Захистіть проксі й сервери за ним
У мережі кожен гравець має заходити через проксі. Якщо порт сервера за проксі (бекенда) доступний з інтернету, будь-хто може зайти на нього напряму й оминути все, що перевіряє проксі. А якщо бекенд використовує звичайне передавання BungeeCord без BungeeGuard, такий гравець ще й увійде під будь-яким ніком, зокрема під ніком адміністратора.
- Прив’яжіть бекенди до 127.0.0.1 або приватної мережі чи закрийте їхні порти у файрволі, щоб до них міг дістатися лише проксі.
- На Velocity з бекендами 1.13+ увімкніть сучасне передавання даних гравця (modern) і впишіть той самий секрет передавання в налаштування кожного бекенда Paper. Для бекендів від 1.8 до 1.12 використовуйте режим передавання bungeeguard разом із плагіном BungeeGuard.
- На BungeeCord увімкніть
ip_forwardі додайте BungeeGuard, тоді бекенд прийматиме лише підключення з вашим токеном. - Не вимикайте online mode на проксі, якщо тільки у вас не піратський сервер із плагіном авторизації.
Оновлюйте сервер і плагіни
Нові збірки Paper і Velocity регулярно закривають експлойти, зокрема такі, що кладуть сервер одним пакетом. Оновлюйте серверне програмне забезпечення й проксі та видаляйте плагіни, якими вже не користуєтеся: кожен плагін виконується з повним доступом.
Завантажуйте плагіни лише з їхніх власних сторінок: Hangar, Modrinth, SpigotMC або GitHub автора. Саме через злиті копії платних плагінів бекдор потрапляє на сервер чи не найчастіше.
Права й op
Нікому не давайте op на публічному сервері. Користуйтеся плагіном прав, наприклад LuckPerms, і давайте кожній ролі лише те, що їй потрібно.
Обережно з правами із зірочкою на кшталт * чи essentials.*. Часто вони охоплюють команди, які виконують команди консолі, видають предмети або змінюють права, тож той, хто захопить акаунт модератора, отримає майже ті самі можливості, що й консоль.
Забирайте права в людини того самого дня, коли вона йде з команди.
Захистіть акаунти персоналу
На сервері з online mode персонал заходить через акаунти Microsoft, тож подбайте, щоб там у кожного був надійний пароль і двоетапна перевірка.
На піратському сервері акаунт захищає лише пароль плагіна авторизації. Паролі персоналу мають бути довгими й ніде більше не використовуватися, а двофакторний вхід має бути ввімкнений, якщо ваш плагін авторизації його підтримує. Докладніше в статті про перебір паролів.
Час від часу дивіться, звідки заходять акаунти персоналу. Про вхід із нової країни чи від нового провайдера варто розпитати.
Закрийте те, чим не користуєтеся
- RCON дає повний доступ до консолі через мережу. Залиште
enable-rcon=false, якщо RCON вам не потрібен, а якщо потрібен, поставте довгий пароль і дозвольте у файрволі лише свою адресу. - Вимкніть
enable-query, якщо query вам не потрібен. - Порти панелі, бази даних і SSH мають бути відкриті лише для тих адрес, яким вони потрібні.
Резервні копії
Зберігайте резервні копії світів і даних плагінів поза машиною сервера й час від часу перевіряйте, що їх вдається відновити. Копія на тому самому диску не допоможе, коли машина вийде з ладу або хтось захопить акаунт хостингу.
DDoS, боти й VPN
DDoS-атака засипає мережу трафіком ще до того, як щось дійде до Minecraft, тому жоден плагін її не зупинить. Це робота хостингу або сервісу мережевого захисту. Дивіться, що плагін може і чого не може проти DDoS.
Бот-атаки, гравці з VPN і обхід банів приходять як справжні входи, і зупиняють їх на проксі: перевіркою адрес, як-от Kordon, а ботів із чистих адрес плагіном перевірки на кшталт Sonar. Докладніше: як заблокувати VPN і порівняння антибот-плагінів.
Чекліст
- Бекенди доступні лише з проксі, передавання IP із секретом або BungeeGuard.
- Сервер, проксі й плагіни оновлені, непотрібні плагіни видалено, нічого зі злитих джерел.
- Жодного op на публічному сервері, у ролей лише ті права, які їм потрібні.
- Акаунти персоналу з надійними унікальними паролями й двоетапною перевіркою.
- RCON і query вимкнені або доступні лише з вашої адреси.
- Резервні копії поза машиною, відновлення перевірене.
- Захист від DDoS у хостингу, захист від ботів і VPN на проксі.