sichere deinen Server ab

Wenn jemand reingekommen ist, den du nicht eingeladen hast, kann vermutlich jeder joinen, der den Server findet. Sichere ihn zuerst ab und prüfe dann, was passiert ist, während er offen war.

Server absichern

Öffne deine Serverkonsole, entweder im Panel deines Hosters oder in dem Fenster, in dem der Server läuft. Ist ein unbekannter Spieler noch online, entferne und sperre dieses Konto mit ban PlayerName. Auf einem Server im Offline-Modus kann er unter einem anderen Namen zurückkommen, daher ist der Schritt zur Authentifizierung unten trotzdem wichtig.

1. Whitelist aktivieren

Trag zuerst dein eigenes Konto ein, aktiviere die Whitelist und füge dann alle anderen hinzu, die Zugang haben sollen.

# server console
whitelist add YourJavaName
whitelist on
whitelist add FriendJavaName
whitelist list

Ersetze die Beispiele durch den Java-Edition-Benutzernamen jedes Spielers. In der Konsole brauchen Befehle keinen Schrägstrich am Anfang. Im Spiel brauchst du Operator-Rechte und einen Schrägstrich am Anfang.

2. Spieler-Authentifizierung prüfen

Ein normaler Java-Server sollte online-mode=true in server.properties haben. Damit wird geprüft, dass Spieler die Namen besitzen, die sie benutzen. Ohne diese Einstellung kann sich jemand als ein Spieler auf deiner Whitelist ausgeben.

Wenn die Einstellung schon true ist, ändere sie nicht. Wenn sie false ist, sichere vor der Änderung den ganzen Server. Ein Wechsel des Authentifizierungsmodus ändert die Identitätsdaten der Spieler, daher müssen Inventare, Whitelist-Einträge, Operator-Status und Plugin-Berechtigungen eventuell migriert oder neu eingetragen werden.

Ändere diese Einstellung nicht auf einem Backend hinter Velocity oder BungeeCord. Folge stattdessen der Proxy-Anleitung deines Hosters. Der Proxy muss die Spieler authentifizieren, und eine Firewall muss verhindern, dass Spieler sich direkt mit dem Backend verbinden. Modern Forwarding ersetzt diese Firewall nicht. Der Velocity-Sicherheitsleitfaden von Paper erklärt, wie du verhinderst, dass ein Backend direkt erreichbar ist.

Wenn du absichtlich Spieler ohne verifiziertes Minecraft-Konto zulässt, nutze ein gepflegtes Authentifizierungs-Plugin, lass die Whitelist aktiv und folge den Anweisungen deiner Plattform, um direkten Netzwerkzugriff einzuschränken.

Die Konsole sollte jetzt melden, dass die Whitelist aktiv ist, und die eingetragenen Namen anzeigen. Wenn du ein weiteres Java-Konto hast, kannst du auch prüfen, ob ein nicht eingetragenes Konto abgewiesen wird.

Prüfen, was passiert ist

Lass die Whitelist aktiv, während du den Server prüfst. Fehlen Blöcke oder Items, stoppe den Server, bevor du etwas reparierst, und sichere eine Kopie des ganzen Serververzeichnisses, einschließlich Welt, Konfiguration und Logs. Hat dein Hoster eine Snapshot-Funktion, kannst du stattdessen diese nutzen. Die Logs können zeigen, wann ein Spieler gejoint ist und welchen Namen er benutzt hat, und eventuell Befehle oder Plugin-Aktivität festhalten. Im Offline-Modus identifiziert dieser Name nicht die Person, die ihn benutzt hat.

Wenn du ein sauberes Backup hast, spiel eines von vor dem Schaden ein. Prüfe auch ops.json auf unbekannte Operatoren und entferne sie mit deop PlayerName. Server mit Rechte-Plugins speichern Team-Rechte eventuell woanders, prüfe also auch die Benutzer und Gruppen dieses Plugins.

Wie der Server gefunden wurde

Dein Server muss nicht beworben werden, um gefunden zu werden. Jeder kann öffentliche Internetadressen nach Ports scannen, die Minecraft nutzt. Wie Lucky-Scans aussehen erklärt den Status-Traffic, woher er kommt und wie du ihn erkennst.

Unser Bot joint als LuckySystems, postet die Warnung und trennt die Verbindung. Er baut keine Blöcke ab und setzt keine, nimmt keine Items und führt keine Befehle aus.

Du musst uns nichts bezahlen, kein Passwort nennen, keine Operator-Rechte vergeben, keinen Zugang zu einem Konto geben und nichts installieren.

Wer so etwas verlangt, ist nicht von Lucky. Wenn du unsicher bist, ob eine Nachricht von uns kam, schreib an contact@lucky.systems.