Как защитить сервер Minecraft и домашнюю сеть: чек-лист безопасности

От чего мы защищаемся

Открытый порт не делает компьютер прозрачным для интернета: через него доступна только программа, которая слушает этот порт, то есть сервер Minecraft. Поэтому почти все риски сводятся к четырём:

• Посторонние игроки. Без белого списка на сервер зайдёт кто угодно: сломает постройки, заберёт вещи, захламит чат. Гриферы (так называют игроков, которые портят чужие миры) нередко находят серверы автоматическими сканерами, даже если вы нигде не публиковали адрес.
• Подмена игрока. Если выключить online-mode, сервер перестанет проверять, кто подключается, и зайти можно будет под любым ником, в том числе под ником оператора.
• Чужой код на вашем компьютере. Уязвимость в самой игре или её библиотеках (как Log4Shell в 2021 году) или вредоносный мод позволяют запустить чужую программу на компьютере, где работает сервер. Это самый серьёзный риск.
• Слабые места сети. Роутер с заводским паролем, включённое удалённое управление, лишние проброшенные порты: под угрозой оказывается не только сервер, но и все устройства в доме.

Первые два риска закрываются двумя настройками за минуту, на остальные нужно чуть больше времени.

Минимум на десять минут

Если времени мало, сделайте хотя бы это, а подробности и проверки смотрите в разделах ниже:

• Белый список включён: в server.properties стоит white-list=true.
• В server.properties стоит online-mode=true.
• Операторы — только вы и те, кому вы доверяете, как себе.
• RCON и Query выключены, а порт 25575 на роутере не открыт.
• На роутере проброшен только нужный порт, «DMZ» выключен, заводской пароль администратора заменён, удалённое управление выключено.
• Сервер, Java и прошивка роутера обновлены.
• Моды и плагины скачаны только из надёжных источников.
• Есть свежая резервная копия мира.

Белый список

Белый список (whitelist) — это перечень игроков, которым можно заходить на сервер. Он хранится в файле whitelist.json. Остальным сервер отвечает «Вас нет в белом списке этого сервера!» и не пускает их. Для сервера с друзьями это самая действенная защита: даже если адрес попал не в те руки, зайти не получится.

Начиная с Minecraft 26.3 (15 сентября 2026 года) у вновь созданного сервера белый список включён по умолчанию (white-list=true в server.properties). Сервер, созданный на более старой версии, сохраняет прежнюю настройку и после обновления до 26.3. В этом случае, а также на более старых версиях включите белый список этой же строкой и перезапустите сервер или введите в консоли сервера /whitelist on. Операторов сервер пускает всегда, даже если их нет в списке.

Команды вводятся в консоли сервера (в окне, где он работает):

• /whitelist add PlayerName — добавить игрока (замените PlayerName ником друга). При online-mode=true сервер ищет аккаунт по нику, поэтому ник должен быть настоящим, без опечаток.
• /whitelist remove PlayerName — убрать игрока.
• /whitelist list — показать всех, кто есть в списке.
• /whitelist reload — перечитать файл whitelist.json, если вы правили его вручную.

Если вы убрали игрока из списка, а он остался на сервере, поставьте в server.properties значение enforce-whitelist=true и перезапустите сервер: тогда сервер выгоняет тех, кого убрали из списка. Выгнать игрока вручную можно командой /kick PlayerName.

Проверка. Попросите знакомого, которого нет в списке, зайти на сервер: если игра отвечает «Вас нет в белом списке этого сервера!», список работает. Если же он зашёл, белый список выключен: проверьте white-list=true и перезапустите сервер.

Bedrock Edition. На Bedrock Dedicated Server белый список называется списком разрешённых игроков (allow list): включите его строкой allow-list=true в server.properties и добавляйте игроков командой allowlist add PlayerName в консоли сервера. Список хранится в файле allowlist.json. В отличие от Java Edition, операторов сервер автоматически не пускает: добавьте в список и себя, и других операторов.

Режим online-mode: проверка игроков

Параметр online-mode (по умолчанию true) заставляет сервер проверять каждого игрока в службе учётных записей Minecraft: так сервер убеждается, что ник принадлежит тому, кто его использует. На сервере, открытом в интернет, этот режим выключать не стоит: оправданно это только для сервера, к которому нельзя подключиться из интернета.

Если online-mode=false, сервер никого не проверяет: зайти можно под любым ником, в том числе под ником оператора, и получить все его права. Белый список в этом режиме пускает любого, кто знает хотя бы один ник из списка, а узнать ник несложно: список серверов показывает ники игроков, которые сейчас на сервере.

С online-mode=true на сервер не зайти с нелицензионных лаунчеров: у такого игрока нет аккаунта, который можно проверить. Если друзья играют именно так, выключать режим придётся на свой риск: не выдавайте права оператора, держите белый список включённым, скройте список игроков (hide-online-players=true) и, если можно, обходитесь без открытого порта. Виртуальная сеть (о ней рассказано в статье про белый IP-адрес) пустит на сервер только тех, кого вы пригласили.

Проверка. В server.properties должна стоять строка online-mode=true. Если игрок с лицензией при этом видит «Не удалось проверить имя пользователя!», дело обычно в сбое входа в аккаунт: подробности есть в статье про порты, в разделе про ошибки подключения.

Права оператора

Оператор (op) может выполнять команды сервера. Команда /op PlayerName выдаёт игроку уровень, который задан в server.properties параметром op-permission-level. По умолчанию это 4, высший уровень: такому оператору доступны все команды, включая остановку сервера. Вот что разрешают разные уровни:

• Уровень 2 — игровые команды: /gamemode, /tp, /give, /time, /summon и подобные.
• Уровень 3 — управление игроками: /op, /deop, /ban, /kick, /whitelist.
• Уровень 4 — всё, включая /stop, /save-all и другие команды управления сервером.

Если другу нужны только игровые команды, поставьте в server.properties значение op-permission-level=2 и перезапустите сервер: новые операторы получат уровень 2. Уровень уже назначенных операторов записан в файле ops.json (поле level).

• Назначайте операторами только себя и тех, кому доверяете, как себе, и не выдавайте права «на время»: забытый оператор остаётся оператором.
• Убрать оператора можно командой /deop PlayerName. Время от времени открывайте ops.json и whitelist.json и проверяйте, нет ли в них незнакомых ников.
• Права оператора привязаны к аккаунту игрока. Если аккаунт взломают, злоумышленник получит и права на вашем сервере, поэтому включите двухэтапную проверку входа в аккаунт Microsoft, с которым вы заходите в Minecraft, и попросите об этом других операторов.

Bedrock Edition. Права новых игроков задаёт параметр default-player-permission-level (значения visitor, member и operator, по умолчанию member): не ставьте operator.

RCON, Query и другие «пульты управления»

У сервера есть несколько необязательных сетевых интерфейсов: два из них позволяют управлять сервером удалённо, а третий выдаёт сведения о нём. Все они выключены по умолчанию, и лучше, чтобы так и оставалось:

• RCON (enable-rcon, порт 25575, TCP) — удалённая консоль сервера. Данные в нём не шифруются, поэтому пароль можно перехватить, и открывать RCON в интернет опасно. Если RCON вам нужен, пользуйтесь им только внутри домашней сети, не пробрасывайте порт 25575 на роутере и задайте длинный уникальный пароль в rcon.password (с пустым паролем сервер RCON не запустит).
• Query (enable-query, порт 25565, UDP) — протокол, по которому программы мониторинга запрашивают сведения о сервере. Если роутер для правила Minecraft предлагает только вариант «TCP/UDP», он пробросит и UDP-порт 25565: пока enable-query=false, это безвредно.
• Протокол управления сервером (management-server-enabled) — более новый интерфейс для управления сервером по сети. По умолчанию он тоже выключен. Если его включить, то по умолчанию он слушает только локальный адрес (management-server-host=localhost), принимает только программы, которые знают его секретный ключ, и требует шифрования (management-server-tls-enabled=true): для этого нужно указать файл сертификата (хранилище ключей), иначе сервер не запустится. Если он вам не нужен, оставьте как есть, а если нужен, не выводите его наружу.

Проверка. Откройте server.properties: должны стоять enable-rcon=false и enable-query=false. В списке правил проброса на роутере не должно быть порта 25575.

Роутер

За роутером находится не только компьютер с сервером, но и телефоны, телевизоры, камеры и другие устройства, поэтому настройки роутера не менее важны, чем настройки сервера. Если роутер не ваш (общежитие, съёмная квартира, оборудование провайдера), сначала согласуйте изменения с тем, кто платит за интернет и отвечает за сеть.

• Пробрасывайте только нужный порт. Не включайте «DMZ» (режим, при котором на один компьютер перенаправляются все входящие подключения на любые порты) и не открывайте диапазоны портов «на всякий случай».
• Смените заводской пароль администратора роутера (он напечатан на наклейке, а для многих моделей опубликован в интернете) на длинный и уникальный. Если роутер позволяет, смените и имя пользователя.
• Выключите удалённое управление (параметр называется «Remote Management», «Remote Access» или «Web Access from WAN»): иначе страницу настроек роутера можно открыть из интернета.
• Обновляйте прошивку роутера: в старых версиях бывают известные уязвимости. Новую версию ищите в разделе обновления прошивки (Firmware Update) в настройках роутера или на сайте производителя.
• Выключите UPnP, если он не нужен другим устройствам в доме (им пользуются, например, некоторые игровые консоли). Эта функция позволяет программам в вашей сети самим просить роутер открыть порт без вашего ведома, а правило для сервера вы и так создаёте вручную.
• Защитите Wi-Fi шифрованием WPA3 или WPA2 и надёжным паролем, а гостям и устройствам «умного дома» дайте отдельную гостевую сеть: так эти устройства не окажутся в одной сети с сервером.
• Если сервер долго не нужен, отключите или удалите правило проброса. Тогда порт закрыт, даже если на компьютере случайно запустится что-то лишнее.

Проверка. Откройте список правил проброса на роутере: в нём должны остаться только знакомые вам правила. Затем проверьте удалённое управление: отключите на телефоне Wi-Fi (нужен мобильный интернет) и введите в адресную строку браузера внешний IP-адрес роутера (как его узнать, описано в статье про порты). Страница входа в роутер открываться не должна. Если она открылась, удалённое управление включено. Если не открылась, это ещё не доказательство: некоторые роутеры принимают удалённые подключения на отдельном порту (у ASUS и NETGEAR по умолчанию 8443), поэтому убедитесь ещё и в том, что удалённое управление выключено в настройках роутера.

Брандмауэр Windows и компьютер

Брандмауэр Windows — вторая линия защиты: он решает, какие программы могут принимать входящие подключения. Выключать его не нужно, достаточно разрешить один порт.

• Не выключайте брандмауэр ради того, чтобы «заработало». Если друзья не могут подключиться, ищите закрытую дверь по шагам, как в статье про порты.
• Правило, у которого отмечен публичный профиль, действует и в чужих сетях. Если вы берёте ноутбук с собой (кафе, общежитие, вокзал), выключайте там сервер или само правило: в wf.msc щёлкните его правой кнопкой и выберите «Отключить правило».
• Запускайте сервер обычным способом, а не через «Запуск от имени администратора»: программа получает права того, кто её запустил, и уязвимость или вредоносный мод получат те же права. Самому серверу права администратора не нужны: они нужны только для настройки, например чтобы установить Java или создать правило брандмауэра. Если сервер запускается из учётной записи Windows без прав администратора, при первом запуске система может создать для Java блокирующие правила: как их удалить, рассказано в статье про порты, в разделе про брандмауэр Windows.
• Держите включённой защиту от вирусов («Безопасность Windows» или другой антивирус, которому вы доверяете) и устанавливайте обновления Windows.

Ваш IP-адрес

IP-адрес — это не домашний адрес: по нему можно узнать провайдера и примерное местоположение (обычно область или город, иногда с ошибкой), но не квартиру. И всё же разбрасываться им не стоит: зная адрес, вашу сеть можно сканировать и пытаться завалить лишним трафиком (DDoS), из-за чего интернет у вас замедлится или пропадёт.

• Отправляйте адрес друзьям в личных сообщениях, а не публикуйте в открытых чатах, на форумах, в описании стрима и на скриншотах. Во время стрима проверьте, что адрес не виден в списке серверов игры и в консоли.
• Журнал сервера (logs/latest.log) записывает IP-адреса игроков в строках о входе. Если просите кого-то о помощи, не отправляйте журнал как есть: сначала вырежьте или замените адреса. В новых версиях игры запись адресов отключается параметром log-ips=false.
• Доменное имя, которое вы получили у сервиса DDNS (как это работает, описано в статье про белый IP-адрес), удобнее адреса из цифр, но не безопаснее: имя легко превращается в адрес.
• Другой внешний порт (например, 25570 вместо 25565) в правиле проброса не защитит от целенаправленной атаки, но сделает сервер менее заметным для простых автоматических сканеров. Друзьям придётся вводить адрес с портом: 203.0.113.5:25570.
• Параметр enable-status=false отключает ответы сервера на запросы списка серверов (так сервер труднее найти сканерам), а hide-online-players=true скрывает список игроков в этих ответах. Но если отключить ответы (первый параметр), в списке серверов у друзей сервер будет выглядеть выключенным (подключиться по адресу всё равно получится), а сайты проверки вроде mcsrvstat.us перестанут его видеть.
• Если адрес всё же попал не в те руки, отключите правило проброса на роутере, перезагрузите роутер (у части провайдеров динамический адрес после этого меняется), проверьте белый список и ops.json.

Надёжнее всего не раскрывать домашний IP-адрес вообще: хостинг или туннельный сервис принимают подключения вместо вас, и друзья видят адрес хостера или сервиса, а не ваш. Про туннели и виртуальные сети рассказано в статье про белый IP-адрес.

Обновления

Большинство серьёзных дыр закрывают обновлениями: сервера, Java, Windows и роутера. Самый известный пример для Minecraft — Log4Shell. 10 декабря 2021 года Mojang сообщила об уязвимости в библиотеке Log4j, которую используют серверы Java Edition: с её помощью на компьютере владельца можно было запустить чужую программу, например отправив в чат специальную строку. Исправление вошло в Minecraft 1.18.1, а для более старых версий Mojang опубликовала способы защиты без обновления (аргумент запуска Java, а для версий до 1.17 ещё и файл настроек журналирования, на который указывает этот аргумент). Серверы, которые не обновили и не защитили одним из этих способов, остались уязвимыми.

• Обновляйте сервер, когда выходит новая версия. Перед этим остановите сервер и сделайте копию папки (см. раздел про резервные копии): мир, открытый в новой версии, в старую обычно вернуть нельзя. Затем скачайте новый server.jar с сайта minecraft.net и замените им старый файл.
• Обновляйте и Java: ставьте свежую сборку той версии, которую требует ваш сервер (какая версия нужна, написано в инструкции по созданию сервера).
• Если у вас моды или плагины, перед обновлением игры убедитесь, что для новой версии вышли и их обновления: иначе сервер может не запуститься. Копия на этот случай обязательна. Сервер для модов и плагинов (например, Paper, Fabric или Forge) скачивайте не с minecraft.net, а с сайта его разработчиков.
• Windows и роутер тоже обновляйте: Windows — через «Центр обновления Windows», роутер — в разделе обновления прошивки в его настройках.

Проверка. В начале журнала logs/latest.log записана версия вашего сервера. Сравните её с последней версией на сайте minecraft.net.

Моды, плагины и чужие файлы

Мод или плагин — это программа на Java, которую сервер запускает вместе с собой и с теми же правами. Вредоносный мод может делать на вашем компьютере всё, что можете вы: читать и менять файлы, запускать другие программы, отправлять данные в интернет. Это не теория: в июне 2023 года вредоносная программа fractureiser распространялась через моды и плагины на сайтах CurseForge и BukkitDev, попала в несколько популярных сборок модов и работала на Windows и Linux.

• Скачивайте моды и плагины со страниц их авторов и из крупных каталогов, а не из архивов, присланных в чате или в Discord, и не по ссылкам из описания видео.
• Перед установкой посмотрите на проект: давно ли он существует, сколько у него скачиваний и отзывов, есть ли у автора другие работы, открыт ли исходный код. Мод без истории, который вам горячо советует незнакомец, — повод насторожиться.
• Ставьте только то, что вам действительно нужно: каждый мод — это ещё одна программа, у которой есть доступ к вашему компьютеру.
• Проверяйте файлы антивирусом перед установкой, но не рассчитывайте на него полностью: вредоносный код может быть новым и пока неизвестным антивирусу.
• Не запускайте чужие файлы .jar, .bat и .exe, даже если их прислал знакомый: аккаунты друзей тоже взламывают.
• Не запускайте сервер от имени администратора (см. раздел про Windows) и держите резервные копии: если что-то пойдёт не так, мир можно будет вернуть.

Резервные копии

Резервная копия спасает сразу от многого: от гриферов, ошибок, сбоя диска и неудачного обновления. Проще всего копировать папку сервера целиком: в ней лежат и мир (по умолчанию папка world), и настройки, и списки whitelist.json и ops.json.

Надёжнее всего остановить сервер командой stop в консоли, скопировать папку и запустить сервер снова. Если останавливать сервер нельзя, введите в консоли по порядку:

1. 1/save-off: сервер перестаёт записывать мир на диск (изменения при этом откладываются).
2. 2/save-all flush: на диск записывается всё накопленное, сервер при этом ненадолго замирает.
3. 3Скопируйте папку сервера в другое место (архив можно сделать уже из копии). Если Windows сообщит, что какой-то файл занят, пропустите его: это служебный файл блокировки мира, для копии он не нужен.
4. 4/save-on: запись мира включается снова. Если забыть эту команду, автосохранение останется выключенным до перезапуска сервера.

• Делайте копию перед обновлением сервера и перед установкой мода или плагина, а кроме того, регулярно: раз в несколько дней, а если играют много, то чаще.
• Храните копии не только на том диске, где работает сервер: на другом диске, флешке или в облачном хранилище.
• Время от времени проверяйте, что копия рабочая: остановите основной сервер, распакуйте копию в другую папку и запустите сервер из неё.
• Чтобы восстановить мир, остановите сервер, переименуйте старую папку (не удаляйте её на случай, если копия окажется неудачной), положите на её место копию и запустите сервер.

Если что-то пошло не так

Признаки неполадок: на сервере незнакомые игроки или операторы, пропали вещи и постройки, в папке с модами появились файлы, которых вы не ставили, интернет или компьютер необъяснимо тормозят. Что делать, зависит от случая.

На сервере хозяйничают посторонние

1. 1Отключите правило проброса на роутере: пока вы разбираетесь, новые гости не зайдут.
2. 2Выгоните посторонних командой /kick PlayerName или остановите сервер командой stop.
3. 3Проверьте ops.json и whitelist.json. Незнакомых игроков уберите командами /deop PlayerName и /whitelist remove PlayerName или удалите их записи из файлов, пока сервер остановлен.
4. 4Верните мир из копии, сделанной до происшествия (см. раздел про резервные копии).
5. 5Найдите причину: был ли выключен белый список или online-mode, не выдавали ли вы права оператора лишним людям, не попал ли ваш адрес в открытый чат. Устраните её, прежде чем снова открывать порт.

Подозрение на вредоносный мод или файл

1. 1Остановите сервер и отключите правило проброса на роутере.
2. 2Удалите подозрительный файл и запустите полную проверку компьютера антивирусом.
3. 3С другого, чистого устройства (например, с телефона) смените пароли: от аккаунта Microsoft, почты, Discord и всего остального, что хранилось в браузере на этом компьютере. Затем завершите все остальные сеансы входа.
4. 4Включите двухэтапную проверку входа везде, где она есть.
5. 5Если вы не уверены, что компьютер чист, самый надёжный выход — переустановить Windows, сохранив заранее только личные файлы (но не моды и не программы).

Интернет пропадает или сервер лагает без причины

Не всякое торможение — атака: чаще виноваты нехватка памяти у сервера или слабый исходящий канал. Но если интернет пропадает целиком, а адрес сервера могли узнать посторонние, возможно, на ваш адрес направлен поток лишнего трафика (DDoS). Перезагрузите роутер: у части провайдеров динамический адрес после этого меняется, и поток будет бить уже по старому адресу, а не по вашему. Отключение правила проброса уже идущий поток не остановит (он забивает канал ещё до роутера), но пока держите правило выключенным, чтобы сервер не нашли по новому адресу. Если не помогло, обратитесь в поддержку провайдера.

Подозрение на взлом роутера

Признаки: изменился пароль или настройки роутера, появились незнакомые правила проброса, браузер открывает странные страницы вместо сайтов. Сначала найдите в договоре с провайдером данные для подключения (логин, пароль или тип соединения): после сброса их придётся ввести снова, как и правила проброса. Затем сбросьте роутер к заводским настройкам (обычно для этого есть кнопка Reset), задайте новый пароль администратора и новый пароль Wi-Fi, настройте подключение заново и обновите прошивку.

Частые вопросы

Опасно ли открывать порт для сервера Minecraft?

Сам по себе порт открывает доступ только к программе, которая его слушает, то есть к серверу. Остальные порты роутера остаются закрытыми. Поэтому риск зависит от самого сервера: настроек (белый список, online-mode), обновлений и установленных модов. Если выполнить чек-лист из этой статьи, риск для сервера с друзьями невелик, но нулевым он не бывает.

Может ли игрок навредить моему компьютеру через сервер?

Не должен, если сервер обновлён, а сомнительных модов вы не ставили: игра не даёт игрокам запускать программы на вашем компьютере. Опасны уязвимости в самой игре и её библиотеках, как было с Log4Shell (их закрывают обновлениями), и вредоносные моды, которые запускаете вы сами. Оператор может менять и ломать мир, поэтому права выдают осторожно, но в ванильной игре они не дают доступа к файлам вашего компьютера.

Защитит ли белый список от DDoS-атаки?

Нет. Белый список проверяет игрока уже после подключения, а DDoS бьёт по самому адресу и забивает канал ещё до сервера. От такой атаки защищает скрытый домашний IP-адрес: сервер на хостинге или туннельный сервис. Для сервера с друзьями атака маловероятна, но не исключена, если адрес попал не в те руки.

Что безопаснее: открытый порт, виртуальная сеть или хостинг?

Для сервера на несколько друзей безопаснее всего варианты без открытого порта на вашем роутере. Хостинг: сервер работает на чужом компьютере, а ваша домашняя сеть остаётся закрытой. Виртуальная сеть: на сервер попадают только те, кого вы пригласили (про неё и про туннельные сервисы рассказано в статье про белый IP-адрес). Открытый порт тоже можно сделать достаточно безопасным, но тогда нужно соблюдать весь чек-лист и следить за обновлениями.

А если сервер должен быть публичным?

Тогда белый список придётся выключить, и защита строится иначе. Не держите такой сервер на домашнем компьютере: лучше хостинг, где ваш домашний IP-адрес остаётся скрытым. Не выдавайте права оператора без крайней необходимости, делайте резервные копии чаще и будьте готовы быстро банить нарушителей командой /ban PlayerName. Чтобы поддерживать порядок, на публичных серверах обычно ставят плагины, которые записывают и откатывают чужие изменения, но выбирать их надо так же осторожно, как любые другие моды и плагины.

А если сервер на хостинге?

Тогда сеть и компьютер защищает хостер: ваш домашний IP-адрес остаётся неизвестным, а роутер и порты настраивать не нужно. Белый список, права операторов, моды и резервные копии обычно остаются на вашей стороне, поэтому разделы про них вам по-прежнему пригодятся.

Что дальше

Выполнив чек-лист, проверьте всё заново после обновления сервера, установки нового мода или смены роутера. Если вы ещё не открывали порт, вернитесь к статье про порты, а если хочется обойтись без настройки роутера и брандмауэра, присмотритесь к хостингу: там сеть настраивать не нужно.