Многоуровневая защита Minecraft-сервера от читеров, гриферов и DDoS-атак

Уровень 2: Прокси-сервер (BungeeCord / Velocity) — Главный шлюз

В современной архитектуре игроки подключаются к прокси, а бэкенд-сервера (Lobby, Survival и т․д․) находятся в локальной сети (Docker network / localhost) и не имеют внешнего IP․

2․1 Velocity > BungeeCord

Velocity — современный, более производительный и безопасный прокси․ Он нативно поддерживает современные протоколы, лучше обрабатывает пакеты и имеет встроенную защиту от некоторых эксплойтов․

2․2 Критически важные плагины для прокси

1. BungeeGuard (ОБЯЗАТЕЛЬНО): Генерирует секретный токен․ Бэкенд-серверы принимают соединения ТОЛЬКО если в заголовке передан верный токен․ Это делает невозможным прямое подключение к бэкендам (даже если утечет их локальный IP/порт) и подделку UUID/никнеймов․
2. AntiBot / AuthMe (на прокси): Защита от бот-атак (ботнеты, завалы фейковыми игроками)․
   • Velocity: VeloAntiBot (лучший выбор, работает на этапе хендшейка)․
   • BungeeCord: BungeeGuard + AntiBot (например, Matrix/AdvancedAntiBot порты)․
3. IP Whitelist / VPN Block: Блокировка известных VPN/Proxy/Hosting ASN (через плагины вроде VPNBlocker или скрипты на уровне фаервола), если сервер приватный/вайтлист․

2․3 Настройка config․yml прокси

• online-mode: true (на прокси) — проверка лицензии Mojang․ Для оффлайн-серверов — строго false на прокси, но true на бэкендах с BungeeGuard (так безопаснее)․
• player-info-forwarding: MODERN (Velocity) / bungeecord: true (Bungee) — передача реального IP и UUID на бэкенд․
• compression-threshold: 256 — снижение нагрузки на CPU․
• query_enabled: false, отключение Query-протокола (используется сканерами для получения списка игроков/плагинов без входа)․

Уровень 3: Бэкенд-сервер (Paper / Purpur / Folia) — Ядро защиты

Используйте Paper или Purpur (форк Paper с оптимизациями)․ Vanilla/Spigot не получают патчи безопасности так быстро․

3․1 Конфигурация paper-global․yml / purpur․yml (Ключевые настройки)

# Анти-чит на уровне ядра
anti-xray:
 enabled: true
 engine-mode: 2 # "Hide" mode (Engine 2) ― лучший баланс производительности и скрытия руд
 # hidden-blocks: [ ․․․ ] # Добавьте редкие блоки, если нужно

# Исправление дуп-эксплойтов и краш-пакетов
fixes:
 disable-unloaded-chunk-enderpearl-exploit: true
 fix-curing-zombie-villager-duplication: true
 prevent-tnt-duplication: true # Если не нужен ванильный дуп ТНТ
 # ․․․ включите ВСЕ fixes, связанные с эксплойтами
# Лимиты пакетов (защита от Crash/Lag Machine пакетов)
packet-limiter:
 limits:

 # Примеры лимитов (подбирайте под нагрузку)
 PLAY_BLOCK_DIG: 300
 PLAY_BLOCK_PLACE: 300
 PLAY_WINDOW_CLICK: 600
 PLAY_ENTITY_ACTION: 300
 PLAY_USE_ITEM: 300

# Скрытие информации
settings:
 hide-version: true # Скрывает версию ядра в моте/листе серверов
 log-villager-deaths: false
 log-player-ip-addresses: false # Логируйте IP только при необходимости (GDPR/безопасность)

# Оптимизация сущностей (защита от лаг-машин)
entities:
 activation-range:
 animal: 16
 monster: 24
 raider: 48
 tick-rates:
 behavior:
 villager:
 valid: 2 # Редкий тик ИИ жителей (снижает нагрузку от ферм)
 # ․․․

3․2 Плагины-стражи на бэкенде (Must Have)

3․3 Настройка spigot․yml и bukkit․yml

• settings․save-user-cache-on-stop-only: true — меньше дисковых операций․
• settings․sample-count: 1 — в моте сервера показывает 1 игрок онлайн (путает сканеры, но может сбить мониторинги)․
• commands․log: false — не логировать команды в консоль (утечка паролей от /reg /login в SocialSpy)․
• chat․broadcast-console-to-ops: false — опы не видят консоль в чате․

Уровень 4: Административная безопасность (Человеческий фактор)

Самая частая причина взлома — не «маги», а утечка прав доступа․

1. Принцип минимальных привилегий: Никто, кроме владельца, не должен иметь * (PermissionEx/LuckPerms: default: false для оп-пермишенов)․ Используйте LuckPerms с контекстами (world, server)․
2. 2FA (Двухфакторка): Обязательно на панель управления (Pterodactyl, ISPmanager), SSH, Discord/Email владельца, GitHub (если храните конфиги там)․ Плагин 2FA на сервер для админов (требует код из приложения при входе/выдаче прав)․
3. Белый список (Whitelist) / Вайтлист на прокси: Если сервер приватный/тестовый — /whitelist on + плагин WhitelistPlus (поддержка UUID)․ Для публичных — закрытый доступ к админ-панели/консоли по IP/VPN․
4. Социальная инженерия: Запретите админам раздавать оп, скачивать подозрительные плагины/схемы (WorldEdit schematics могут содержать вредоносные NBT-теги/командные блоки), кликать по ссылкам в чате․
5. Консоль — только для доверенных: Плагин ConsoleSpamFix (убирает спам), но главное, доступ к консоли дает полный контроль․ Не выдавайте доступ к панели хостинга/прокси посторонним․

Уровень 5: Специфическая защита от «Магов» (Гриферских групп)

Группы вроде Ogmur, MLPI, 2b2t-клиенты используют:

• Сканеры портов (Masscan/ZMap): Ищут открытые 25565․ Решение: Уровень 1 (Скрытый IP, Firewall)․
• Ботнеты для завала (Bot Join): Тысячи фейк-аккаунтов (оффлайн/крак) забивают слоты․ Решение: VeloAntiBot / BungeeGuard + Captcha/Challenge на прокси․
• Эксплойты протокола (Crash Packets): Специально сформированные пакеты (книги с NBT, пакеты движения, интеракции), крашащие поток сервера (Netty)․ Решение: Paper/Purpur Fixes + PacketLimiter + Patchouli/ExploitFix․
• Backdoor в плагинах/Схемах: Злоумышленники просят установить «крутой плагин» или загружают схему с командным блоком․ Решение: Проверка кода (GitHub/Spigot), только проверенные источники, запрет на загрузку схем неадминами․
• SocialSpy / Log4j (исторически): Перехват паролей из чата/консоли․ Решение: Отключение логирования команд, шифрование паролей (BCrypt в AuthMe), обновление Java/Log4j․

Чек-лист «Анти-Маг» для быстрой проверки:

• [ ] Реальный IP сервера скрыт за Cloudflare/TCPShield/Tunnel?
• [ ] Фаервол VPS пропускает трафик ТОЛЬКО от защиты?
• [ ] Используеться Velocity + BungeeGuard (токен совпадает на прокси и бэкендах)?
• [ ] На прокси стоит VeloAntiBot (Challenge/ReCaptcha)?
• [ ] Бэкенды на Paper/Purpur последних билдов?
• [ ] Включены fixes и PacketLimiter в paper․yml?
• [ ] Стоит серверный античит (GrimAC / Vulcan / Matrix) + ExploitFix плагины?
• [ ] /plugins и /version скрыты (HidePlugins)?
• [ ] CoreProtect логирует всё в БД (MySQL/PostgreSQL)?
• [ ] У админов 2FA на панели/SSH/Дискорде? Нет лишних OP?
• [ ] Настроены ежедневные бэкапы (Правило 3-2-1) на отдельный сервер/облако?

Сделать сервер «закрытым для магов» раз и навсегда невозможно — эксплойты находятся еженедельно, читы обновляются․ Однако, реализовав слоистую защиту (Defense in Depth), описанную выше, вы поднимете порог входа так высоко, что:

1. Автоматические сканеры и скрипт-кидди отсеются на уровне Фаервола / Прокси / AntiBot․
2. Опытные гриферы с приватными читами сломаются о Античит + Paper Fixes + PacketLimiter․
3. Даже при компрометации одного контейнера/бэкенда — Docker + BungeeGuard + отсутствие прав root спасут инфраструктуру․
4. А Бэкапы (3-2-1) и CoreProtect позволят откатить ущерб за минуты․

Главный совет: Не экономьте на защите DDoS и хорошем античите (GrimAC стоит денег, но экономит нервы)․ Регулярно обновляйте ядро (Paper/Purpur), плагины и ОС․ Наймите «белого хакера» (аудит безопасности) раз в полгода, если проект серьезный․ И помните: самый надежный плагин — это грамотно настроенная ОС и сеть․