Los servidores de Minecraft están entre los más atacados de internet. Muchas veces el ataque viene de otra comunidad o de un jugador baneado que contrata un servicio de ataques por unos pocos dólares. La buena noticia es que la mayoría de esos ataques se detienen con capas bien puestas. La mala es que ninguna capa sola alcanza.
Los ataques más comunes
1. Inundación de la conexión
Millones de paquetes UDP o TCP basura contra la IP del servidor, hasta llenar el enlace de red. El síntoma: todos los jugadores se desconectan a la vez y el servidor parece "colgado", aunque la CPU esté tranquila.
2. Inundación de conexiones al puerto del juego
Miles de conexiones TCP al puerto de Minecraft Java (25565 por defecto), o paquetes UDP al de Bedrock (19132), que abren el saludo inicial y lo abandonan. Agotan la red o los hilos del servidor.
3. Consultas de estado falsas
El "ping" que muestra el servidor en la lista de multijugador es una consulta liviana, pero repetida miles de veces por segundo consume recursos y llena los registros.
4. Bots que entran como jugadores
Cuentas falsas que completan el ingreso, chatean spam o intentan registrarse en masa. Para la red se ven como jugadores legítimos.
Qué capa detiene cada ataque
| Ataque | Capa que lo detiene |
|---|---|
| Inundación de la conexión | Mitigación en la red del proveedor |
| Conexiones al puerto del juego | Filtro XDP y firewall con límites por IP |
| Consultas de estado falsas | Filtro XDP o proxy del juego |
| Bots que entran como jugadores | Plugins antibot y proxy |
Lista práctica para proteger tu servidor
- Elige un proveedor con mitigación en la red. Si el enlace se satura, nada de lo que hagas en el servidor sirve. Pregunta explícitamente si la mitigación está incluida y si cubre UDP.
- No publiques la IP real. Usa un dominio para conectarse (con registro SRV si cambias el puerto) y, si puedes, pon un proxy como Velocity delante, en otra máquina protegida. Si la IP real ya circula, cámbiala después de protegerte.
- Cierra todo lo que no sea el juego. El firewall debe denegar por defecto y abrir solo el puerto del juego y el acceso de administración, idealmente limitado a tu IP.
- Limita conexiones por IP. Un jugador real no abre cientos de conexiones por segundo. Un límite en el firewall corta las inundaciones de conexiones más simples.
- Agrega un filtro XDP para lo que el firewall no aguanta. Con decenas o cientos de miles de paquetes por segundo, el firewall tradicional se vuelve el cuello de botella. Un filtro XDP descarta esos paquetes antes de que el sistema trabaje en ellos.
- Activa protección antibot dentro del juego. Verificación de ingreso, límites de conexiones nuevas por minuto y lista blanca durante un ataque, con plugins para tu proxy o tu servidor.
- Mide. Sin datos no sabes qué ataque recibes. Registra paquetes descartados, conexiones por IP y jugadores conectados para ajustar las reglas.
Si el ataque está ocurriendo ahora, lo urgente es estabilizar: activa la lista blanca de jugadores conocidos, limita conexiones nuevas y pide a tu proveedor que confirme si la mitigación está actuando. El diseño fino viene después.
¿Y Bedrock?
Minecraft Bedrock usa UDP (RakNet), y eso lo hace más expuesto a inundaciones: no hay un saludo TCP que filtrar. Ahí un filtro XDP que valide el formato de los paquetes de RakNet y limite por IP marca una gran diferencia.