Firewall

Dit is een oude revisie van het document!

De Tulpencraft-servers gebruiken firewalld als host-based firewall.

De firewall vormt samen met de netwerkarchitectuur, SELinux, SSH-hardening, Fail2Ban en de toegangsbeperkingen van de backendservers een belangrijke beveiligingslaag binnen Tulpencraft.# Firewall

De Tulpencraft-servers gebruiken firewalld als host-based firewall op Rocky Linux 10.

De firewall vormt een belangrijke beveiligingslaag tussen het Tulpencraft-netwerk, externe verbindingen en de verschillende interne diensten.

Het uitgangspunt is:

Alles wat niet expliciet noodzakelijk is, wordt geblokkeerd.

Backendservers zoals de lobby en gameservers zijn niet rechtstreeks vanaf internet bereikbaar. Spelers verbinden uitsluitend met de centrale Velocity Proxy.

De netwerkarchitectuur is opgebouwd rond een centrale proxy:

Internet
   │
   │ TCP 25565
   ▼
┌─────────────────────┐
│   Velocity Proxy    │
│   mc-proxy001       │
└─────────┬───────────┘
          │
          │ intern netwerk
          ▼
┌─────────────────────┐
│        Lobby        │
│     mc-proxy001     │
└─────────┬───────────┘
          │
          ├──────────► Survival VM
          │
          ├──────────► Event servers
          │
          └──────────► Toekomstige gameservers

De lobby en proxy draaien momenteel vanwege de opbouwfase op dezelfde host.

De gameservers draaien als afzonderlijke VM's op de beschikbare Proxmox-infrastructuur.

Alleen diensten die daadwerkelijk vanaf internet bereikbaar moeten zijn, krijgen een open firewallpoort.

Poort	Protocol	Dienst	Toegang
`25565`	TCP	Velocity Proxy	Publiek
`8192`	TCP	Votifier / NuVotifier	Publiek, indien gebruikt
`24454`	UDP	Simple Voice Chat	Publiek, per server

De Minecraft-spelers verbinden uitsluitend met:

tulpencraft.nl:25565

Backend Minecraft-poorten worden niet publiek geopend.

Voor proximity voice chat wordt Simple Voice Chat gebruikt.

Simple Voice Chat gebruikt standaard:

24454/UDP

Deze poort moet bereikbaar zijn vanaf internet. De voice-chatcommunicatie gebruikt UDP en staat los van de normale Minecraft TCP-verbinding.

Voor iedere server waarop Simple Voice Chat wordt aangeboden, moet een eigen bereikbare UDP-poort worden gebruikt wanneer meerdere servers dezelfde host/IP delen.

Bijvoorbeeld:

Server	Voice chat	Poort
Survival	Ja	`24454/UDP`
Events	Ja	`24455/UDP`
Toekomstige gameserver	Ja	eigen UDP-poort

De exacte poortindeling wordt vastgelegd zodra de betreffende gameservers worden ingericht.

Let op: Simple Voice Chat kan niet worden behandeld als gewone Minecraft TCP-traffic. Alleen TCP 25565 openen is onvoldoende voor voice chat.

De configuratie bevindt zich bij Paper doorgaans in:

plugins/voicechat/voicechat-server.properties

De standaardconfiguratie gebruikt poort 24454.

Voor toekomstige stemintegratie kan NuVotifier worden gebruikt.

De standaardpoort van NuVotifier is:

8192/TCP

NuVotifier luistert standaard op TCP-poort 8192, tenzij in de configuratie een andere poort wordt ingesteld.

Wanneer Votifier daadwerkelijk wordt geactiveerd, wordt alleen de daarvoor benodigde poort extern geopend.

Internet
   │
   └── TCP 8192
          │
          ▼
      NuVotifier

De Votifier-poort mag niet zonder reden worden geopend wanneer de dienst niet actief is.

Het gebruikte Votifier-token wordt nooit in deze wiki opgeslagen.

De database wordt momenteel op dezelfde infrastructuur als de proxy/lobby gehost.

MySQL/MariaDB is een interne dienst en wordt niet publiek beschikbaar gesteld.

De standaardpoort:

3306/TCP

wordt daarom uitsluitend op het interne netwerk toegestaan.

Conceptueel:

Internet
   │
   │ ❌ TCP 3306
   ▼
Firewall
   │
   │
   └── Intern netwerk ──► MySQL/MariaDB

Alleen systemen die daadwerkelijk gebruikmaken van de database mogen verbinding maken.

Bijvoorbeeld:

Bron	Doel	Poort	Toegang
Lobby	Database	`3306/TCP`	Intern
Survival	Database	`3306/TCP`	Intern
Events	Database	`3306/TCP`	Intern
Internet	Database	`3306/TCP`	Geblokkeerd

Wanneer de database in de toekomst naar een afzonderlijke VM wordt verplaatst, blijft hetzelfde beveiligingsprincipe gelden.

Backendservers luisteren uitsluitend op interne adressen.

Voorbeeld:

Velocity
   │
   ├── Lobby       :25566
   ├── Survival    :25567
   └── Events      :25568

Deze poorten worden niet op de publieke interface geopend.

De firewall moet ervoor zorgen dat een externe gebruiker niet rechtstreeks verbinding kan maken met bijvoorbeeld:

<SERVER_IP>:25567

De enige publiek bedoelde Minecraft-ingang is:

<SERVER_IP>:25565

SSH wordt gebruikt voor systeembeheer.

De SSH-poort wordt uitsluitend beschikbaar gesteld voor beheer en wordt niet gebruikt voor Minecraft-verkeer.

Wanneer mogelijk wordt SSH beperkt tot:

vertrouwde beheeradressen;
het interne netwerk;
VPN-beheer;
of andere expliciet toegestane beheerbronnen.

SSH gebruikt uitsluitend key-based authentication.

Root-login via SSH is uitgeschakeld.

Zie ook:

De firewall wordt beheerd met firewalld.

Basiscontrole:

sudo firewall-cmd --state

Actieve configuratie bekijken:

sudo firewall-cmd --list-all

Alle zones bekijken:

sudo firewall-cmd --get-active-zones

Beschikbare services:

sudo firewall-cmd --get-services

Een poort kan tijdelijk worden geopend met:

sudo firewall-cmd --add-port=25565/tcp

Dit is vooral nuttig voor testen.

Een tijdelijke wijziging blijft niet noodzakelijk behouden na een reload/restart.

Wanneer een poort definitief onderdeel van de infrastructuur wordt:

sudo firewall-cmd --permanent --add-port=25565/tcp
sudo firewall-cmd --reload

Daarna controleren:

sudo firewall-cmd --list-ports

Voor de standaard voice-chatpoort:

sudo firewall-cmd --permanent --add-port=24454/udp
sudo firewall-cmd --reload

Controleren:

sudo firewall-cmd --list-ports

Verwacht:

24454/udp

Wanneer NuVotifier actief wordt:

sudo firewall-cmd --permanent --add-port=8192/tcp
sudo firewall-cmd --reload

Daarna controleren:

sudo firewall-cmd --list-ports

MySQL moet niet met:

--add-port=3306/tcp

zonder verdere beperking publiek worden geopend.

Wanneer MySQL op een afzonderlijke VM staat, wordt toegang bij voorkeur beperkt tot het interne netwerk of specifieke bronadressen.

Bijvoorbeeld:

Lobby VM
   │
   │ TCP 3306
   ▼
Database VM

De database accepteert vervolgens uitsluitend verbindingen vanuit bekende Tulpencraft-systemen.

De firewall volgt zoveel mogelijk het principe:

Internet
   │
   ▼
[ FIREWALL ]
   │
   ├── TCP 25565  → Velocity
   ├── TCP 8192   → NuVotifier (indien actief)
   ├── UDP 24454  → Simple Voice Chat
   └── overige    → DROP

Interne communicatie wordt afzonderlijk toegestaan waar noodzakelijk.

Een belangrijk onderdeel van de beveiligingsarchitectuur is dat spelers nooit rechtstreeks met backendservers communiceren.

Niet toegestaan:

Internet ──► Survival
Internet ──► Lobby
Internet ──► Events
Internet ──► Database

Wel toegestaan:

Internet
   │
   ▼
Velocity Proxy
   │
   ▼
Lobby
   │
   ├──► Survival
   ├──► Events
   └──► toekomstige servers

Hierdoor blijft de netwerkstructuur centraal beheersbaar.

Wanneer Tulpencraft verder groeit, kan de infrastructuur worden opgesplitst over meerdere VM's en/of fysieke nodes.

Een mogelijke toekomstige inrichting:

                    Internet
                       │
                       ▼
                ┌──────────────┐
                │    Proxy     │
                │   Velocity   │
                └──────┬───────┘
                       │
          ┌────────────┼────────────┐
          ▼            ▼            ▼
       Lobby        Survival      Events
          │            │            │
          └────────────┼────────────┘
                       │
                       ▼
                 Database VM

Elke VM krijgt daarbij uitsluitend de netwerktoegang die daadwerkelijk noodzakelijk is.

Iedere structurele firewallwijziging moet worden gedocumenteerd.

Bijvoorbeeld:

Datum:        2026-08-23
Server:       mc-proxy001
Poort:        24454/UDP
Dienst:       Simple Voice Chat
Reden:        Proximity voice chat
Toegang:      Publiek# Firewall
 
De Tulpencraft-servers gebruiken **firewalld** als host-based firewall.
 
Firewalld beheert netwerktoegang via zogenaamde **zones**, services, poorten en aanvullende regels. De configuratie kent daarbij een onderscheid tussen de actieve runtime-configuratie en de permanente configuratie.
 
De firewall vormt samen met de netwerkarchitectuur, SELinux, SSH-hardening en Fail2Ban een belangrijke beveiligingslaag binnen Tulpencraft.
 
---
 
## 🎯 Doel
 
Het uitgangspunt voor de Tulpencraft-firewall is:
 
> **Alleen netwerkverkeer toestaan dat daadwerkelijk noodzakelijk is.**
 
Een service die lokaal draait, betekent niet automatisch dat deze vanaf het netwerk bereikbaar moet zijn.
 
Daarom wordt per server bepaald:
 
* welke services actief zijn;
* welke poorten noodzakelijk zijn;
* vanaf welke netwerken toegang nodig is;
* of een service publiek of uitsluitend intern bereikbaar moet zijn.
 
---
 
# 🌐 Netwerkarchitectuur
 
Tulpencraft gebruikt een centrale **Velocity Proxy** als toegangspunt.
 
```text
                         INTERNET
                            │
                            │ TCP 25565
                            ▼
                    ┌─────────────────┐
                    │ Velocity Proxy  │
                    │   mc-proxy001   │
                    └────────┬────────┘
                             │
                             ▼
                         Lobby
                             │
                ┌────────────┼────────────┐
                ▼            ▼            ▼
             Survival      Events      toekoms# Firewall
 
De Tulpencraft-servers gebruiken **firewalld** als host-based firewall.
 
Firewalld beheert netwerktoegang via zogenaamde **zones**, services, poorten en aanvullende regels. De configuratie kent daarbij een onderscheid tussen de actieve runtime-configuratie en de permanente configuratie.
 
De firewall vormt samen met de netwerkarchitectuur, SELinux, SSH-hardening en Fail2Ban een belangrijke beveiligingslaag binnen Tulpencraft.
 
---
 
## 🎯 Doel
 
Het uitgangspunt voor de Tulpencraft-firewall is:
 
> **Alleen netwerkverkeer toestaan dat daadwerkelijk noodzakelijk is.**
 
Een service die lokaal draait, betekent niet automatisch dat deze vanaf het netwerk bereikbaar moet zijn.
 
Daarom wordt per server bepaald:
 
* welke services actief zijn;
* welke poorten noodzakelijk zijn;
* vanaf welke netwerken toegang nodig is;
* of een service publiek of uitsluitend intern bereikbaar moet zijn.
 
---
 
# 🌐 Netwerkarchitectuur
 
Tulpencraft gebruikt een centrale **Velocity Proxy** als toegangspunt.
 
```text
                         INTERNET
                            │
                            │ TCP 25565
                            ▼
                    ┌─────────────────┐
                    │ Velocity Proxy  │
                    │   mc-proxy001   │
                    └────────┬────────┘
                             │
                             ▼
                         Lobby
                             │
                ┌────────────┼────────────┐
                ▼            ▼            ▼
             Survival      Events      toekomst

De backendservers zijn niet bedoeld om rechtst# Firewall

De Tulpencraft-servers gebruiken firewalld als host-based firewall.

Firewalld beheert netwerktoegang via zogenaamde zones, services, poorten en aanvullende regels. De configuratie kent daarbij een onderscheid tussen de actieve runtime-configuratie en de permanente configuratie.

De firewall vormt samen met de netwerkarchitectuur, SELinux, SSH-hardening en Fail2Ban een belangrijke beveiligingslaag binnen Tulpencraft.

Het uitgangspunt voor de Tulpencraft-firewall is:

Alleen netwerkverkeer toestaan dat daadwerkelijk noodzakelijk is.

Een service die lokaal draait, betekent niet automatisch dat deze vanaf het netwerk bereikbaar moet zijn.

Daarom wordt per server bepaald:

welke services actief zijn;
welke poorten noodzakelijk zijn;
vanaf welke netwerken toegang nodig is;
of een service publiek of uitsluitend intern bereikbaar moet zijn.

Tulpencraft gebruikt een centrale Velocity Proxy als toegangspunt.

                         INTERNET
                            │
                            │ TCP 25565
                            ▼
                    ┌─────────────────┐
                    │ Velocity Proxy  │
                    │   mc-proxy001   │
                    └────────┬────────┘
                             │
                             ▼
                         Lobby
                             │
                ┌────────────┼────────────┐
                ▼            ▼            ▼
             Survival      Events      toekomst

De backendservers zijn niet bedoeld om rechtstreeks vanaf internet bereikbaar te zijn.

Dit betekent dat een speler niet rechtstreeks verbinding maakt met:

Survival
Lobby
Events

maar altijd via de netwerkarchitectuur van Tulpencraft.

De firewallservice wordt geleverd door firewalld.

Status controleren:

sudo firewall-cmd --state

Verwachte uitvoer:

running

De service kan worden gecontroleerd met:

sudo systemctl status firewalld

Ingeschakeld bij het opstarten:

sudo systemctl is-enabled firewalld

Firewalld gebruikt zones om een vertrouwensniveau aan netwerkverbindingen te koppelen. Interfaces en bronnen kunnen aan een zone worden gekoppeld en binnen die zone worden services en poorten toegestaan.

De standaardzone kan worden bekeken met:

sudo firewall-cmd --get-default-zone

Actieve zones:

sudo firewall-cmd --get-active-zones

De configuratie van de actieve zone:

sudo firewall-cmd --list-all

Alle zones:

sudo firewall-cmd --list-all-zones

Voor een server met een publiek netwerkinterface wordt doorgaans de public zone gebruikt.

Deze zone is bedoeld voor netwerken waarvan andere systemen niet automatisch worden vertrouwd. Alleen expliciet toegestane services en poorten worden beschikbaar gesteld.

Voor Tulpencraft is dit met name relevant voor de proxy.

De Velocity Proxy vormt het publieke toegangspunt van het Minecraft-netwerk.

De belangrijkste publiek toegankelijke poort is:

Poort	Protocol	Doel
`25565`	TCP	Minecraft / Velocity

De poort wordt expliciet geopend:

sudo firewall-cmd --permanent --zone=public --add-port=25565/tcp
sudo firewall-cmd --reload

Controle:

sudo firewall-cmd --zone=public --list-ports

Verwacht onder andere:

25565/tcp

SSH is een beheerinterface en wordt niet beschouwd als een Minecraft-netwerkdienst.

Wanneer SSH publiek bereikbaar moet zijn, wordt de SSH-service expliciet toegestaan:

sudo firewall-cmd --permanent --zone=public --add-service=ssh
sudo firewall-cmd --reload

Controle:

sudo firewall-cmd --zone=public --list-services

SSH wordt daarnaast beschermd door de maatregelen beschreven in:

Server hardening

waaronder:

SSH-sleutels;
uitschakelen van directe root-login;
uitschakelen van wachtwoordauthenticatie;
Fail2Ban;
beperkte gebruikersrechten.

Backendservers zoals Survival en Events worden niet publiek aangeboden.

Het uitgangspunt is:

Internet
   │
   X
   │
Survival

maar:

Internet
   │
   ▼
Velocity
   │
   ▼
Survival

De firewall op een backendserver moet daarom geen algemene publieke Minecraft-poort openen.

De exacte interne netwerkregels zijn afhankelijk van de uiteindelijke netwerkconfiguratie van de Tulpencraft-infrastructuur.

De lobby bevindt zich momenteel op dezelfde host als de proxy:

mc-proxy001
│
├── Velocity
│
└── Lobby

Dit is onderdeel van de huidige kosten- en infrastructuurkeuze.

Omdat de lobby lokaal op dezelfde host draait als Velocity, hoeft de lobbypoort niet publiek beschikbaar te worden gesteld voor spelers.

De proxy communiceert lokaal met de lobby.

Survival draait als afzonderlijke VM op de huidige Proxmox-infrastructuur.

De server is niet bedoeld als publiek Minecraft-entrypoint.

De gewenste netwerkstroom is:

Speler
  │
  ▼
Velocity
  │
  ▼
Survival

Niet:

Speler
  │
  ▼
Survival

De firewall en netwerkconfiguratie moeten deze architectuur ondersteunen.

Voor toekomstige Events-servers geldt hetzelfde uitgangspunt.

Een Events-server wordt niet zelfstandig aan het internet blootgesteld wanneer dit niet noodzakelijk is.

De gewenste architectuur is:

Speler
  │
  ▼
Velocity
  │
  ▼
Events

Eventuele uitzonderingen moeten worden gedocumenteerd.

Firewalld ondersteunt zowel vooraf gedefinieerde services als losse poortdefinities.

Een service is een verzameling van bijbehorende netwerkregels, bijvoorbeeld SSH, HTTP of HTTPS.

Voor standaarddiensten heeft het daarom de voorkeur om een service te gebruiken:

sudo firewall-cmd --permanent --add-service=ssh

Voor applicaties zonder geschikte standaardservice kan een specifieke poort worden geopend:

sudo firewall-cmd --permanent --add-port=25565/tcp

Daarna:

sudo firewall-cmd --reload

Firewalld kent twee configuratielagen:

Een runtime-regel wordt direct actief, maar is niet automatisch blijvend na een reload of reboot.

Bijvoorbeeld:

sudo firewall-cmd --add-port=25565/tcp

Een permanente regel wordt opgeslagen in de firewallconfiguratie:

sudo firewall-cmd --permanent --add-port=25565/tcp

Daarna wordt de actieve configuratie opnieuw geladen:

sudo firewall-cmd --reload

Voor productieservers gebruiken we bij voorkeur permanente configuratie, zodat de firewallconfiguratie na een reboot behouden blijft.

Volledige configuratie:

sudo firewall-cmd --list-all

Alle actieve zones:

sudo firewall-cmd --list-all-zones

Openstaande services:

sudo firewall-cmd --list-services

Openstaande poorten:

sudo firewall-cmd --list-ports

Beschikbare services:

sudo firewall-cmd --get-services

De actieve interfaces:

sudo firewall-cmd --get-active-zones

Deze commando's behoren tot de belangrijkste controles tijdens de hardening van een nieuwe server.

De firewallconfiguratie vertelt niet welke applicaties daadwerkelijk luisteren.

Daarom wordt ook gecontroleerd met:

sudo ss -tulpn

Dit maakt bijvoorbeeld zichtbaar:

Velocity
   └── 0.0.0.0:25565
 
SSH
   └── 0.0.0.0:22

Een belangrijke securitycontrole is daarom:

Welke poorten luisteren daadwerkelijk, en welke daarvan zijn via de firewall bereikbaar?

Een poort die niet nodig is, moet bij voorkeur helemaal niet door een applicatie worden geopend.

Wanneer een nieuwe service een netwerkpoort nodig heeft, wordt eerst bepaald:

waarom de poort nodig is;
of de service publiek of intern moet zijn;
welk protocol noodzakelijk is;
vanaf welke bronnen toegang noodzakelijk is;
of een bestaande firewalld-service gebruikt kan worden.

Daarna wordt de regel toegevoegd.

Bijvoorbeeld:

sudo firewall-cmd --permanent --zone=public --add-port=<PORT>/<PROTOCOL>
sudo firewall-cmd --reload

Daarna controleren:

sudo firewall-cmd --zone=public --list-all

Wanneer een dienst niet meer nodig is, wordt de firewallregel verwijderd.

Bijvoorbeeld:

sudo firewall-cmd --permanent --zone=public --remove-port=25565/tcp
sudo firewall-cmd --reload

Daarna:

sudo firewall-cmd --zone=public --list-ports

Niet iedere service hoeft vanaf het volledige internet bereikbaar te zijn.

Wanneer een service bijvoorbeeld uitsluitend vanaf een beheer-IP of intern netwerk bereikbaar moet zijn, kan firewalld hiervoor uitgebreidere regels gebruiken.

Hiervoor kunnen onder andere rich rules worden gebruikt. Firewalld ondersteunt hiermee bron- en bestemmingsadressen, logging en aanvullende voorwaarden.

Voorbeeldconcept:

Internet
   │
   X
   │
beheerpoort
 
Beheer-IP
   │
   ▼
beheerpoort

Dit heeft de voorkeur boven een publiek toegankelijke beheerinterface wanneer de netwerkarchitectuur dit mogelijk maakt.

Firewallgebeurtenissen kunnen onderdeel zijn van de algemene serverlogging.

De firewallservice:

sudo journalctl -u firewalld

Daarnaast kunnen kernel/netfilter-gerelateerde gebeurtenissen afhankelijk van de configuratie via het systeemlog beschikbaar zijn.

Firewalllogging wordt niet zonder reden maximaal aangezet.

Te uitgebreide logging kan zelf aanzienlijke hoeveelheden logdata produceren.

Firewalld en Fail2Ban vullen elkaar aan.

                  ┌──────────────┐
Internet ────────►│  firewalld   │
                  └──────┬───────┘
                         │
                         ▼
                    SSH / services
                         │
                         ▼
                    logbestanden
                         │
                         ▼
                    ┌──────────┐
                    │ Fail2Ban │
                    └────┬─────┘
                         │
                         ▼
                   tijdelijke ban

Firewalld bepaalt welke netwerktoegang überhaupt mogelijk is.

Fail2Ban reageert vervolgens op herhaaldelijk ongewenst gedrag, bijvoorbeeld brute-forcepogingen op SSH.

Zie:

Server hardening

voor de volledige hardeningconfiguratie.

Firewallwijzigingen worden gedocumenteerd wanneer ze structureel onderdeel worden van de serverconfiguratie.

Bijvoorbeeld:

Onderdeel	Waarde
Server	`mc-proxy001`
Zone	`public`
Poort	`25565/tcp`
Dienst	Velocity
Bereik	Publiek
Reden	Minecraft-ingangspunt
Status	Actief

Hierdoor blijft duidelijk waarom een poort geopend is.

Een nieuwe Tulpencraft-server moet minimaal worden gecontroleerd op:

[ ] firewalld geïnstalleerd
[ ] firewalld actief
[ ] firewalld ingeschakeld bij boot
[ ] juiste zone vastgesteld
[ ] alleen noodzakelijke services toegestaan
[ ] alleen noodzakelijke poorten toegestaan
[ ] publieke en interne services onderscheiden
[ ] luisterende poorten gecontroleerd met ss
[ ] permanente configuratie gecontroleerd
[ ] firewallconfiguratie na reload gecontroleerd
[ ] SSH-toegang getest
[ ] Minecraft-netwerktoegang getest
[ ] backendservers niet onnodig publiek bereikbaar
[ ] firewallwijzigingen gedocumenteerd

De firewall is geen vervanging voor een correcte netwerkarchitectuur.

Tulpencraft gebruikt daarom meerdere beveiligingslagen:

Internet
   │
   ▼
┌───────────────────────┐
│   Externe toegang     │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│      firewalld        │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│ Velocity Proxy        │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│ Backend servers       │
│ Lobby / Survival etc. │
└───────────────────────┘

Daarbovenop worden onder andere SELinux, SSH-hardening, Fail2Ban, beperkte gebruikersrechten en regelmatige updates toegepast.

Het uitgangspunt blijft:

Een service die niet bereikbaar hoeft te zijn, wordt niet bereikbaar gemaakt.

Tulpencraft firewall baseline

De firewall wordt ingericht volgens het principe least exposure: alleen noodzakelijke netwerktoegang wordt toegestaan en backendservers worden niet rechtstreeks aan het publieke internet blootgesteld.

reeks vanaf internet bereikbaar te zijn.

Dit betekent dat een speler niet rechtstreeks verbinding maakt met:

Survival
Lobby
Events

maar altijd via de netwerkarchitectuur van Tulpencraft.

De firewallservice wordt geleverd door firewalld.

Status controleren:

sudo firewall-cmd --state

Verwachte uitvoer:

running

De service kan worden gecontroleerd met:

sudo systemctl status firewalld

Ingeschakeld bij het opstarten:

sudo systemctl is-enabled firewalld

Firewalld gebruikt zones om een vertrouwensniveau aan netwerkverbindingen te koppelen. Interfaces en bronnen kunnen aan een zone worden gekoppeld en binnen die zone worden services en poorten toegestaan.

De standaardzone kan worden bekeken met:

sudo firewall-cmd --get-default-zone

Actieve zones:

sudo firewall-cmd --get-active-zones

De configuratie van de actieve zone:

sudo firewall-cmd --list-all

Alle zones:

sudo firewall-cmd --list-all-zones

Voor een server met een publiek netwerkinterface wordt doorgaans de public zone gebruikt.

Deze zone is bedoeld voor netwerken waarvan andere systemen niet automatisch worden vertrouwd. Alleen expliciet toegestane services en poorten worden beschikbaar gesteld.

Voor Tulpencraft is dit met name relevant voor de proxy.

De Velocity Proxy vormt het publieke toegangspunt van het Minecraft-netwerk.

De belangrijkste publiek toegankelijke poort is:

Poort	Protocol	Doel
`25565`	TCP	Minecraft / Velocity

De poort wordt expliciet geopend:

sudo firewall-cmd --permanent --zone=public --add-port=25565/tcp
sudo firewall-cmd --reload

Controle:

sudo firewall-cmd --zone=public --list-ports

Verwacht onder andere:

25565/tcp

SSH is een beheerinterface en wordt niet beschouwd als een Minecraft-netwerkdienst.

Wanneer SSH publiek bereikbaar moet zijn, wordt de SSH-service expliciet toegestaan:

sudo firewall-cmd --permanent --zone=public --add-service=ssh
sudo firewall-cmd --reload

Controle:

sudo firewall-cmd --zone=public --list-services

SSH wordt daarnaast beschermd door de maatregelen beschreven in:

Server hardening

waaronder:

SSH-sleutels;
uitschakelen van directe root-login;
uitschakelen van wachtwoordauthenticatie;
Fail2Ban;
beperkte gebruikersrechten.

Backendservers zoals Survival en Events worden niet publiek aangeboden.

Het uitgangspunt is:

Internet
   │
   X
   │
Survival

maar:

Internet
   │
   ▼
Velocity
   │
   ▼
Survival

De firewall op een backendserver moet daarom geen algemene publieke Minecraft-poort openen.

De exacte interne netwerkregels zijn afhankelijk van de uiteindelijke netwerkconfiguratie van de Tulpencraft-infrastructuur.

De lobby bevindt zich momenteel op dezelfde host als de proxy:

mc-proxy001
│
├── Velocity
│
└── Lobby

Dit is onderdeel van de huidige kosten- en infrastructuurkeuze.

Omdat de lobby lokaal op dezelfde host draait als Velocity, hoeft de lobbypoort niet publiek beschikbaar te worden gesteld voor spelers.

De proxy communiceert lokaal met de lobby.

Survival draait als afzonderlijke VM op de huidige Proxmox-infrastructuur.

De server is niet bedoeld als publiek Minecraft-entrypoint.

De gewenste netwerkstroom is:

Speler
  │
  ▼
Velocity
  │
  ▼
Survival

Niet:

Speler
  │
  ▼
Survival

De firewall en netwerkconfiguratie moeten deze architectuur ondersteunen.

Voor toekomstige Events-servers geldt hetzelfde uitgangspunt.

Een Events-server wordt niet zelfstandig aan het internet blootgesteld wanneer dit niet noodzakelijk is.

De gewenste architectuur is:

Speler
  │
  ▼
Velocity
  │
  ▼
Events

Eventuele uitzonderingen moeten worden gedocumenteerd.

Firewalld ondersteunt zowel vooraf gedefinieerde services als losse poortdefinities.

Een service is een verzameling van bijbehorende netwerkregels, bijvoorbeeld SSH, HTTP of HTTPS.

Voor standaarddiensten heeft het daarom de voorkeur om een service te gebruiken:

sudo firewall-cmd --permanent --add-service=ssh

Voor applicaties zonder geschikte standaardservice kan een specifieke poort worden geopend:

sudo firewall-cmd --permanent --add-port=25565/tcp

Daarna:

sudo firewall-cmd --reload

Firewalld kent twee configuratielagen:

Een runtime-regel wordt direct actief, maar is niet automatisch blijvend na een reload of reboot.

Bijvoorbeeld:

sudo firewall-cmd --add-port=25565/tcp

Een permanente regel wordt opgeslagen in de firewallconfiguratie:

sudo firewall-cmd --permanent --add-port=25565/tcp

Daarna wordt de actieve configuratie opnieuw geladen:

sudo firewall-cmd --reload

Voor productieservers gebruiken we bij voorkeur permanente configuratie, zodat de firewallconfiguratie na een reboot behouden blijft.

Volledige configuratie:

sudo firewall-cmd --list-all

Alle actieve zones:

sudo firewall-cmd --list-all-zones

Openstaande services:

sudo firewall-cmd --list-services

Openstaande poorten:

sudo firewall-cmd --list-ports

Beschikbare services:

sudo firewall-cmd --get-services

De actieve interfaces:

sudo firewall-cmd --get-active-zones

Deze commando's behoren tot de belangrijkste controles tijdens de hardening van een nieuwe server.

De firewallconfiguratie vertelt niet welke applicaties daadwerkelijk luisteren.

Daarom wordt ook gecontroleerd met:

sudo ss -tulpn

Dit maakt bijvoorbeeld zichtbaar:

Velocity
   └── 0.0.0.0:25565
 
SSH
   └── 0.0.0.0:22

Een belangrijke securitycontrole is daarom:

Welke poorten luisteren daadwerkelijk, en welke daarvan zijn via de firewall bereikbaar?

Een poort die niet nodig is, moet bij voorkeur helemaal niet door een applicatie worden geopend.

Wanneer een nieuwe service een netwerkpoort nodig heeft, wordt eerst bepaald:

waarom de poort nodig is;
of de service publiek of intern moet zijn;
welk protocol noodzakelijk is;
vanaf welke bronnen toegang noodzakelijk is;
of een bestaande firewalld-service gebruikt kan worden.

Daarna wordt de regel toegevoegd.

Bijvoorbeeld:

sudo firewall-cmd --permanent --zone=public --add-port=<PORT>/<PROTOCOL>
sudo firewall-cmd --reload

Daarna controleren:

sudo firewall-cmd --zone=public --list-all

Wanneer een dienst niet meer nodig is, wordt de firewallregel verwijderd.

Bijvoorbeeld:

sudo firewall-cmd --permanent --zone=public --remove-port=25565/tcp
sudo firewall-cmd --reload

Daarna:

sudo firewall-cmd --zone=public --list-ports

Niet iedere service hoeft vanaf het volledige internet bereikbaar te zijn.

Wanneer een service bijvoorbeeld uitsluitend vanaf een beheer-IP of intern netwerk bereikbaar moet zijn, kan firewalld hiervoor uitgebreidere regels gebruiken.

Hiervoor kunnen onder andere rich rules worden gebruikt. Firewalld ondersteunt hiermee bron- en bestemmingsadressen, logging en aanvullende voorwaarden.

Voorbeeldconcept:

Internet
   │
   X
   │
beheerpoort
 
Beheer-IP
   │
   ▼
beheerpoort

Dit heeft de voorkeur boven een publiek toegankelijke beheerinterface wanneer de netwerkarchitectuur dit mogelijk maakt.

Firewallgebeurtenissen kunnen onderdeel zijn van de algemene serverlogging.

De firewallservice:

sudo journalctl -u firewalld

Daarnaast kunnen kernel/netfilter-gerelateerde gebeurtenissen afhankelijk van de configuratie via het systeemlog beschikbaar zijn.

Firewalllogging wordt niet zonder reden maximaal aangezet.

Te uitgebreide logging kan zelf aanzienlijke hoeveelheden logdata produceren.

Firewalld en Fail2Ban vullen elkaar aan.

                  ┌──────────────┐
Internet ────────►│  firewalld   │
                  └──────┬───────┘
                         │
                         ▼
                    SSH / services
                         │
                         ▼
                    logbestanden
                         │
                         ▼
                    ┌──────────┐
                    │ Fail2Ban │
                    └────┬─────┘
                         │
                         ▼
                   tijdelijke ban

Firewalld bepaalt welke netwerktoegang überhaupt mogelijk is.

Fail2Ban reageert vervolgens op herhaaldelijk ongewenst gedrag, bijvoorbeeld brute-forcepogingen op SSH.

Zie:

Server hardening

voor de volledige hardeningconfiguratie.

Firewallwijzigingen worden gedocumenteerd wanneer ze structureel onderdeel worden van de serverconfiguratie.

Bijvoorbeeld:

Onderdeel	Waarde
Server	`mc-proxy001`
Zone	`public`
Poort	`25565/tcp`
Dienst	Velocity
Bereik	Publiek
Reden	Minecraft-ingangspunt
Status	Actief

Hierdoor blijft duidelijk waarom een poort geopend is.

Een nieuwe Tulpencraft-server moet minimaal worden gecontroleerd op:

[ ] firewalld geïnstalleerd
[ ] firewalld actief
[ ] firewalld ingeschakeld bij boot
[ ] juiste zone vastgesteld
[ ] alleen noodzakelijke services toegestaan
[ ] alleen noodzakelijke poorten toegestaan
[ ] publieke en interne services onderscheiden
[ ] luisterende poorten gecontroleerd met ss
[ ] permanente configuratie gecontroleerd
[ ] firewallconfiguratie na reload gecontroleerd
[ ] SSH-toegang getest
[ ] Minecraft-netwerktoegang getest
[ ] backendservers niet onnodig publiek bereikbaar
[ ] firewallwijzigingen gedocumenteerd

De firewall is geen vervanging voor een correcte netwerkarchitectuur.

Tulpencraft gebruikt daarom meerdere beveiligingslagen:

Internet
   │
   ▼
┌───────────────────────┐
│   Externe toegang     │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│      firewalld        │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│ Velocity Proxy        │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│ Backend servers       │
│ Lobby / Survival etc. │
└───────────────────────┘

Daarbovenop worden onder andere SELinux, SSH-hardening, Fail2Ban, beperkte gebruikersrechten en regelmatige updates toegepast.

Het uitgangspunt blijft:

Een service die niet bereikbaar hoeft te zijn, wordt niet bereikbaar gemaakt.

Tulpencraft firewall baseline

De firewall wordt ingericht volgens het principe least exposure: alleen noodzakelijke netwerktoegang wordt toegestaan en backendservers worden niet rechtstreeks aan het publieke internet blootgesteld.

t

De backendservers zijn niet bedoeld om rechtstreeks vanaf internet bereikbaar te zijn.

Dit betekent dat een speler niet rechtstreeks verbinding maakt met:

```text
Survival
Lobby
Events

maar altijd via de netwerkarchitectuur van Tulpencraft.

De firewallservice wordt geleverd door firewalld.

Status controleren:

sudo firewall-cmd --state

Verwachte uitvoer:

running

De service kan worden gecontroleerd met:

sudo systemctl status firewalld

Ingeschakeld bij het opstarten:

sudo systemctl is-enabled firewalld

Firewalld gebruikt zones om een vertrouwensniveau aan netwerkverbindingen te koppelen. Interfaces en bronnen kunnen aan een zone worden gekoppeld en binnen die zone worden services en poorten toegestaan.

De standaardzone kan worden bekeken met:

sudo firewall-cmd --get-default-zone

Actieve zones:

sudo firewall-cmd --get-active-zones

De configuratie van de actieve zone:

sudo firewall-cmd --list-all

Alle zones:

sudo firewall-cmd --list-all-zones

Voor een server met een publiek netwerkinterface wordt doorgaans de public zone gebruikt.

Deze zone is bedoeld voor netwerken waarvan andere systemen niet automatisch worden vertrouwd. Alleen expliciet toegestane services en poorten worden beschikbaar gesteld.

Voor Tulpencraft is dit met name relevant voor de proxy.

De Velocity Proxy vormt het publieke toegangspunt van het Minecraft-netwerk.

De belangrijkste publiek toegankelijke poort is:

Poort	Protocol	Doel
`25565`	TCP	Minecraft / Velocity

De poort wordt expliciet geopend:

sudo firewall-cmd --permanent --zone=public --add-port=25565/tcp
sudo firewall-cmd --reload

Controle:

sudo firewall-cmd --zone=public --list-ports

Verwacht onder andere:

25565/tcp

SSH is een beheerinterface en wordt niet beschouwd als een Minecraft-netwerkdienst.

Wanneer SSH publiek bereikbaar moet zijn, wordt de SSH-service expliciet toegestaan:

sudo firewall-cmd --permanent --zone=public --add-service=ssh
sudo firewall-cmd --reload

Controle:

sudo firewall-cmd --zone=public --list-services

SSH wordt daarnaast beschermd door de maatregelen beschreven in:

Server hardening

waaronder:

SSH-sleutels;
uitschakelen van directe root-login;
uitschakelen van wachtwoordauthenticatie;
Fail2Ban;
beperkte gebruikersrechten.

Backendservers zoals Survival en Events worden niet publiek aangeboden.

Het uitgangspunt is:

Internet
   │
   X
   │
Survival

maar:

Internet
   │
   ▼
Velocity
   │
   ▼
Survival

De firewall op een backendserver moet daarom geen algemene publieke Minecraft-poort openen.

De exacte interne netwerkregels zijn afhankelijk van de uiteindelijke netwerkconfiguratie van de Tulpencraft-infrastructuur.

De lobby bevindt zich momenteel op dezelfde host als de proxy:

mc-proxy001
│
├── Velocity
│
└── Lobby

Dit is onderdeel van de huidige kosten- en infrastructuurkeuze.

Omdat de lobby lokaal op dezelfde host draait als Velocity, hoeft de lobbypoort niet publiek beschikbaar te worden gesteld voor spelers.

De proxy communiceert lokaal met de lobby.

Survival draait als afzonderlijke VM op de huidige Proxmox-infrastructuur.

De server is niet bedoeld als publiek Minecraft-entrypoint.

De gewenste netwerkstroom is:

Speler
  │
  ▼
Velocity
  │
  ▼
Survival

Niet:

Speler
  │
  ▼
Survival

De firewall en netwerkconfiguratie moeten deze architectuur ondersteunen.

Voor toekomstige Events-servers geldt hetzelfde uitgangspunt.

Een Events-server wordt niet zelfstandig aan het internet blootgesteld wanneer dit niet noodzakelijk is.

De gewenste architectuur is:

Speler
  │
  ▼
Velocity
  │
  ▼
Events

Eventuele uitzonderingen moeten worden gedocumenteerd.

Firewalld ondersteunt zowel vooraf gedefinieerde services als losse poortdefinities.

Een service is een verzameling van bijbehorende netwerkregels, bijvoorbeeld SSH, HTTP of HTTPS.

Voor standaarddiensten heeft het daarom de voorkeur om een service te gebruiken:

sudo firewall-cmd --permanent --add-service=ssh

Voor applicaties zonder geschikte standaardservice kan een specifieke poort worden geopend:

sudo firewall-cmd --permanent --add-port=25565/tcp

Daarna:

sudo firewall-cmd --reload

Firewalld kent twee configuratielagen:

Een runtime-regel wordt direct actief, maar is niet automatisch blijvend na een reload of reboot.

Bijvoorbeeld:

sudo firewall-cmd --add-port=25565/tcp

Een permanente regel wordt opgeslagen in de firewallconfiguratie:

sudo firewall-cmd --permanent --add-port=25565/tcp

Daarna wordt de actieve configuratie opnieuw geladen:

sudo firewall-cmd --reload

Voor productieservers gebruiken we bij voorkeur permanente configuratie, zodat de firewallconfiguratie na een reboot behouden blijft.

Volledige configuratie:

sudo firewall-cmd --list-all

Alle actieve zones:

sudo firewall-cmd --list-all-zones

Openstaande services:

sudo firewall-cmd --list-services

Openstaande poorten:

sudo firewall-cmd --list-ports

Beschikbare services:

sudo firewall-cmd --get-services

De actieve interfaces:

sudo firewall-cmd --get-active-zones

Deze commando's behoren tot de belangrijkste controles tijdens de hardening van een nieuwe server.

De firewallconfiguratie vertelt niet welke applicaties daadwerkelijk luisteren.

Daarom wordt ook gecontroleerd met:

sudo ss -tulpn

Dit maakt bijvoorbeeld zichtbaar:

Velocity
   └── 0.0.0.0:25565
 
SSH
   └── 0.0.0.0:22

Een belangrijke securitycontrole is daarom:

Welke poorten luisteren daadwerkelijk, en welke daarvan zijn via de firewall bereikbaar?

Een poort die niet nodig is, moet bij voorkeur helemaal niet door een applicatie worden geopend.

Wanneer een nieuwe service een netwerkpoort nodig heeft, wordt eerst bepaald:

waarom de poort nodig is;
of de service publiek of intern moet zijn;
welk protocol noodzakelijk is;
vanaf welke bronnen toegang noodzakelijk is;
of een bestaande firewalld-service gebruikt kan worden.

Daarna wordt de regel toegevoegd.

Bijvoorbeeld:

sudo firewall-cmd --permanent --zone=public --add-port=<PORT>/<PROTOCOL>
sudo firewall-cmd --reload

Daarna controleren:

sudo firewall-cmd --zone=public --list-all

Wanneer een dienst niet meer nodig is, wordt de firewallregel verwijderd.

Bijvoorbeeld:

sudo firewall-cmd --permanent --zone=public --remove-port=25565/tcp
sudo firewall-cmd --reload

Daarna:

sudo firewall-cmd --zone=public --list-ports

Niet iedere service hoeft vanaf het volledige internet bereikbaar te zijn.

Wanneer een service bijvoorbeeld uitsluitend vanaf een beheer-IP of intern netwerk bereikbaar moet zijn, kan firewalld hiervoor uitgebreidere regels gebruiken.

Hiervoor kunnen onder andere rich rules worden gebruikt. Firewalld ondersteunt hiermee bron- en bestemmingsadressen, logging en aanvullende voorwaarden.

Voorbeeldconcept:

Internet
   │
   X
   │
beheerpoort
 
Beheer-IP
   │
   ▼
beheerpoort

Dit heeft de voorkeur boven een publiek toegankelijke beheerinterface wanneer de netwerkarchitectuur dit mogelijk maakt.

Firewallgebeurtenissen kunnen onderdeel zijn van de algemene serverlogging.

De firewallservice:

sudo journalctl -u firewalld

Daarnaast kunnen kernel/netfilter-gerelateerde gebeurtenissen afhankelijk van de configuratie via het systeemlog beschikbaar zijn.

Firewalllogging wordt niet zonder reden maximaal aangezet.

Te uitgebreide logging kan zelf aanzienlijke hoeveelheden logdata produceren.

Firewalld en Fail2Ban vullen elkaar aan.

                  ┌──────────────┐
Internet ────────►│  firewalld   │
                  └──────┬───────┘
                         │
                         ▼
                    SSH / services
                         │
                         ▼
                    logbestanden
                         │
                         ▼
                    ┌──────────┐
                    │ Fail2Ban │
                    └────┬─────┘
                         │
                         ▼
                   tijdelijke ban

Firewalld bepaalt welke netwerktoegang überhaupt mogelijk is.

Fail2Ban reageert vervolgens op herhaaldelijk ongewenst gedrag, bijvoorbeeld brute-forcepogingen op SSH.

Zie:

Server hardening

voor de volledige hardeningconfiguratie.

Firewallwijzigingen worden gedocumenteerd wanneer ze structureel onderdeel worden van de serverconfiguratie.

Bijvoorbeeld:

Onderdeel	Waarde
Server	`mc-proxy001`
Zone	`public`
Poort	`25565/tcp`
Dienst	Velocity
Bereik	Publiek
Reden	Minecraft-ingangspunt
Status	Actief

Hierdoor blijft duidelijk waarom een poort geopend is.

Een nieuwe Tulpencraft-server moet minimaal worden gecontroleerd op:

[ ] firewalld geïnstalleerd
[ ] firewalld actief
[ ] firewalld ingeschakeld bij boot
[ ] juiste zone vastgesteld
[ ] alleen noodzakelijke services toegestaan
[ ] alleen noodzakelijke poorten toegestaan
[ ] publieke en interne services onderscheiden
[ ] luisterende poorten gecontroleerd met ss
[ ] permanente configuratie gecontroleerd
[ ] firewallconfiguratie na reload gecontroleerd
[ ] SSH-toegang getest
[ ] Minecraft-netwerktoegang getest
[ ] backendservers niet onnodig publiek bereikbaar
[ ] firewallwijzigingen gedocumenteerd

De firewall is geen vervanging voor een correcte netwerkarchitectuur.

Tulpencraft gebruikt daarom meerdere beveiligingslagen:

Internet
   │
   ▼
┌───────────────────────┐
│   Externe toegang     │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│      firewalld        │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│ Velocity Proxy        │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│ Backend servers       │
│ Lobby / Survival etc. │
└───────────────────────┘

Daarbovenop worden onder andere SELinux, SSH-hardening, Fail2Ban, beperkte gebruikersrechten en regelmatige updates toegepast.

Het uitgangspunt blijft:

Een service die niet bereikbaar hoeft te zijn, wordt niet bereikbaar gemaakt.

Tulpencraft firewall baseline

De firewall wordt ingericht volgens het principe least exposure: alleen noodzakelijke netwerktoegang wordt toegestaan en backendservers worden niet rechtstreeks aan het publieke internet blootgesteld.

Hierdoor blijft inzichtelijk waarom een poort geopend is en kan ongebruikte toegang later worden verwijderd.

---

## Beveiligingsprincipes

De firewallconfiguratie van Tulpencraft volgt deze uitgangspunten:

1. **Default deny**
2. Alleen noodzakelijke poorten worden geopend.
3. Backendservers zijn niet publiek bereikbaar.
4. Databaseverkeer blijft intern.
5. Voice chat gebruikt uitsluitend de daarvoor bestemde UDP-poorten.
6. Votifier wordt alleen geopend wanneer deze dienst daadwerkelijk actief is.
7. Firewallwijzigingen worden gedocumenteerd.
8. Ongebruikte poorten worden verwijderd.
9. Publieke diensten worden zo veel mogelijk geconcentreerd op de proxy.
10. Interne diensten worden beperkt tot noodzakelijke bronadressen.

---

## Controle

Na wijzigingen moet worden gecontroleerd welke poorten daadwerkelijk luisteren:

```bash
sudo ss -tulpn

En welke poorten door firewalld zijn toegestaan:

sudo firewall-cmd --list-all

Ook moet worden gecontroleerd of een dienst daadwerkelijk alleen op het bedoelde adres luistert.

Bijvoorbeeld:

0.0.0.0:3306

is wezenlijk anders dan:

127.0.0.1:3306

of een specifiek intern IP-adres.

Belangrijk: een poort openen in firewalld betekent niet automatisch dat een dienst veilig of correct geconfigureerd is. De applicatie zelf moet eveneens correct worden gebonden aan het juiste netwerkinterface en correct worden beveiligd.

Het uitgangspunt is eenvoudig:

Alleen netwerkverkeer toestaan dat daadwerkelijk noodzakelijk is.

Een service die lokaal draait, betekent niet automatisch dat deze vanaf het netwerk bereikbaar moet zijn.

Tulpencraft gebruikt een centrale Velocity Proxy als toegangspunt tot het Minecraft-netwerk.

De gewenste netwerkarchitectuur is:

                         INTERNET
                            │
                 ┌──────────┴──────────┐
                 │                     │
             TCP 25565             UDP voice
                 │                     │
                 ▼                     ▼
          ┌─────────────────────────────────┐
          │         Velocity Proxy          │
          │           mc-proxy001           │
          └────────────────┬────────────────┘
                           │
                           ▼
                         Lobby
                           │
              ┌────────────┼────────────┐
              ▼            ▼            ▼
           Survival      Events      toekomst

Spelers verbinden dus niet rechtstreeks met de backendservers.

De normale Minecraft-verbinding verloopt via:

Speler
   │
   ▼
Velocity
   │
   ▼
Lobby
   │
   ▼
Game server

Ook voicechat wordt zoveel mogelijk via de proxyarchitectuur afgehandeld.

De host-firewall wordt verzorgd door firewalld.

Status controleren:

sudo firewall-cmd --state

Verwachte uitvoer:

running

Service controleren:

sudo systemctl status firewalld

Controleren of firewalld automatisch start:

sudo systemctl is-enabled firewalld

Firewalld werkt met zogenaamde zones.

Een zone bepaalt welk vertrouwensniveau aan een netwerkinterface of bron wordt gekoppeld en welke services en poorten daar toegestaan zijn.

De standaardzone:

sudo firewall-cmd --get-default-zone

Actieve zones:

sudo firewall-cmd --get-active-zones

Configuratie van de actieve zone:

sudo firewall-cmd --list-all

Alle zones:

sudo firewall-cmd --list-all-zones

Voor een publiek bereikbare Tulpencraft-proxy wordt doorgaans de public zone gebruikt.

De publieke netwerkinterface van de proxy mag alleen de diensten aanbieden die daadwerkelijk vanaf internet noodzakelijk zijn.

Voor de huidige Tulpencraft-architectuur zijn dat in principe:

Poort	Protocol	Functie	Publiek
`25565`	TCP	Minecraft / Velocity	Ja
voicechatpoort	UDP	Simple Voice Chat	Ja
`22`	TCP	SSH-beheer	Alleen indien noodzakelijk

De exacte voicechatpoort wordt verderop beschreven.

De Minecraft-ingang van Tulpencraft is:

TCP 25565

Deze poort wordt door Velocity gebruikt.

Openen:

sudo firewall-cmd --permanent --zone=public --add-port=25565/tcp
sudo firewall-cmd --reload

Controleren:

sudo firewall-cmd --zone=public --list-ports

De poort moet alleen op het daadwerkelijke publieke toegangspunt worden geopend.

Backendservers krijgen niet automatisch een publiek toegankelijke 25565/tcp.

Tulpencraft wil Simple Voice Chat ondersteunen op Survival en toekomstige game-servers.

Simple Voice Chat biedt onder andere:

proximity voice chat;
push-to-talk;
voice activation;
configureerbare voice distance;
whispering;
individuele volumeregeling;
groepsgesprekken.

De client gebruikt hiervoor een aparte UDP-verbinding. De standaard serverpoort van Simple Voice Chat is 24454/UDP.

Omdat Tulpencraft gebruikmaakt van Velocity, wordt Simple Voice Chat niet per game-server afzonderlijk publiek aangeboden.

De officiële Simple Voice Chat-proxyconfiguratie ondersteunt Velocity en kan voicechatverkeer naar de juiste backendserver doorsturen. Daardoor is slechts één publieke UDP-poort op de proxy nodig.

De gewenste architectuur is:

                    INTERNET
                       │
                       │ UDP
                       ▼
             ┌───────────────────┐
             │  Velocity Proxy   │
             │   Voice Proxy     │
             └─────────┬─────────┘
                       │
          ┌────────────┼────────────┐
          ▼            ▼            ▼
       Survival      Events      toekomst
       Voice Chat    Voice Chat   Voice Chat

Hierdoor blijft het principe behouden dat backendservers niet zelfstandig publiek bereikbaar zijn.

De proxy kan voor Simple Voice Chat een eigen UDP-poort gebruiken.

De officiële proxyconfiguratie gebruikt standaard de Minecraft-proxypoort voor voicechat wanneer port=-1 is ingesteld. De poort kan echter expliciet worden ingesteld.

Voor Tulpencraft verdient een expliciete, gedocumenteerde UDP-poort de voorkeur.

Bijvoorbeeld:

UDP <VOICE_PORT>

De daadwerkelijke poort wordt vastgelegd zodra Simple Voice Chat op de Tulpencraft-proxy wordt geïmplementeerd.

De standaard backendpoort 24454/UDP moet dus niet automatisch als publieke poort op iedere Survival-, Events- of toekomstige game-server worden geopend.

Op iedere Minecraft-server waarop voicechat beschikbaar moet zijn, wordt de Simple Voice Chat serverplugin geïnstalleerd.

De officiële installatie vereist naast de serverplugin ook de Simple Voice Chat-proxyplugin wanneer de server achter Velocity draait.

De gewenste opbouw:

Velocity
└── Simple Voice Chat Proxy
 
Lobby
└── eventueel voicechat
 
Survival
└── Simple Voice Chat
 
Events
└── Simple Voice Chat
 
Toekomstige game-server
└── Simple Voice Chat

Voicechat wordt daarmee een netwerkfunctie van het volledige Tulpencraft-netwerk.

Een belangrijk uitgangspunt van Tulpencraft is dat backendservers niet zelfstandig bereikbaar zijn.

Dus bijvoorbeeld:

Internet
   │
   X
   │
Survival:25565

is niet de gewenste situatie.

In plaats daarvan:

Internet
   │
   ▼
Velocity:25565
   │
   ▼
Survival

Voor voicechat geldt hetzelfde principe:

Internet
   │
   ▼
Velocity UDP voice
   │
   ▼
Survival Voice Chat

De Simple Voice Chat-proxy zorgt ervoor dat het verkeer naar de juiste backend wordt doorgestuurd.

De lobby draait momenteel op dezelfde host als de Velocity Proxy:

mc-proxy001
│
├── Velocity
│
└── Lobby

Dit is onderdeel van de huidige infrastructuurkeuze.

Omdat de lobby lokaal op dezelfde host als Velocity draait, hoeft de lobbypoort niet publiek voor spelers geopend te worden.

De proxy communiceert lokaal met de lobby.

Survival draait als afzonderlijke VM binnen de Proxmox-infrastructuur.

De Survival-server wordt niet als zelfstandig publiek Minecraft-entrypoint aangeboden.

De gewenste verbinding:

Speler
   │
   ▼
Velocity
   │
   ▼
Survival

Voicechat:

Speler
   │
   │ UDP
   ▼
Velocity Voice Proxy
   │
   ▼
Survival Voice Chat

De backend blijft daarmee achter de netwerkgrens van Tulpencraft.

Voor Events geldt hetzelfde model als voor Survival.

Speler
   │
   ▼
Velocity
   │
   ▼
Events

en voor voice:

Speler
   │
   │ UDP
   ▼
Velocity Voice Proxy
   │
   ▼
Events Voice Chat

Een Events-server wordt niet rechtstreeks aan internet blootgesteld tenzij daar bewust een technische reden voor bestaat.

SSH is een beheerinterface en geen Minecraft-netwerkdienst.

Wanneer SSH publiek bereikbaar moet zijn:

sudo firewall-cmd --permanent --zone=public --add-service=ssh
sudo firewall-cmd --reload

Maar waar mogelijk wordt SSH beperkt tot de noodzakelijke beheeromgeving.

SSH wordt daarnaast beschermd door:

SSH-sleutels;
geen directe root-login;
geen wachtwoordauthenticatie;
Fail2Ban;
beperkte gebruikersrechten.

Zie:

Server hardening

Firewalld kan zowel vooraf gedefinieerde services als afzonderlijke poorten gebruiken.

Voor standaarddiensten heeft een service de voorkeur:

sudo firewall-cmd --permanent --zone=public --add-service=ssh

Voor applicaties zonder geschikte standaardservice:

sudo firewall-cmd --permanent --zone=public --add-port=25565/tcp

Voor Simple Voice Chat:

sudo firewall-cmd --permanent --zone=public --add-port=<VOICE_PORT>/udp

Daarna:

sudo firewall-cmd --reload

Firewalld kent een runtime- en permanente configuratie.

Een tijdelijke regel:

sudo firewall-cmd --add-port=25565/tcp

wordt direct actief, maar is niet noodzakelijk permanent.

Voor de productiesituatie wordt daarom de permanente configuratie gebruikt:

sudo firewall-cmd --permanent --add-port=25565/tcp
sudo firewall-cmd --reload

Na een wijziging moet altijd worden gecontroleerd of de regel daadwerkelijk actief is.

Volledige configuratie:

sudo firewall-cmd --list-all

Services:

sudo firewall-cmd --list-services

Poorten:

sudo firewall-cmd --list-ports

Actieve zones:

sudo firewall-cmd --get-active-zones

De firewallconfiguratie is slechts één kant van de controle.

Ook moet worden gecontroleerd welke processen daadwerkelijk luisteren:

sudo ss -tulpn

Hiermee kunnen bijvoorbeeld worden gevonden:

TCP 25565
UDP <VOICE_PORT>
TCP 22

Een poort die niet noodzakelijk is, moet bij voorkeur ook niet door een applicatie worden geopend.

Simple Voice Chat gebruikt UDP.

Een algemene TCP-poorttest is daarom niet voldoende om voicechat te controleren.

De Simple Voice Chat-documentatie geeft aan dat UDP connectionless is en daarom niet met normale TCP-portchecks kan worden getest. De plugin beschikt hiervoor over een eigen testmogelijkheid.

In-game kan bijvoorbeeld worden gebruikt:

/voicechat test <PLAYERNAME>

Voor een proxy-opstelling kan daarnaast de voicechat-proxytest worden gebruikt:

/voicechatproxy ping <server>

De officiële documentatie beschrijft deze test voor het controleren van de verbinding tussen de proxy en een backendserver.

Firewalld en Fail2Ban hebben verschillende functies.

                 INTERNET
                     │
                     ▼
              ┌─────────────┐
              │  firewalld  │
              └──────┬──────┘
                     │
                     ▼
                toegestane
                 diensten
                     │
                     ▼
               SSH / overige
                     │
                     ▼
                logbestanden
                     │
                     ▼
              ┌─────────────┐
              │  Fail2Ban   │
              └──────┬──────┘
                     │
                     ▼
                tijdelijke
                  blokkade

Firewalld bepaalt welke netwerktoegang mogelijk is.

Fail2Ban reageert op herhaaldelijk ongewenst gedrag, bijvoorbeeld brute-forcepogingen op SSH.

De firewallconfiguratie wordt afgestemd op de functie van de server.

Server	Minecraft TCP	Voice UDP	Publiek bereikbaar
Velocity / Proxy	`25565`	centrale voicepoort	Ja
Lobby	intern	via proxy indien gebruikt	Nee
Survival	intern	intern via voice proxy	Nee
Events	intern	intern via voice proxy	Nee
Toekomstige game-server	intern	intern via voice proxy	Nee

SSH is hierbij een aparte beheerfunctie en wordt alleen opengesteld wanneer noodzakelijk.

De volgende aanpak wordt vermeden:

25565/tcp  → publiek
24454/udp  → publiek
25566/tcp  → publiek
25567/tcp  → publiek
25568/tcp  → publiek
...

De gewenste situatie is:

                 INTERNET
                    │
          ┌─────────┴─────────┐
          │                   │
      25565/TCP          VOICE/UDP
          │                   │
          ▼                   ▼
       Velocity          Voice Proxy
          │                   │
          └─────────┬─────────┘
                    ▼
               Backendservers

Daarmee wordt het publieke aanvalsoppervlak beperkt.

Wanneer een nieuwe dienst een netwerkpoort nodig heeft, wordt eerst bepaald:

Waarom is de dienst nodig?
Moet deze publiek bereikbaar zijn?
Kan de dienst via Velocity worden aangeboden?
Kan de dienst uitsluitend intern luisteren?
Welke bronadressen moeten toegang krijgen?
Welk protocol wordt gebruikt?
Welke firewallregel is noodzakelijk?

Pas daarna wordt de firewall aangepast.

Wanneer een dienst wordt verwijderd, wordt ook de bijbehorende firewallregel verwijderd.

Bijvoorbeeld:

sudo firewall-cmd --permanent --zone=public --remove-port=<PORT>/tcp
sudo firewall-cmd --reload

Daarna:

sudo firewall-cmd --zone=public --list-all

Firewallregels mogen niet blijven bestaan zonder actieve reden.

Structurele wijzigingen worden gedocumenteerd.

Bijvoorbeeld:

Onderdeel	Waarde
Server	`mc-proxy001`
Zone	`public`
Poort	`25565/tcp`
Dienst	Velocity
Bereik	Publiek
Reden	Minecraft-ingangspunt
Status	Actief

Voor Simple Voice Chat:

Onderdeel	Waarde
Server	`mc-proxy001`
Zone	`public`
Poort	`<VOICE_PORT>/udp`
Dienst	Simple Voice Chat
Bereik	Publiek
Backend	Survival / Events / toekomstige servers
Status	Gepland / Actief

Bij iedere wijziging aan de netwerkarchitectuur wordt gecontroleerd of de firewallconfiguratie nog overeenkomt met de gewenste situatie.

Dit geldt bijvoorbeeld bij:

nieuwe game-servers;
nieuwe plugins;
migratie naar een andere VM;
wijziging van IP-adressen;
invoering van Simple Voice Chat;
wijziging van Velocity;
verhuizing naar een andere Proxmox-node;
uitbreiding van monitoring;
nieuwe beheerinterfaces.

Iedere Tulpencraft-server wordt minimaal gecontroleerd op:

[ ] firewalld geïnstalleerd
[ ] firewalld actief
[ ] firewalld ingeschakeld bij boot
[ ] juiste zone vastgesteld
[ ] alleen noodzakelijke services toegestaan
[ ] alleen noodzakelijke poorten toegestaan
[ ] publieke en interne diensten onderscheiden
[ ] luisterende poorten gecontroleerd met ss
[ ] permanente configuratie gecontroleerd
[ ] firewall na reload gecontroleerd
[ ] SSH-toegang getest
[ ] Minecraft-toegang getest
[ ] backendservers niet publiek bereikbaar
[ ] Simple Voice Chat UDP-configuratie gecontroleerd indien van toepassing
[ ] voicechat via de proxy getest indien van toepassing
[ ] firewallwijzigingen gedocumenteerd

De firewall is één onderdeel van de totale beveiligingsarchitectuur.

                    INTERNET
                       │
                       ▼
                ┌─────────────┐
                │  firewalld  │
                └──────┬──────┘
                       │
             ┌─────────┴─────────┐
             │                   │
       TCP Minecraft         UDP Voice
             │                   │
             ▼                   ▼
        ┌────────────────────────────┐
        │       Velocity Proxy       │
        │        mc-proxy001         │
        └─────────────┬──────────────┘
                      │
                      ▼
                    Lobby
                      │
           ┌──────────┼──────────┐
           ▼          ▼          ▼
       Survival     Events    toekomst

Daarbovenop worden onder andere toegepast:

SELinux;
SSH-hardening;
Fail2Ban;
least privilege;
regelmatige updates;
logging;
monitoring;
beperkte netwerktoegang.

Het Tulpencraft-firewallbeleid kan worden samengevat als:

Een service die niet publiek bereikbaar hoeft te zijn, wordt niet publiek bereikbaar gemaakt.

De Velocity Proxy is het centrale toegangspunt.

Backendservers blijven achter de proxy en worden niet zelfstandig aan internet blootgesteld.

Voor Simple Voice Chat wordt dezelfde architectuur gevolgd: de voicechatfunctie wordt via de Velocity Proxy aangeboden, zodat meerdere game-servers gebruik kunnen maken van voicechat zonder iedere backend afzonderlijk publiek open te zetten. De officiële Simple Voice Chat-proxyondersteuning is hier specifiek voor ontworpen.

Tulpencraft firewall baseline

De Tulpencraft-firewall volgt het principe least exposure. Alleen noodzakelijke netwerktoegang wordt toegestaan. De Velocity Proxy vormt het publieke Minecraft-toegangspunt en backendservers worden niet rechtstreeks aan het publieke internet blootgesteld.

Firewall

Firewallarchitectuur

Externe poorten

Minecraft

Simple Voice Chat

Votifier / NuVotifier

MySQL / MariaDB

Backend Minecraft-servers

SSH

firewalld

Poort tijdelijk openen

Poort permanent openen

Voorbeeld: Simple Voice Chat

Voorbeeld: Votifier

MySQL intern toestaan

Default-deny principe

Geen directe backendtoegang

Toekomstige infrastructuur

Firewallwijzigingen documenteren

🎯 Doel

🌐 Netwerkarchitectuur

🔥 Firewalld

🗂️ Zones

🌍 Public zone

🚪 Proxy-firewall

🔐 SSH

🏠 Backendservers

🏠 Lobby

🧱 Survival

🎮 Events

📦 Services versus poorten

⚠️ Runtime versus permanent

Runtime

Permanent

🔍 Firewallconfiguratie controleren

👀 Luisterende poorten controleren

🧪 Nieuwe poort openen

🗑️ Poort verwijderen

🔒 Bron-IP beperken

📝 Logging

🛡️ Firewall en Fail2Ban

🔄 Wijzigingen documenteren

📋 Firewall-baseline

🌷 Tulpencraft firewallbeleid

🔗 Gerelateerde documentatie

🔥 Firewalld

🗂️ Zones

🌍 Public zone

🚪 Proxy-firewall

🔐 SSH

🏠 Backendservers

🏠 Lobby

🧱 Survival

🎮 Events

📦 Services versus poorten

⚠️ Runtime versus permanent

Runtime

Permanent

🔍 Firewallconfiguratie controleren

👀 Luisterende poorten controleren

🧪 Nieuwe poort openen

🗑️ Poort verwijderen

🔒 Bron-IP beperken

📝 Logging

🛡️ Firewall en Fail2Ban

🔄 Wijzigingen documenteren

📋 Firewall-baseline

🌷 Tulpencraft firewallbeleid

🔗 Gerelateerde documentatie

🔥 Firewalld

🗂️ Zones

🌍 Public zone

🚪 Proxy-firewall

🔐 SSH

🏠 Backendservers

🏠 Lobby

🧱 Survival

🎮 Events

📦 Services versus poorten

⚠️ Runtime versus permanent