# Прокси Minecraft и защита от ботов: что закрыть и как проверить

> Как защитить сеть Minecraft за прокси от ботов и подмены игроков: online-mode, секрет передачи данных, закрытые бэкенды и проверка через тестовый вход.

- Рубрика: Гайды по играм
- Игра: Minecraft
- Опубликовано: 2026-11-13T20:00:00+03:00
- Обновлено: 2026-11-13T20:00:00+03:00
- Адрес: https://blog.egnetwork.ru/minecraft-proxy-zashchita-ot-botov
- Автор: Команда EGN

Бот на сервере Minecraft выглядит как игрок в списке, но ничего не делает. Он занимает место, забивает онлайн и иногда тестирует вход, чтобы найти уязвимость. Прокси — хороший рубеж: через него проходят все игроки, и здесь удобно проверять, кто заходит. Ниже — что закрыть, в каком порядке и как убедиться, что защита работает.

## Коротко

Защита сети за прокси строится на трёх вещах: проверка лицензии игрока на прокси (`online-mode = true` в `velocity.toml`; на бэкендах при этом `online-mode=false`), общий секрет между прокси и бэкендами (modern forwarding) и закрытый доступ к бэкендам, чтобы никто не заходил мимо прокси. Ботов, которые заходят без лицензии, отсекает проверка Mojang. Игроков, которые пытаются подменить данные, отсекает секрет. Проверить защиту можно тестовым входом с трёх аккаунтов: лицензия, без лицензии и прямой вход на бэкенд.

## Что на самом деле делают боты

Есть три типа нежелательных подключений. Первый — боты без лицензии, которые имитируют игрока. Они заходят, чтобы занять место или проверить сервер на уязвимости. Второй — прямые подключения к бэкенду в обход прокси: если бэкенд доступен снаружи, игрок может подключиться к нему, не проходя проверку прокси. Третий — подмена данных игрока, например ника или UUID, при прямом входе на бэкенд.

Первые два случая закрываются настройками прокси и бэкенда. Третий — секретом передачи данных. Без него бэкенд не может отличить данные от прокси и данные от злоумышленника.

![Схема: прокси принимает игроков, бэкенды доступны только через прокси](https://blog.egnetwork.ru/media/269)

## Шаги

1. **Включите online-mode на прокси.** В `velocity.toml` поле `online-mode = true`. В BungeeCord аналогичная проверка — `online_mode: true` в его `config.yml`; защиту от подмены данных там даёт плагин BungeeGuard (токен), так как у `ip_forward` секрета нет. Пока проверка включена, бот без лицензии не пройдёт вход.

2. **Включите modern forwarding.** В `velocity.toml` поставьте `player-info-forwarding-mode = "modern"` и укажите файл секрета. На бэкендах включите прокси в `paper-global.yml` с тем же секретом.

3. **Создайте длинный секрет.** Строка должна быть случайной и длинной, не словом из словаря. Хранить её нужно только в файле секрета и в настройках бэкенда. Не отправляйте секрет в чат и не вставляйте в публичные конфиги.

4. **Закройте прямой вход на бэкенды.** Игроки должны заходить только через адрес прокси. Адреса бэкендов не давайте игрокам и не публикуйте в описании сервера. Учтите, что эти порты доступны с ноды, поэтому закрыть вход полностью помогает не сокрытие адреса, а секрет и проверка на бэкенде.

5. **Выставьте режимы на бэкенде.** В `server.properties` бэкенда ставится `online-mode=false`: лицензию проверяет прокси, а бэкенд доверяет ему. Но именно поэтому прямой вход на бэкенд должен быть невозможен: без modern forwarding и секрета бэкенд с `online-mode=false` пустит любого под любым ником. В `paper-global.yml` в секции `proxies.velocity` должны стоять `enabled: true`, `online-mode: true` и тот же `secret`, тогда Paper отклоняет подключения без подписи прокси.

6. **Ограничьте список входа, если нужно.** Для закрытых серверов используйте whitelist на прокси или на бэкенде. Для открытых серверов ограничивайте не вход, а права: новые игроки без привилегий, пока не пройдут проверку.

7. **Перезапустите всё по порядку.** Сначала бэкенды, потом прокси, как и при настройке сети.

8. **Проверьте тремя аккаунтами.** Подробный порядок — в следующем разделе.

## Как проверить защиту

Проверка занимает десять минут и даёт уверенность, что защита работает.

1. **Лицензионный аккаунт.** Зайдите через прокси. Вход должен пройти, и вы попадаете на стартовый сервер.
2. **Аккаунт без лицензии.** Попробуйте зайти с офлайн-клиентом через прокси. Вход должен быть отклонён, если `online-mode` включён.
3. **Прямой вход на бэкенд.** Попробуйте подключиться к адресу бэкенда из «Сети», минуя прокси. Вход не должен пройти, если бэкенд закрыт или проверяет секрет.

Если какой-то из трёх тестов не даёт нужного результата, проверьте настройку именно этого слоя: прокси, бэкенд или сетевой доступ.

## Если атака продолжается

Иногда бот-волна не останавливается после настройки. Действуйте по порядку, а не меняйте всё сразу, иначе не поймёте, что помогло.

1. Посмотрите лог прокси за последний час. Найдите повторяющиеся ники и адреса подключений, которые не проходят проверку.
2. Убедитесь, что `online-mode = true` в `velocity.toml` и что на бэкендах включён `proxies.velocity` с секретом. Прокси после тестов часто остаётся в режиме без проверки.
3. Проверьте, нет ли старого адреса бэкенда, который засветился в списках серверов или в старом описании. Если адрес светился, секрет и проверка на бэкенде важнее всего: меняйте секрет и перезапускайте сеть.
4. Ограничьте вход для новых аккаунтов: например, без привилегий, пока игрок не проведёт на сервере заданное время. Такие правила задают плагины сети, а не сам прокси.
5. Для волн ботов, которые проходят проверку лицензии, но забивают вход, посмотрите блок `[advanced]` в `velocity.toml`: параметр `login-ratelimit` ограничивает частоту входов с одного адреса (в документации Velocity — 3000 мс по умолчанию), а антибот-плагины для прокси (например, Sonar) добавляют проверки поведения; перед установкой убедитесь, что плагин поддерживает вашу версию прокси.
6. Если волна идёт на сам канал и сервер не отвечает, это уже атака на сеть. Тогда пишите в поддержку EGN с временем начала, адресом сервера и логами. Сами по себе настройки прокси от перегрузки канала не спасают.

Записывайте каждое изменение в заметки или в журнал. Через неделю по журналу легко понять, какая мера дала эффект.

## Как сделать в панели EGN

В разделе «Сеть» порты каждого бэкенда видны в списке «Все порты сервера». Там же адрес для подключения у каждого сервера. Используйте эти данные для проверки: адрес прокси — единственный, который вы даёте игрокам, а адреса бэкендов — внутренние.

Если на бэкенде выдан порт, который не нужен игрокам, освободите его кнопкой «Освободить» на строке порта. Не освобождайте порт, если на нём работает сервис, например голос или Bedrock.

![Раздел «Сеть»: список всех портов сервера и заметки к каждому](https://blog.egnetwork.ru/media/88)

Важно понимать границу. Панель EGN выдаёт порты и показывает адреса, но не заменяет настройки самого прокси и бэкенда. Секрет, online-mode и whitelist настраиваются в конфигах. Панель помогает увидеть, какой порт куда ведёт, и не даёт вам ошибиться с адресом.

## Пример: закрытая сеть

Допустим, у вас есть Velocity с двумя бэкендами: `lobby` и `survival`. Прокси проверяет лицензию, секрет совпадает на обоих бэкендах. Адреса бэкендов записаны в `velocity.toml`, игрокам дают только адрес прокси. Тест прямого входа на `survival` не проходит, потому что бэкенд проверяет секрет и не принимает данные мимо прокси. Тест без лицензии через прокси отклоняется. Тест с лицензией проходит. Такая сеть защищена от типовых атак на уровне входа.

Если к вам пришли боты, которые не проходят проверку, это хороший знак: защита работает. Если они проходят, проверьте `online-mode` на прокси и секрет на бэкендах: чаще всего проблема в одном из них.

## Симптомы и причины

| Симптом | Причина | Решение |
|---|---|---|
| Боты заходят на сервер | `online-mode` выключен на прокси | Включите проверку лицензии и перезапустите прокси |
| Игрок заходит на бэкенд напрямую | Бэкенд доступен снаружи и не требует подпись прокси | Включите modern forwarding и `proxies.velocity` с секретом на бэкенде |
| Ник игрока подменён | Секрет не совпадает или не включён | Сверьте секрет в обоих местах |
| Легитимные игроки не могут зайти | Секрет не совпадает, либо на бэкенде `online-mode=true` в `server.properties` | Сверьте секрет, поставьте `online-mode=false` на бэкенде и перезапустите |
| Онлайн забит, но игроков мало | Боты держат места на сервере | Включите проверку лицензии и whitelist для закрытого режима |

## Частые ошибки

> [!WARNING] Не отключайте online-mode ради удобства
> Если выключить проверку, чтобы пускать тестовые аккаунты, можно забыть включить её обратно. Тестируйте на отдельном бэкенде, а не на прокси.

> [!TIP] Скрывайте адреса бэкендов
> Адреса бэкендов нигде не публикуйте. Игрок, который знает адрес бэкенда, может пробовать зайти напрямую (с секретом ему откажут, но порт всё равно будут сканировать). Об устройстве сети и портов см. [Velocity](https://blog.egnetwork.ru/minecraft-velocity-set) и [BungeeCord или Velocity](https://blog.egnetwork.ru/minecraft-bungeecord-vs-velocity).

Ещё несколько ошибок:

- секрет вставлен в публичный репозиторий или чат, его надо менять;
- бэкенд с `online-mode=false` запущен без `proxies.velocity`: он открыт для любых ников;
- whitelist стоит на прокси, а бэкенды открыты для всех;
- защиту включили, но не проверили тремя аккаунтами, и не знаете, работает ли она.

> [!NOTE] Что проверить после каждого изменения
> Три теста из раздела «Как проверить защиту» проходят ожидаемо: лицензия пускает, офлайн отклоняется, прямой вход на бэкенд не работает. Без этого защита не считается настроенной.

## Итог

Защита прокси строится на проверке лицензии, секрете и закрытых бэкендах. Ботов без лицензии отсекает online-mode, подмену данных — секрет, а прямой вход — закрытые адреса. Проверьте каждый слой тестом, а не полагайтесь на то, что конфиг выглядит правильно. Если что-то не проходит проверку, смотрите логи прокси и бэкенда: они показывают, кто и где отказал.

## Вопросы и ответы

### Защищает ли прокси от DDoS?
Нет. Прокси защищает от ботов на уровне входа, а не от перегрузки канала. Для атак на канал обращайтесь в поддержку EGN, а признаки и порядок действий разобраны в статье [про DDoS на игровой сервер](https://blog.egnetwork.ru/ddos-igrovoy-server-priznaki-chto-delat).

### Нужен ли whitelist, если есть online-mode?
Нужен для закрытых серверов. online-mode отсекает ботов без лицензии, а whitelist — посторонних игроков с лицензией.

### Можно ли закрыть бэкенд полностью?
Бэкенды доступны с ноды, поэтому полностью «закрыть» их силами владельца сервера нельзя. Надёжная защита — секрет и проверка на бэкенде. Настройки сети ноды владелец сервера не меняет.

### Что делать, если секрет утёк?
Сгенерируйте новый, обновите файл прокси и настройки всех бэкендов и перезапустите сеть. Старый секрет считайте скомпрометированным.

Сервер под Minecraft за пару минут — [egnetwork.ru](https://egnetwork.ru/)

---

Материал EGN (blog.egnetwork.ru), обновлено 13 ноября 2026; при цитировании указывайте ссылку.