защитите сервер

Если к вам зашёл тот, кого вы не приглашали, зайти может любой, кто найдёт сервер. Сначала защитите его, затем проверьте, что происходило, пока он был открыт.

Защитите сервер

Откройте консоль сервера: в панели хостинга или в окне, где запущен сервер. Если незнакомый игрок ещё на сервере, выгоните и заблокируйте этот аккаунт командой ban PlayerName. На сервере в offline mode он может вернуться под другим ником, поэтому шаг с проверкой аккаунтов ниже всё равно важен.

1. Включите белый список

Сначала добавьте свой аккаунт, затем включите белый список, а потом добавьте всех, у кого должен быть доступ.

# server console
whitelist add YourJavaName
whitelist on
whitelist add FriendJavaName
whitelist list

Замените примеры на ники игроков в Java Edition. В консоли команды вводятся без косой черты в начале. Чтобы ввести их в игре, нужны права оператора и косая черта в начале.

2. Проверьте аутентификацию игроков

На обычном сервере Java в server.properties должно быть online-mode=true. Так сервер проверяет, что ники принадлежат игрокам, которые их используют. Без этого кто угодно может выдать себя за игрока из вашего белого списка.

Если значение уже true, не меняйте его. Если false, сделайте резервную копию всего сервера перед изменением. Смена режима аутентификации меняет идентификаторы игроков, поэтому инвентари, записи белого списка, статус оператора и права в плагинах, возможно, придётся перенести или выдать заново.

Не меняйте эту настройку на бэкенд-сервере за Velocity или BungeeCord. Следуйте руководству вашего хостинга по прокси. Аутентифицировать игроков должен прокси, а файрвол должен запрещать игрокам подключаться к бэкенду напрямую. Modern forwarding не заменяет файрвол. В руководстве Paper по безопасности Velocity объясняется, как закрыть прямой доступ к бэкенду.

Если вы намеренно пускаете игроков без подтверждённых аккаунтов Minecraft, используйте поддерживаемый плагин авторизации, не выключайте белый список и следуйте инструкциям вашей платформы по ограничению прямого сетевого доступа.

Теперь консоль должна сообщить, что белый список включён, и показать добавленные ники. Если у вас есть другой аккаунт Java, можно также проверить, что аккаунт не из списка сервер не пускает.

Проверьте, что произошло

Не выключайте белый список, пока проверяете сервер. Если пропали блоки или предметы, остановите сервер, прежде чем что-либо чинить, и сохраните копию всей его папки, включая мир, конфигурацию и логи. Если у хостинга есть снапшоты, можно воспользоваться ими. Логи могут показать, когда игрок зашёл и под каким ником, а также команды или действия плагинов. В offline mode этот ник не указывает на человека, который его использовал.

Если есть чистая резервная копия, восстановите ту, что сделана до повреждений. Проверьте также ops.json на незнакомых операторов и удалите лишних командой deop PlayerName. На серверах с плагинами прав доступ персонала может храниться в другом месте, поэтому проверьте и пользователей, и группы в этом плагине.

Как нашли сервер

Серверу не обязательно быть в рекламе, чтобы его нашли. Кто угодно может сканировать публичные адреса интернета на портах, которые использует Minecraft. На странице Как выглядит сканирование Lucky описан трафик запросов статуса, откуда он идёт и как его опознать.

Наш бот заходит как LuckySystems, пишет предупреждение и отключается. Он не ломает и не ставит блоки, не забирает предметы и не выполняет команды.

Вам не нужно платить нам, сообщать пароль, выдавать права оператора, давать доступ к аккаунту или что-либо устанавливать.

Кто просит об этом, тот не из Lucky. Если вы не уверены, что сообщение от нас, напишите на contact@lucky.systems.