GameHosting.pl

Notatki operatora

Skanery serwerów Minecraft: czemu obcy wchodzą na twój serwer

Postawiłeś prywatny serwer, adres znały trzy osoby, a wieczorem po spawnie biega ktoś o nicku wyglądającym jak zlepek losowych liter. To pytanie wraca co tydzień na forach adminów i odpowiedź za każdym razem jest ta sama: nikt ci IP nie „wykradł”. Twój serwer został zeskanowany, zaindeksowany i wystawiony w publicznej bazie, jak każdy inny otwarty serwer w internecie.

Opublikowano · ~7 min czytania

W skrócie: boty skanujące odpytują cały internet na porcie Minecrafta i budują przeszukiwalne bazy serwerów, z wersją, MOTD i informacją, czy jest whitelist i tryb premium. Grupy grieferskie wybierają z tych baz łatwe cele. Obrona to warstwy: whitelist zawsze włączona, na serwerze non-premium obowiązkowo AuthMe, do tego plugin antybotowy, niewystawianie RCON i kopie zapasowe na wypadek, gdyby było już za późno.

Jak obcy „znajdują” serwer, którego nikomu nie dawałeś

W internecie bez przerwy pracują masowe skanery, które odpytują po kolei wszystkie publiczne adresy IP na domyślnym porcie Minecrafta 25565. Serwer, który odpowie na ping, zdradza przy okazji wszystko, co widać na liście serwerów w grze: wersję, MOTD, liczbę graczy, czasem ikonę. Te odpowiedzi lądują w bazach danych, które można przeszukiwać jak wyszukiwarkę: pokaż serwery w wersji X, bez whitelisty, z graczami online.

Dalej dzieje się to, co opisują kolejne głośne historie griefów: zorganizowane grupy podpinają do takich baz boty na Discordzie i filtrują cele. Serwer bez whitelisty, w trybie non-premium, z kilkoma graczami wieczorem, to dla nich zaproszenie. Najpierw wchodzi bot z losowym nickiem sprawdzić, czy da się wejść, potem wchodzą ludzie.

Ważne, żeby to dobrze zrozumieć: problemem nie jest wyciek adresu, tylko widoczność. Serwer wystawiony w internet bez zamków jest publiczny z definicji, niezależnie od tego, komu dawałeś IP.

Czemu serwery non-premium obrywają najmocniej

Na serwerze premium nieproszony gość musi mieć przynajmniej kupione konto, a jego nick jest zweryfikowany u Mojang. Na serwerze z online-mode=false weryfikacji nie ma, więc bot wchodzi bez konta i, co gorsza, może wejść na dowolny nick, także twój. Jeśli nick admina nie jest chroniony hasłem, obcy loguje się jako ty i ma twoje uprawnienia.

Dlatego na non-premium plugin logowania to nie dodatek, tylko warunek istnienia serwera. Jak to poskładać, opisują teksty o serwerze non-premium i konfiguracji AuthMe, łącznie z ochroną nicków premium przed przejęciem.

Pięć warstw obrony, od najważniejszej

  1. Whitelist, na stałe. W konsoli: whitelist on, potem whitelist add nick dla każdego gracza, a w server.properties dodatkowo enforce-whitelist=true, żeby wyrzuciło osoby, które weszły przed włączeniem. Zgłoszenia nowych graczy zbieraj na Discordzie i dopisuj raz dziennie. To jedna komenda, która zamyka 95% problemu: nieznajomi w ogóle nie wchodzą.
  2. AuthMe na non-premium. Rejestracja hasłem blokuje wchodzenie na cudze nicki i odcina boty, które nie przejdą logowania. Włącz też w konfiguracji ochronę przed spamem rejestracji z jednego IP.
  3. Plugin antybotowy. Przy publicznym serwerze bez whitelisty fale botów o losowych nickach potrafią zapchać serwer samym logowaniem. Wtyczki antybotowe odsiewają automaty, zanim dotkną świata gry. Szukaj rozwiązań sprawdzających zachowanie klienta przy połączeniu, nie tylko limitów wejść na sekundę.
  4. Nie wystawiaj niczego poza portem gry. RCON (enable-rcon=false, jeśli go nie używasz) i query zostaw wyłączone, a panel hostingu czy dostęp SSH trzymaj za silnymi hasłami. Zmiana portu gry na niestandardowy zmniejsza szum ze skanerów, ale traktuj ją jak zasłonę, nie jak zamek.
  5. Kopie zapasowe, zanim będą potrzebne. Gdy wszystko powyżej zawiedzie, różnica między „wkurzające pół godziny” a „koniec serwera” to działający backup. Harmonogram i sensowną rotację opisuje poradnik o kopiach zapasowych serwera.

Ktoś już wszedł: sprzątanie po griefie

Serwer w domu a serwer na hostingu

Skanery nie rozróżniają, gdzie stoi serwer, zakresy adresów firm hostingowych są skanowane nawet intensywniej. Różnica polega na tym, co masz do dyspozycji: na własnym komputerze z przekierowaniem portów całość obrony budujesz sam, a przy okazji wystawiasz w internet domową sieć. Na hostingu zarządzanym firewall i filtrowanie botów działają na poziomie infrastruktury, a whitelist i backupy włączasz w panelu. Do tego twój domowy adres IP w ogóle nie występuje w tej układance.

Najczęstsze pytania

Skąd znali moje IP?

Z masowego skanowania internetu. Każdy serwer odpowiadający na ping na publicznym adresie trafia do przeszukiwalnych baz. To kwestia godzin od wystawienia, nie wycieku.

Czy zmiana IP albo portu pomoże?

Na krótko. Skanery chodzą w kółko, więc nowy adres i port zostaną znalezione ponownie. Trwałą różnicę robi whitelist, nie chowanie się.

Czy whitelist nie zabija wygody?

Przy prywatnym serwerze dla znajomych: nie, dopisujesz osobę raz. Przy serwerze otwartym dla społeczności whitelistę zastępuje AuthMe plus antybot, ale wtedy świadomie godzisz się na ruch z zewnątrz.

Grał u mnie „gracz”, który tylko wszedł i wyszedł. Co to było?

Najpewniej bot indeksujący albo zwiadowca sprawdzający, czy serwer jest otwarty. Potraktuj to jako ostrzeżenie: jesteś w bazach, zamknij drzwi, zanim wróci ktoś z gorszymi zamiarami.

Powiązane