Защита сервера Minecraft от DDoS и ботов

Серверы Minecraft атакуют часто: из-за конкуренции между проектами, ради выкупа или просто так. Плагины против ботов тут помогают слабо, и ниже разбираем почему и как защитить сервер так, чтобы игроки ничего не заметили.

Как атакуют серверы Minecraft

• Флуд подключений. Тысячи TCP-соединений на порт 25565.
• Боты-флудеры. Заходят под случайными никами, спамят в чат, забивают слоты.
• Пинг-флуд. Тысячи запросов статуса сервера.
• Атаки на канал. UDP-усиление и мусорные пакеты, особенно болезненные для домашнего сервера или недорогого VPS.

Почему не хватает плагинов

Анти-бот плагин работает внутри сервера. К этому моменту подключение уже дошло, заняло поток и память. От объёма атаки плагин не защищает совсем: канал забит раньше, чем сервер что-то увидит.

Как работает защита через прокси

Игроки заходят по адресу защиты, а он передаёт серверу только живые подключения.

• На пинг отвечает узел. Список серверов показывает ваш MOTD и число игроков, а сканеры и боты до сервера не доходят.
• Вход по имени сервера. Серверы делят общий порт 25565, игрок попадает на свой сервер по адресу, с которым заходит. Чужие имена отсекаются сразу.
• Лимиты. Ограничиваем подключения и попытки входа с одного адреса, с подсети /24 и на весь сервер.
• Настоящий IP игрока. Он передаётся серверу по PROXY protocol v1 или v2, поэтому баны и белые списки работают как раньше. PROXY protocol умеют принимать Paper, Velocity и BungeeCord.

Bedrock и другие игры

Minecraft Bedrock и любые TCP- и UDP-сервисы (голосовые серверы, игры на своих протоколах, SSH и RDP) защищаются так: мы выдаём порт на защищённом адресе и ограничиваем соединения и потоки. Для UDP адрес игрока приходит в первой датаграмме потока, в Geyser для этого включается enable-proxy-protocol.

Сколько стоит

Первый сервер Minecraft Java в регионе «Весь мир» на тарифе «Старт» бесплатный: до 20 игроков одновременно, без списаний. Остальные тарифы и регионы — на странице защиты TCP/UDP.

Защитить сервер