Кто-то продолжает присоединяться к моему серверу, хотя у них стоит UFW-отказ.

Содержание

Вопрос или проблема
Ответ или решение
Теория
Пример
Применение
Заключение

Вопрос или проблема

В последние несколько дней кто-то подключается к моему серверу (называется intersect) и сразу же отключается. Это сервер Minecraft, так что я почти уверен, что это бот.

Из-за этого я заблокировал их IP в консоли и также выполнил команду:

sudo ufw deny from x.x.x.x.

Однако они все равно как-то могут подключаться к серверу через тот же IP. Вот журнал с самого сервера:

.227.129:48258) потеряно соединение: Disconnected
[10:56:46] [Server thread/INFO]: intersect (/156.253
.227.129:42474) потеряно соединение: Disconnected
[11:55:15] [Server thread/INFO]: intersect (/156.253
.227.129:54590) потеряно соединение: Disconnected
[11:59:51] [Server thread/INFO]: intersect (/156.253
.227.129:35670) потеряно соединение: Disconnected
[12:23:54] [Server thread/INFO]: intersect (/156.253
.227.129:55950) потеряно соединение: Disconnected
[15:45:40] [Server thread/INFO]: intersect (/156.253
.227.129:50088) потеряно соединение: Disconnected
[15:49:30] [Server thread/INFO]: intersect (/156.253
.227.129:48242) потеряно соединение: Disconnected
[15:54:37] [Server thread/INFO]: intersect (/156.253
.227.129:47562) потеряно соединение: Disconnected
ban-ip 156.253.227.129

[15:59:03] [Server thread/INFO]: Ничего не изменилось. Этот IP уже заблокирован

[16:03:27] [Server thread/INFO]: intersect (/156.253
.227.129:56692) потеряно соединение: Disconnected

У меня просто установка сервера на Ubuntu с проброшенным портом 25565 на моем роутере.

Есть идеи, что я мог бы сделать, чтобы остановить это?

(Кстати, я посмотрел IP, и он относится к Нидерландам. Я слышал, что много ботов, которые делают то же самое, находятся там)

Вот информация о моей версии / дистрибутиве:

PRETTY_NAME="Ubuntu 24.04.2 LTS"
NAME="Ubuntu"
VERSION_ID="24.04"
VERSION="24.04.2 LTS (Noble Numbat)"
VERSION_CODENAME=noble
ID=ubuntu
ID_LIKE=debian
HOME_URL="https://www.ubuntu.com/"
SUPPORT_URL="https://help.ubuntu.com/"
BUG_REPORT_URL="https://bugs.launchpad.net/ubuntu/"
PRIVACY_POLICY_URL="https://www.ubuntu.com/legal/terms-and-policies/privacy-policy"
UBUNTU_CODENAME=noble
LOGO=ubuntu-logo

Ответ или решение

На основе предоставленной ситуации, проблема заключается в том, что кто-то или нечто (предположительно бот) подключается к вашему серверу Minecraft, несмотря на то, что вы установили блокировку через UFW для определенного IP-адреса. Давайте рассмотрим эту проблему более подробно и предложим решение.

Теория

UFW (Uncomplicated Firewall) — это инструмент для управления iptables на простых конфигурациях брандмауэров. Он позволяет пользователям блокировать или разрешать трафик для определенных IP-адресов, портов или протоколов. Однако в некоторых ситуациях блокировка может не срабатывать так, как ожидается, по ряду причин:

Множественные IP-адреса: У злоумышленников может быть доступ к разнообразным IP-адресам, что позволяет обходить простую блокировку одного IP-адреса.
Проблемы с конфигурацией UFW: Возможны ошибки в конфигурации UFW, из-за чего правила, возможно, не применяются корректно.
Кэширование DNS: Если IP-адрес уже был закэширован системой, изменение правил может не сразу вступить в силу.
Использование прокси или VPN: Злоумышленники могут использовать прокси-серверы или VPN, чтобы изменить свой внешний IP-адрес, тем самым обходя блокировки.

Пример

В предоставленных логах видно, что IP-адрес 156.253.227.129 продолжает подключаться и отключаться от сервера, даже после применения блокировок через UFW. Это может свидетельствовать о том, что злоумышленник использует те же методы обхода, которые были перечислены выше.

Применение

Проверка правил UFW: Убедитесь, что ваши правила конфигурации применяются корректно. Выполните команду sudo ufw status verbose для проверки текущего состояния правил UFW. Правило для блокировки IP должно выглядеть примерно так: DENY IN 156.253.227.129.
Статическая блокировка на уровне iptables: Попробуйте установить блокировку на уровне iptables напрямую. Это даст больше контроля и может работать более надежно в сложных сетевых конфигурациях. Используйте команды:
```
sudo iptables -A INPUT -s 156.253.227.129 -j DROP
sudo iptables-save
```
Очистка кэша DNS: Для немедленного применения изменений, которые могут быть заблокированы кэшированием старых DNS-записей, почистите DNS-кэш на вашем сервере. Это может варьироваться в зависимости от используемого программного обеспечения, но обычно выполняется с помощью команды, такой как:
```
sudo systemd-resolve --flush-caches
```
Мониторинг и логирование: Установите системы мониторинга и логирования, которые помогут отслеживать любые подозрительные действия на сервере. Это может включать fail2ban, который автоматически блокирует IP-адреса при подозрительных многоразовых подключениях.
Переход на whitelist: Если действия пользователя продолжаются, и всё производится с явной учётной записью, оптимальным решением может быть внедрение механизма whitelist, когда только разрешенные IP-адреса могут подключаться к вашему серверу.

Заключение

Такие инциденты подчеркивают важность комплексной безопасности серверов. Наличие резервных копий важных данных, регулярное обновление программного обеспечения и проактивное мониторинг системы должны быть частью общей стратегии безопасности. Применяя предложенные решения, вы сможете усилить защиту вашего Minecraft сервера и предотвратить нежелательные подключения.