# Minecraft 服务器安全指南：2026 年检查清单

Minecraft 服务器被入侵，大多始于很简单的问题，比如后端端口对外开放、插件版本过旧，或者管理员重复使用密码。这份清单按我们自己的检查顺序，逐一过一遍常见的薄弱环节。

更新于: 2026-11-06

## 概要

- 后端服务器只对代理端开放，并配置 IP 转发。
- 及时更新 Paper、Velocity 和插件，只从插件的官方页面下载。
- 只给管理员必要的权限，并保护好他们的账号。
- 不用 RCON 和 query 就关掉，备份放在服务器之外。
- DDoS 由主机商来挡；机器人、VPN 和规避封禁由代理端上的防护来处理。

## 锁好代理端和后端

在服务器网络中，每个玩家都应该经由代理端进入。如果某个后端服务器的端口对互联网开放，任何人都可以直接连上去，绕过代理端的所有检测；如果后端使用的是没有 BungeeGuard 的普通 BungeeCord 转发，还能用任意名字进服，包括管理员的名字。

- 把后端服务器绑定到 127.0.0.1 或内网，或者在防火墙中关闭它们的端口，只让代理端能访问。
- Velocity 搭配 1.13+ 后端时，使用 modern 玩家信息转发，并在每个 Paper 后端的配置中填入相同的转发密钥。1.8 到 1.12 的后端使用 bungeeguard 转发模式，并安装 BungeeGuard 插件。
- 在 BungeeCord 上开启 `ip_forward` 并加装 BungeeGuard，这样后端只接受带有你的令牌的连接。
- 代理端保持正版验证开启，除非你运行的是装有登录插件的离线服务器。

## 保持服务器和插件为最新版本

Paper 和 Velocity 的新构建经常修复漏洞，其中包括只用一个数据包就能让服务器崩溃的漏洞。请更新服务端和代理端，并删除不再使用的插件：每个插件都是以完全权限运行的代码。

只从插件自己的页面下载：Hangar、Modrinth、SpigotMC 或作者的 GitHub。付费插件的泄露版是服务器被植入后门最常见的途径之一。

## 权限和 op

公开服务器上不要给任何人 op。使用 LuckPerms 之类的权限插件，每个角色只给它需要的权限。

谨慎使用 `*` 或 `essentials.*` 这类通配权限。它们往往包含执行控制台命令、发放物品或修改权限的命令，一旦有人盗用了某个管理员账号，几乎就拥有了和控制台相同的权力。

有人离开团队的当天，就收回他的权限。

## 保护管理员账号

在开启正版验证的服务器上，管理员账号就是微软账号，所以要确保管理员的微软账号使用强密码并开启两步验证。

在离线服务器上，账号只靠登录插件的密码保护。管理员的密码应该足够长、不在别处使用；如果你的登录插件支持两步验证，也要开启。详见[密码暴力破解](https://kordonlabs.com/zh/guides/minecraft-password-brute-force)。

时不时查看管理员账号是从哪里进服的。如果出现新的国家或运营商，最好问一下本人。

## 关掉不用的东西

- RCON 通过网络提供完整的控制台访问。不需要就保持 `enable-rcon=false`；如果要用，请设置长密码，并在防火墙中只允许你自己的地址。
- 不需要的话就关闭 `enable-query`。
- 面板、数据库和 SSH 的端口只应对需要的地址开放。

## 备份

把世界和插件数据的备份放在服务器机器之外，并定期检查能否恢复。备份和服务器在同一块硬盘上，机器坏了或主机账号被人接管时就帮不上忙。

## DDoS、机器人和 VPN

DDoS 攻击在流量到达 Minecraft 之前就会塞满网络，所以任何插件都挡不住，只能由主机商或网络防护服务来处理。参见[插件在 DDoS 面前能做什么、不能做什么](https://kordonlabs.com/zh/guides/minecraft-ddos-protection)。

机器人攻击、VPN 用户和规避封禁都表现为真实的进服，要在代理端拦截：靠 Kordon 这样的地址检测，对来自干净地址的机器人则靠 Sonar 这样的验证插件。参见[如何拦截 VPN](https://kordonlabs.com/zh/guides/block-vpn-minecraft-server)和[反机器人插件对比](https://kordonlabs.com/zh/guides/best-minecraft-antibot-plugins)。

## 检查清单

1. 后端只能从代理端访问，IP 转发使用密钥或 BungeeGuard。
2. 服务端、代理端和插件已更新，不用的插件已删除，没有来自泄露渠道的插件。
3. 公开服务器上没有 op，各角色只有必要的权限。
4. 管理员账号使用不重复的强密码，并开启两步验证。
5. RCON 和 query 已关闭，或只允许你的地址。
6. 备份放在机器之外，已测试过恢复。
7. DDoS 防护由主机商提供，机器人和 VPN 防护放在代理端。

## 在你的服务器上试试

从观察模式开始：Kordon 会显示它将拦截哪些人，你准备好后再开启防护。 [创建账号](https://panel.kordonlabs.com/register)

## 更多指南

- [Minecraft DDoS 防护：插件能做什么，不能做什么](https://kordonlabs.com/zh/guides/minecraft-ddos-protection): Minecraft 服务器遭受的 DDoS 攻击是什么，为什么插件挡不住网络流量洪泛，真正的 DDoS 防护从哪里来，以及机器人攻击有什么不同。
- [如何在 Minecraft 服务器上拦截 VPN 和代理](https://kordonlabs.com/zh/guides/block-vpn-minecraft-server): 玩家为什么通过 VPN 和代理进服，有哪些拦截办法，以及如何在 BungeeCord 或 Velocity 上一步步配置 Kordon AntiVPN 插件。
- [离线 Minecraft 服务器的密码爆破：如何保护账号](https://kordonlabs.com/zh/guides/minecraft-password-brute-force): 攻击者如何在装有 AuthMe 或 nLogin 的服务器上猜玩家密码，登录插件的哪些设置能挡住这种攻击，拦截 VPN 和代理又有什么帮助。