Raspberry Pi Minecraft Server wie absichern?

[MarcDK]

Ich habe per DietPi einen Raspberry Pi bei mir zu Hause im Netzwerk stehen. Über die Fritzbox nutze ich myfritz.net als DynDNS. Den Minecraftserver Port 25565 habe ich als TCP und UDP per FRitzbox freigegeben.

GIbt es irgendwas, dass ich beachten sollte? das ssh Passwort habe ich so gelassen als Standard. Aber da kommt ja niemand drauf, solange ich nicht Port 22 nach außen freigebe, oder?

 

[azereus]

never use default-login-data
bitte definiere ein sicheres kennwort - egal ob du ssh nach aussen offen hast oder nicht

 

[MarcDK]

ok. Done. Habe auch den hostnamen geändert. Was noch?

 

[cbtestarossa]

Man könnte einen Server per Hardwarefirewall absichern.
Also die IP vom Server nur gewisse Ports erlauben.

Auch ginge eine Firewall am Server selbst einzurichten.
Dort halt ebenfalls nur gewisse Ports erlaubem.

 

[snaxilian]

Firewall ist schon einmal ein guter Anfang bzw im Router nur die absolut notwendigsten Ports und Protokolle erlauben.
Danach eine Host-Firewall, in der Regel iptables, einrichten. Ein stark vereinfachtes Regelwerk sähe z.B. so aus:
Allow protocol : port from anywhere
Allow tcp:22 (ssh) only from local lan
deny all
Die Regeln natürlich persistent einrichten damit die auch nen Reboot überleben.

Fail2Ban kann auch nicht schaden. Dann natürlich sichere Kennwörter, Anmeldung per SSH nur mit public key, Root Login per SSH verbieten. Minecraft unter einen anderen nicht privilegiertem User laufen lassen. Dieser User sollte auch nicht in der Sudoers File stehen und nur die absolut nötigsten Berechtigungen haben. Updates, v.a. Sicherheitspatche des OS als auch der Anwendung regelmäßig einspielen.
Das ist so ein gutes Minimum was man machen sollte.

Bonuspunkte für:

• auch ausgehende Verbindungen blockieren bis auf: Antworten aus eingehenden Verbindungen (Antwort-Pakete quasi), DNS und für Updates
• Host based IDS/IPS (ossec, aide, tripwire, suricata oder eins der anderen bewährten Systeme)
• Mail Notifications sollten natürlich konfiguriert sein damit man vom IDS/IPS informiert werden kann bei Unstimmigkeiten (ausgehende Verbindungen in FW dann anpassen)
• (Web) Application Firewall, wobei ich außer für Webserver nicht weiß ob es da was passendes gibt
• Backup des Systems inkl. getestetem Restore