Edit README.md via Git Manager GUI
This commit is contained in:
192
README.md
192
README.md
@@ -1,2 +1,192 @@
|
|||||||
# Backend-Join-Guard
|
# BackendJoinGuard
|
||||||
|
|
||||||
|
|
||||||
|
|
||||||
|
|
||||||
|
|
||||||
|
BackendJoinGuard blockiert direkte Joins auf Backend-Servern und erlaubt nur Verbindungen vom Proxy.
|
||||||
|
|
||||||
|
Wichtig:
|
||||||
|
- Dieses Plugin kommt auf jeden Backend-Server.
|
||||||
|
- Es kommt nicht auf den Proxy.
|
||||||
|
- Es kann komplett eigenständig genutzt werden.
|
||||||
|
- Optional kann es seine Regeln zentral von StatusAPI beziehen.
|
||||||
|
|
||||||
|
## Zweck
|
||||||
|
|
||||||
|
BackendJoinGuard verhindert, dass Spieler einen Unterserver direkt betreten und damit den Proxy-Schutz umgehen.
|
||||||
|
|
||||||
|
Das Plugin prüft beim Login die Quell-IP des Spielers.
|
||||||
|
Nur erlaubte Proxy-IPs oder CIDR-Netze dürfen durchgelassen werden.
|
||||||
|
Alle anderen Verbindungen werden direkt vor dem Join geblockt.
|
||||||
|
|
||||||
|
## Betriebsarten
|
||||||
|
|
||||||
|
### Standalone
|
||||||
|
|
||||||
|
BackendJoinGuard nutzt nur seine eigene config.yml.
|
||||||
|
Das ist sinnvoll, wenn du keinen zentralen Sync willst oder das Plugin unabhängig von StatusAPI betreiben möchtest.
|
||||||
|
|
||||||
|
### StatusAPI Sync
|
||||||
|
|
||||||
|
BackendJoinGuard lädt seine Schutzregeln regelmäßig von StatusAPI.
|
||||||
|
Wenn der Sync ausfällt, bleiben die lokalen Werte aus der config.yml als Fallback erhalten.
|
||||||
|
|
||||||
|
## Installation
|
||||||
|
|
||||||
|
1. Die JAR in den plugins-Ordner jedes Backend-Servers kopieren.
|
||||||
|
2. Server starten, damit die config.yml erzeugt wird.
|
||||||
|
3. Konfiguration anpassen.
|
||||||
|
4. Server neu starten oder /backendguard reload ausführen.
|
||||||
|
|
||||||
|
## Konfiguration
|
||||||
|
|
||||||
|
Datei: config.yml
|
||||||
|
|
||||||
|
### Lokale Guard-Werte
|
||||||
|
|
||||||
|
- enforcement-enabled
|
||||||
|
Aktiviert oder deaktiviert den Direktjoin-Schutz.
|
||||||
|
|
||||||
|
- log-blocked-attempts
|
||||||
|
Loggt geblockte Direktjoin-Versuche in die Konsole.
|
||||||
|
|
||||||
|
- kick-message
|
||||||
|
Nachricht für geblockte Spieler.
|
||||||
|
|
||||||
|
- allowed-proxy-ips
|
||||||
|
Liste exakter Proxy-IPs.
|
||||||
|
|
||||||
|
- allowed-proxy-cidrs
|
||||||
|
Liste erlaubter Netze im CIDR-Format.
|
||||||
|
|
||||||
|
Beispiel:
|
||||||
|
|
||||||
|
```yml
|
||||||
|
enforcement-enabled: true
|
||||||
|
log-blocked-attempts: true
|
||||||
|
kick-message: "&cBitte verbinde dich nur ueber den Proxy-Server."
|
||||||
|
|
||||||
|
allowed-proxy-ips:
|
||||||
|
- "127.0.0.1"
|
||||||
|
- "::1"
|
||||||
|
- "185.123.45.67"
|
||||||
|
|
||||||
|
allowed-proxy-cidrs:
|
||||||
|
- "10.0.0.0/24"
|
||||||
|
```
|
||||||
|
|
||||||
|
### StatusAPI Sync
|
||||||
|
|
||||||
|
Konfigurationsblock:
|
||||||
|
|
||||||
|
```yml
|
||||||
|
statusapi-sync:
|
||||||
|
enabled: true
|
||||||
|
base-url: "http://127.0.0.1:9191"
|
||||||
|
endpoint-path: "/network/backendguard/config"
|
||||||
|
api-key: "DEIN_SYNC_KEY"
|
||||||
|
interval-seconds: 60
|
||||||
|
log-sync-errors: true
|
||||||
|
```
|
||||||
|
|
||||||
|
Bedeutung:
|
||||||
|
|
||||||
|
- enabled
|
||||||
|
Aktiviert den zentralen Abruf über StatusAPI.
|
||||||
|
|
||||||
|
- base-url
|
||||||
|
Basis-URL deiner StatusAPI auf dem Proxy.
|
||||||
|
|
||||||
|
- endpoint-path
|
||||||
|
Standard-Endpunkt für den Guard-Sync.
|
||||||
|
|
||||||
|
- api-key
|
||||||
|
Optionaler Schutz für den Sync-Endpunkt.
|
||||||
|
Muss identisch zu backendguard.sync.api_key in StatusAPI sein.
|
||||||
|
|
||||||
|
- interval-seconds
|
||||||
|
Wie oft BackendJoinGuard die Regeln neu abruft.
|
||||||
|
|
||||||
|
- log-sync-errors
|
||||||
|
Loggt Sync-Probleme in die Backend-Konsole.
|
||||||
|
|
||||||
|
## Passende StatusAPI-Konfiguration
|
||||||
|
|
||||||
|
Wenn du den Sync-Modus nutzen willst, pflegst du die zentralen Werte in StatusAPI über network-guard.properties.
|
||||||
|
|
||||||
|
Relevante Schlüssel:
|
||||||
|
|
||||||
|
```properties
|
||||||
|
backendguard.enforcement_enabled=true
|
||||||
|
backendguard.log_blocked_attempts=true
|
||||||
|
backendguard.kick_message=&cBitte verbinde dich nur ueber den Proxy-Server.
|
||||||
|
backendguard.allowed_proxy_ips=127.0.0.1,::1,185.123.45.67
|
||||||
|
backendguard.allowed_proxy_cidrs=10.0.0.0/24
|
||||||
|
backendguard.sync.api_key=DEIN_SYNC_KEY
|
||||||
|
```
|
||||||
|
|
||||||
|
## Beispiele
|
||||||
|
|
||||||
|
### Alles auf einer Maschine
|
||||||
|
|
||||||
|
Nutze in der Regel:
|
||||||
|
|
||||||
|
- allowed-proxy-ips: 127.0.0.1, ::1
|
||||||
|
- base-url: http://127.0.0.1:9191
|
||||||
|
|
||||||
|
### Proxy auf einem anderen Host
|
||||||
|
|
||||||
|
Nutze die echte Proxy-IP:
|
||||||
|
|
||||||
|
- allowed-proxy-ips: 185.123.45.67
|
||||||
|
- base-url: http://185.123.45.67:9191
|
||||||
|
|
||||||
|
### Internes Netzwerk
|
||||||
|
|
||||||
|
Nutze interne IP oder CIDR:
|
||||||
|
|
||||||
|
- allowed-proxy-ips: 10.0.0.10
|
||||||
|
- allowed-proxy-cidrs: 10.0.0.0/24
|
||||||
|
- base-url: http://10.0.0.10:9191
|
||||||
|
|
||||||
|
## Befehl
|
||||||
|
|
||||||
|
| Command | Beschreibung |
|
||||||
|
|---|---|
|
||||||
|
| /backendguard reload | Lädt die Config neu und startet bei aktivem Sync sofort einen neuen Abruf |
|
||||||
|
|
||||||
|
## Permission
|
||||||
|
|
||||||
|
| Permission | Beschreibung |
|
||||||
|
|---|---|
|
||||||
|
| backendguard.admin | Darf BackendJoinGuard verwalten |
|
||||||
|
|
||||||
|
## Funktionsweise
|
||||||
|
|
||||||
|
BackendJoinGuard prüft beim PreLogin die IP-Adresse des Clients.
|
||||||
|
|
||||||
|
- Erlaubte Proxy-IP: Join erlaubt
|
||||||
|
- Erlaubtes CIDR-Netz: Join erlaubt
|
||||||
|
- Alles andere: Join wird direkt geblockt
|
||||||
|
|
||||||
|
## Troubleshooting
|
||||||
|
|
||||||
|
### Spieler werden trotz Proxy geblockt
|
||||||
|
|
||||||
|
- Prüfe, ob wirklich die Proxy-IP in allowed-proxy-ips eingetragen ist.
|
||||||
|
- Prüfe bei mehreren Netzsegmenten, ob ein CIDR-Eintrag sinnvoller ist.
|
||||||
|
- Prüfe, ob Velocity/Bungee korrekt als vorgeschalteter Proxy arbeitet.
|
||||||
|
|
||||||
|
### Sync mit StatusAPI funktioniert nicht
|
||||||
|
|
||||||
|
- Prüfe base-url.
|
||||||
|
- Prüfe, ob StatusAPI auf dem konfigurierten Port erreichbar ist.
|
||||||
|
- Prüfe, ob api-key identisch zu backendguard.sync.api_key ist.
|
||||||
|
- Prüfe die Backend-Konsole bei aktiviertem log-sync-errors.
|
||||||
|
|
||||||
|
### Standalone oder Sync?
|
||||||
|
|
||||||
|
- Wenn du maximale Einfachheit willst: Standalone.
|
||||||
|
- Wenn du zentrale Verwaltung willst: StatusAPI Sync.
|
||||||
|
- Wenn StatusAPI ausfällt, bleiben im Sync-Modus die lokalen Werte als Absicherung bestehen.
|
||||||
Reference in New Issue
Block a user