Захист панелі та антибот

Сервери найчастіше захоплюють не через «злам хостингу», а через оператора: хтось викрадає акаунт помічника, а в нього є /op, //set і /give. Нижче — мінімум, який це закриває.

1. Не роздавайте op

op ігнорує будь-які обмеження плагінів. Права видаються через групи в LuckPerms — Права, групи та префікси. Оператори: ви і, можливо, другий власник.

Обсяг можливостей оператора теж налаштовується: «Рівень прав оператора» в розширених Налаштуваннях. 4 — усе, 1 — лише обхід захисту спавну.

2. Закрийте небезпечні команди

Навіть із правами деякі команди варто заборонити всім, крім вас. Найпростіше — плагін на кшталт CommandWhitelist або NoCheatCommands, але LuckPerms дає базовий рівень:

/lp group moderator permission set minecraft.command.op false
/lp group moderator permission set worldedit.* false

Розумний чорний список для всіх, крім власника: op, deop, stop, whitelist off, //set, //replace, //regen, /give, /gamemode creative, команди reload плагінів і «виконати команду від імені іншого гравця».

Окремо: ми не встановлюємо плагіни, які дають доступ до оболонки — виконання команд операційної системи прямо з чату. Це і діра в безпеці, і спосіб підвісити сервер; детальніше — Як встановити моди та плагіни.

3. Вхід адміністратора з паролем

На сервері з входом за нікнеймом нікнейм нічим не підтверджується: будь-хто може назватися вами. Плагін автентифікації обов’язковий, а для адмінських нікнеймів варто увімкнути додаткову перевірку — AuthMe підтримує прив’язку до IP і другий пароль для адмінських команд. Дивіться Вхід за нікнеймом.

4. Боти

Публічний сервер рано чи пізно отримає хвилю ботів: десятки входів за секунду, забиті слоти, TPS на підлозі. Що допомагає:

• антибот-плагін (AntiBot, EpicGuard, BotSentry) — перевірка під час входу та ліміт з’єднань на IP;
• вхід у мережу через проксі Velocity — фільтр там стоїть перед бекендами; дивіться Мережа серверів;
• «Пакетний анти-флуд» у розширених налаштуваннях — кіки за надто часті пакети;
• тимчасовий вайтлист, щоб перечекати атаку.

Захист від DDoS на канальному рівні — на нашому боці мережі, вам нічого робити не потрібно.

5. Дивіться, що сталося

• Лог сервера (розділ «Автоматизація та лог») — хто з вашої команди що робив у панелі. Зберігається 90 днів.
• CoreProtect — що робили гравці у світі, включно з командами та чатом: Відкат гриферства.
• Права доступу до панелі — Як дати друзям доступ: запрошений отримує окремі права, а не «повний доступ до всього».

6. Бекапи

Усе перелічене одного дня не спрацює. Бекапи створюються автоматично раз на день — переконайтеся, що знаєте, звідки їх відновлювати, ще до того, як це знадобиться.