Bảo vệ bảng quản trị và chống bot

Máy chủ thường bị chiếm quyền không phải do “hack hosting” mà qua một operator: ai đó đánh cắp tài khoản của một helper, và tài khoản đó có /op, //set và /give. Dưới đây là mức tối thiểu để chặn đứng chuyện này.

1. Đừng cấp op

op bỏ qua mọi hạn chế của plugin. Quyền được cấp qua các nhóm trong LuckPerms — Quyền, nhóm và tiền tố. Operator: bạn và, có thể, một chủ sở hữu thứ hai.

Mức độ quyền hạn của operator cũng có thể cấu hình: “Operator permission level” trong phần Cài đặt nâng cao. 4 — mọi thứ, 1 — chỉ bỏ qua bảo vệ spawn.

2. Khóa các lệnh nguy hiểm

Ngay cả khi đã có quyền, một số lệnh vẫn nên bị từ chối với tất cả mọi người trừ bạn. Cách dễ nhất là dùng plugin như CommandWhitelist hoặc NoCheatCommands, nhưng LuckPerms cung cấp một mức cơ bản:

/lp group moderator permission set minecraft.command.op false
/lp group moderator permission set worldedit.* false

Danh sách đen hợp lý cho mọi người trừ chủ sở hữu: op, deop, stop, whitelist off, //set, //replace, //regen, /give, /gamemode creative, các lệnh reload của plugin, và “thực thi lệnh với tư cách người chơi khác”.

Riêng một điểm: chúng tôi không cài các plugin cung cấp quyền truy cập shell — thực thi lệnh hệ điều hành trực tiếp từ chat. Đó vừa là lỗ hổng bảo mật vừa là cách làm treo máy chủ; để biết chi tiết, xem Cách cài mod và plugin.

3. Đăng nhập admin bằng mật khẩu

Trên máy chủ dùng đăng nhập bằng nickname, nickname không được xác minh bởi bất cứ thứ gì: ai cũng có thể nhận mình là bạn. Plugin xác thực là bắt buộc, và với nickname admin nên bật thêm xác minh — AuthMe hỗ trợ gắn IP và mật khẩu thứ hai cho các lệnh admin. Xem Đăng nhập bằng nickname.

4. Bot

Một máy chủ công khai sớm muộn gì cũng gặp một đợt bot: hàng chục lượt đăng nhập mỗi giây, slot bị lấp đầy, TPS chạm đáy. Những gì giúp ích:

• một plugin antibot (AntiBot, EpicGuard, BotSentry) — xác minh khi đăng nhập và giới hạn kết nối theo IP;
• đăng nhập vào mạng qua proxy Velocity — bộ lọc ở đó nằm trước các backend; xem Mạng máy chủ;
• “Packet anti-flood” trong cài đặt nâng cao — kick khi gửi packet quá thường xuyên;
• whitelist tạm thời để chờ qua đợt tấn công.

Bảo vệ DDoS theo kênh nằm ở phía mạng của chúng tôi — bạn không cần làm gì về việc đó.

5. Xem chuyện gì đã xảy ra

• Nhật ký máy chủ (mục “Automation và log”) — ai trong đội của bạn đã làm gì trong bảng điều khiển. Lưu trong 90 ngày.
• CoreProtect — người chơi đã làm gì trong thế giới, kể cả lệnh và chat: Khôi phục sau grief.
• Quyền truy cập bảng điều khiển — Cách cấp quyền truy cập cho bạn bè: người được mời nhận các quyền riêng, không phải “toàn quyền truy cập mọi thứ”.

6. Sao lưu

Mọi thứ ở trên sẽ có ngày thất bại. Sao lưu được thực hiện tự động mỗi ngày một lần — hãy chắc chắn bạn biết khôi phục chúng ở đâu trước khi cần đến.