erişilebiliyor, IP yönlendirme secret ya da BungeeGuard ile yapılıyor.
- Sunucu, proxy sunucusu ve plugin'ler güncel, kullanılmayan plugin'ler kaldırılmış, sızdırılmış kaynaklardan hiçbir şey yok.
- Herkese açık sunucuda op yok, roller yalnızca ihtiyaç duydukları yetkilere sahip.
- Yetkili hesaplarında güçlü, başka yerde kullanılmayan şifreler ve iki adımlı doğrulama var.
- RCON ve query kapalı ya da yalnızca sizin adresinize açık.
- Yedekler makinenin dışında, geri yükleme denenmiş.
- DDoS koruması hosting sağlayıcısından, bot ve VPN koruması proxy sunucusunda.