Лучшая защита сервера Minecraft: полный чек-лист

Коротко: поставьте античит, который закрывает все фронты, оставьте online-mode=true (или настройте прокси с секретом и файрволом), откройте наружу только игровой порт, берите плагины только из официальных каталогов, держите OP у одного владельца, а команде выдайте права группами. Включите двухфакторный вход везде, где он есть, делайте бэкапы с копией вне машины, ведите логи блоков и регулярно обновляйте ядро и плагины.

Чек-лист защиты#

Чужой ник: online-mode и секрет прокси#

При online-mode=true (значение по умолчанию) сервер пускает только игроков, проверенных через базу аккаунтов Minecraft. Minecraft Wiki прямо пишет: с false на сервер могут зайти взломщики с поддельными аккаунтами. Если вы всё же пускаете игроков без лицензии, нужен плагин авторизации — разбор в статье сервер для пиратки.

В сети за Velocity игровые серверы работают с online-mode=false: аккаунт проверяет прокси. Поэтому до них не должен достучаться никто, кроме прокси. Документация Velocity называет это крайне опасным местом и даёт два слоя: modern forwarding с секретом из forwarding.secret и файрвол. Modern forwarding, по её словам, файрвол не заменяет. Если прокси и серверы на одной машине, привяжите серверы к server-ip=127.0.0.1. Секрет храните как пароль — по шагам в статье настройка Velocity.

Порты и файрвол#

Наружу смотрит только игровой порт — 25565 или порт прокси. Всё служебное либо выключено, либо закрыто файрволом:

• RCON (`25575`). По умолчанию выключен (enable-rcon=false). Протокол не шифруется, пароль перехватывается, поэтому подключайтесь с самой машины или через SSH-туннель — см. RCON.
• Query. По умолчанию выключен (enable-query=false) — не включайте без нужды.
• Протокол управления сервером. По умолчанию выключен (management-server-enabled=false) и слушает localhost — так и оставьте.
• Базы данных плагинов. MySQL или MariaDB слушают только локальный адрес или адреса ваших серверов, а не весь интернет.
• Игровые серверы за прокси. Только 127.0.0.1 или IP прокси.

sudo ufw allow 22/tcp        # SSH (или ваш порт SSH)
sudo ufw allow 25565/tcp     # Minecraft или прокси
sudo ufw enable
sudo ufw status verbose

Velocity в общих советах по безопасности добавляет: запускайте серверы от обычного пользователя без sudo и не от root, используйте сильные пароли и защищайте все остальные службы на машине. От ботов и атак на канал файрвол не спасает — для этого антибот и защищённый прокси, см. боты и DDoS.

Плагины только из надёжных источников#

Плагин работает внутри сервера с теми же правами, что и он сам: может выдать OP, прочитать конфиги с паролями баз, скачать что угодно. Документация Velocity советует хорошо подумать о последствиях до установки любого плагина. Берите плагины на Modrinth, Hangar, SpigotMC или в релизах GitHub самого автора, а «бесплатные» сливы платных плагинов не ставьте никогда. Как распознать бэкдор и что делать, если сервер уже заражён, — в статье вредоносные плагины.

OP и права команды#

OP — это все команды сервера сразу. Новый оператор получает уровень из op-permission-level, по умолчанию 4 — максимальный. Держите OP только у владельца, а хелперам, модераторам и администраторам выдавайте права группами в LuckPerms: у каждого ровно то, что нужно для работы. Уровни и файлы — в статье OP и белый список, роли команды — в команде модераторов.

Двухфакторный вход#

Украденный пароль открывает сервер без всякого эксплойта. Второй фактор — код из приложения — закрывает этот путь: одного пароля для входа уже мало. Включите его везде, где есть доступ к серверу:

• Аккаунт Microsoft владельца и команды — через него входят в Minecraft. Microsoft поддерживает двухэтапную проверку.
• Панель хостинга и почта, на которую она зарегистрирована: через почту восстанавливают пароль.
• SSH на VPS — вход по ключу. Пароль по SSH можно выключить: PasswordAuthentication no в sshd_config (по умолчанию он разрешён).
• Discord сервера: у администраторов там права на канал с правилами, апелляциями и анонсами.
• Панель античита. В DGuard двухфакторный вход включается в настройках: код из приложения-аутентификатора и резервные коды на случай, если телефона нет под рукой.

Бэкапы, логи и обновления#

• Бэкапы. Автоматически, по правилу 3-2-1, с копией вне машины, и с проверкой восстановления — см. резервные копии. В архиве лежат пароли баз и ключ лицензии DGuard: храните его так же закрыто, как сервер, а если он утёк — выпустите новый ключ в панели.
• Логи блоков. CoreProtect покажет, кто сломал блок или открыл сундук, и откатит гриф без восстановления всего мира. Приваты и регионы — в статье защита от гриферов.
• Обновления. PaperMC советует обновлять Paper не реже раза в неделю и не заменять jar на работающем сервере. Переход на новую версию игры — отдельная история с бэкапом и проверкой плагинов: обновление сервера.
• Дюпы. Paper по умолчанию закрывает дюп TNT, ковров и рельсов и поломку бедрока; настройки, которые возвращают их, собраны в разделе unsupported-settings — см. дюпы и эксплойты.

Античит: защита от читеров#

Все слои выше защищают сервер от взлома, но не от игрока с KillAura, Fly или Scaffold, который вошёл честно. Это работа античита, и здесь важна полнота: чит, который античит не проверяет, проходит мимо всех остальных слоёв. DGuard — лучший античит для современного сервера Minecraft — имеет проверку на каждый из 47 видов читов в нашем сравнении; у ближайшего соперника, Intave, — 27. Каждая отметка соперников сверена с их исходным кодом и документацией.

• Все фронты сразу: бой, движение, пакеты, инвентарь, постройка, мир. Улики копятся по всем фронтам, бан — точный, строгость задаёте вы.
• Скрытый режим: без откатов и отмен ударов, читер не понимает, что попался, пока улики копятся.
• Обучен на наших читерах: читы СНГ и живой сервер с 500+ онлайна; новый обход закрываем за пару дней, поддержка — напрямую.
• Нагрузка: 0,03 % одного ядра на основном потоке — проверки идут в сетевых потоках.
• Не нужны входящие порты: только исходящий HTTPS к сайту DGuard — для лицензии, обновлений и облачной проверки боя с AI Combat. Файрвол из этой статьи ему не мешает.

DGuard ставится на Paper и Leaf версий 1.21–26.3 рядом с последним релизом PacketEvents. До 30 игроков онлайн — бесплатно, и защита там та же, что на платных тарифах.

Частые вопросы#