De Tulpencraft-servers gebruiken firewalld als host-based firewall.

De firewall vormt samen met de netwerkarchitectuur, SELinux, SSH-hardening, Fail2Ban en de toegangsbeperkingen van de backendservers een belangrijke beveiligingslaag binnen Tulpencraft.

Het uitgangspunt is eenvoudig:

Alleen netwerkverkeer toestaan dat daadwerkelijk noodzakelijk is.

Een service die lokaal draait, betekent niet automatisch dat deze vanaf het netwerk bereikbaar moet zijn.

Tulpencraft gebruikt een centrale Velocity Proxy als toegangspunt tot het Minecraft-netwerk.

De gewenste netwerkarchitectuur is:

                         INTERNET
                            │
                 ┌──────────┴──────────┐
                 │                     │
             TCP 25565             UDP voice
                 │                     │
                 ▼                     ▼
          ┌─────────────────────────────────┐
          │         Velocity Proxy          │
          │           mc-proxy001           │
          └────────────────┬────────────────┘
                           │
                           ▼
                         Lobby
                           │
              ┌────────────┼────────────┐
              ▼            ▼            ▼
           Survival      Events      toekomst

Spelers verbinden dus niet rechtstreeks met de backendservers.

De normale Minecraft-verbinding verloopt via:

Speler
   │
   ▼
Velocity
   │
   ▼
Lobby
   │
   ▼
Game server

Ook voicechat wordt zoveel mogelijk via de proxyarchitectuur afgehandeld.

De host-firewall wordt verzorgd door firewalld.

Status controleren:

sudo firewall-cmd --state

Verwachte uitvoer:

running

Service controleren:

sudo systemctl status firewalld

Controleren of firewalld automatisch start:

sudo systemctl is-enabled firewalld

Firewalld werkt met zogenaamde zones.

Een zone bepaalt welk vertrouwensniveau aan een netwerkinterface of bron wordt gekoppeld en welke services en poorten daar toegestaan zijn.

De standaardzone:

sudo firewall-cmd --get-default-zone

Actieve zones:

sudo firewall-cmd --get-active-zones

Configuratie van de actieve zone:

sudo firewall-cmd --list-all

Alle zones:

sudo firewall-cmd --list-all-zones

Voor een publiek bereikbare Tulpencraft-proxy wordt doorgaans de public zone gebruikt.

De publieke netwerkinterface van de proxy mag alleen de diensten aanbieden die daadwerkelijk vanaf internet noodzakelijk zijn.

Voor de huidige Tulpencraft-architectuur zijn dat in principe:

De exacte voicechatpoort wordt verderop beschreven.

De Minecraft-ingang van Tulpencraft is:

TCP 25565

Deze poort wordt door Velocity gebruikt.

Openen:

sudo firewall-cmd --permanent --zone=public --add-port=25565/tcp
sudo firewall-cmd --reload

Controleren:

sudo firewall-cmd --zone=public --list-ports

De poort moet alleen op het daadwerkelijke publieke toegangspunt worden geopend.

Backendservers krijgen niet automatisch een publiek toegankelijke 25565/tcp.

Tulpencraft wil Simple Voice Chat ondersteunen op Survival en toekomstige game-servers.

Simple Voice Chat biedt onder andere:

• proximity voice chat;
• push-to-talk;
• voice activation;
• configureerbare voice distance;
• whispering;
• individuele volumeregeling;
• groepsgesprekken.

De client gebruikt hiervoor een aparte UDP-verbinding. De standaard serverpoort van Simple Voice Chat is 24454/UDP.

Omdat Tulpencraft gebruikmaakt van Velocity, wordt Simple Voice Chat niet per game-server afzonderlijk publiek aangeboden.

De officiële Simple Voice Chat-proxyconfiguratie ondersteunt Velocity en kan voicechatverkeer naar de juiste backendserver doorsturen. Daardoor is slechts één publieke UDP-poort op de proxy nodig.

De gewenste architectuur is:

                    INTERNET
                       │
                       │ UDP
                       ▼
             ┌───────────────────┐
             │  Velocity Proxy   │
             │   Voice Proxy     │
             └─────────┬─────────┘
                       │
          ┌────────────┼────────────┐
          ▼            ▼            ▼
       Survival      Events      toekomst
       Voice Chat    Voice Chat   Voice Chat

Hierdoor blijft het principe behouden dat backendservers niet zelfstandig publiek bereikbaar zijn.

De proxy kan voor Simple Voice Chat een eigen UDP-poort gebruiken.

De officiële proxyconfiguratie gebruikt standaard de Minecraft-proxypoort voor voicechat wanneer port=-1 is ingesteld. De poort kan echter expliciet worden ingesteld.

Voor Tulpencraft verdient een expliciete, gedocumenteerde UDP-poort de voorkeur.

Bijvoorbeeld:

UDP <VOICE_PORT>

De daadwerkelijke poort wordt vastgelegd zodra Simple Voice Chat op de Tulpencraft-proxy wordt geïmplementeerd.

De standaard backendpoort 24454/UDP moet dus niet automatisch als publieke poort op iedere Survival-, Events- of toekomstige game-server worden geopend.

Op iedere Minecraft-server waarop voicechat beschikbaar moet zijn, wordt de Simple Voice Chat serverplugin geïnstalleerd.

De officiële installatie vereist naast de serverplugin ook de Simple Voice Chat-proxyplugin wanneer de server achter Velocity draait.

De gewenste opbouw:

Velocity
└── Simple Voice Chat Proxy
 
Lobby
└── eventueel voicechat
 
Survival
└── Simple Voice Chat
 
Events
└── Simple Voice Chat
 
Toekomstige game-server
└── Simple Voice Chat

Voicechat wordt daarmee een netwerkfunctie van het volledige Tulpencraft-netwerk.

Een belangrijk uitgangspunt van Tulpencraft is dat backendservers niet zelfstandig bereikbaar zijn.

Dus bijvoorbeeld:

Internet
   │
   X
   │
Survival:25565

is niet de gewenste situatie.

In plaats daarvan:

Internet
   │
   ▼
Velocity:25565
   │
   ▼
Survival

Voor voicechat geldt hetzelfde principe:

Internet
   │
   ▼
Velocity UDP voice
   │
   ▼
Survival Voice Chat

De Simple Voice Chat-proxy zorgt ervoor dat het verkeer naar de juiste backend wordt doorgestuurd.

De lobby draait momenteel op dezelfde host als de Velocity Proxy:

mc-proxy001
│
├── Velocity
│
└── Lobby

Dit is onderdeel van de huidige infrastructuurkeuze.

Omdat de lobby lokaal op dezelfde host als Velocity draait, hoeft de lobbypoort niet publiek voor spelers geopend te worden.

De proxy communiceert lokaal met de lobby.

Survival draait als afzonderlijke VM binnen de Proxmox-infrastructuur.

De Survival-server wordt niet als zelfstandig publiek Minecraft-entrypoint aangeboden.

De gewenste verbinding:

Speler
   │
   ▼
Velocity
   │
   ▼
Survival

Voicechat:

Speler
   │
   │ UDP
   ▼
Velocity Voice Proxy
   │
   ▼
Survival Voice Chat

De backend blijft daarmee achter de netwerkgrens van Tulpencraft.

Voor Events geldt hetzelfde model als voor Survival.

Speler
   │
   ▼
Velocity
   │
   ▼
Events

en voor voice:

Speler
   │
   │ UDP
   ▼
Velocity Voice Proxy
   │
   ▼
Events Voice Chat

Een Events-server wordt niet rechtstreeks aan internet blootgesteld tenzij daar bewust een technische reden voor bestaat.

SSH is een beheerinterface en geen Minecraft-netwerkdienst.

Wanneer SSH publiek bereikbaar moet zijn:

sudo firewall-cmd --permanent --zone=public --add-service=ssh
sudo firewall-cmd --reload

Maar waar mogelijk wordt SSH beperkt tot de noodzakelijke beheeromgeving.

SSH wordt daarnaast beschermd door:

• SSH-sleutels;
• geen directe root-login;
• geen wachtwoordauthenticatie;
• Fail2Ban;
• beperkte gebruikersrechten.

Zie:

Server hardening

Firewalld kan zowel vooraf gedefinieerde services als afzonderlijke poorten gebruiken.

Voor standaarddiensten heeft een service de voorkeur:

sudo firewall-cmd --permanent --zone=public --add-service=ssh

Voor applicaties zonder geschikte standaardservice:

sudo firewall-cmd --permanent --zone=public --add-port=25565/tcp

Voor Simple Voice Chat:

sudo firewall-cmd --permanent --zone=public --add-port=<VOICE_PORT>/udp

Daarna:

sudo firewall-cmd --reload

Firewalld kent een runtime- en permanente configuratie.

Een tijdelijke regel:

sudo firewall-cmd --add-port=25565/tcp

wordt direct actief, maar is niet noodzakelijk permanent.

Voor de productiesituatie wordt daarom de permanente configuratie gebruikt:

sudo firewall-cmd --permanent --add-port=25565/tcp
sudo firewall-cmd --reload

Na een wijziging moet altijd worden gecontroleerd of de regel daadwerkelijk actief is.

Volledige configuratie:

sudo firewall-cmd --list-all

Services:

sudo firewall-cmd --list-services

Poorten:

sudo firewall-cmd --list-ports

Actieve zones:

sudo firewall-cmd --get-active-zones

De firewallconfiguratie is slechts één kant van de controle.

Ook moet worden gecontroleerd welke processen daadwerkelijk luisteren:

sudo ss -tulpn

Hiermee kunnen bijvoorbeeld worden gevonden:

TCP 25565
UDP <VOICE_PORT>
TCP 22

Een poort die niet noodzakelijk is, moet bij voorkeur ook niet door een applicatie worden geopend.

Simple Voice Chat gebruikt UDP.

Een algemene TCP-poorttest is daarom niet voldoende om voicechat te controleren.

De Simple Voice Chat-documentatie geeft aan dat UDP connectionless is en daarom niet met normale TCP-portchecks kan worden getest. De plugin beschikt hiervoor over een eigen testmogelijkheid.

In-game kan bijvoorbeeld worden gebruikt:

/voicechat test <PLAYERNAME>

Voor een proxy-opstelling kan daarnaast de voicechat-proxytest worden gebruikt:

/voicechatproxy ping <server>

De officiële documentatie beschrijft deze test voor het controleren van de verbinding tussen de proxy en een backendserver.

Firewalld en Fail2Ban hebben verschillende functies.

                 INTERNET
                     │
                     ▼
              ┌─────────────┐
              │  firewalld  │
              └──────┬──────┘
                     │
                     ▼
                toegestane
                 diensten
                     │
                     ▼
               SSH / overige
                     │
                     ▼
                logbestanden
                     │
                     ▼
              ┌─────────────┐
              │  Fail2Ban   │
              └──────┬──────┘
                     │
                     ▼
                tijdelijke
                  blokkade

Firewalld bepaalt welke netwerktoegang mogelijk is.

Fail2Ban reageert op herhaaldelijk ongewenst gedrag, bijvoorbeeld brute-forcepogingen op SSH.

De firewallconfiguratie wordt afgestemd op de functie van de server.

SSH is hierbij een aparte beheerfunctie en wordt alleen opengesteld wanneer noodzakelijk.

De volgende aanpak wordt vermeden:

25565/tcp  → publiek
24454/udp  → publiek
25566/tcp  → publiek
25567/tcp  → publiek
25568/tcp  → publiek
...

De gewenste situatie is:

                 INTERNET
                    │
          ┌─────────┴─────────┐
          │                   │
      25565/TCP          VOICE/UDP
          │                   │
          ▼                   ▼
       Velocity          Voice Proxy
          │                   │
          └─────────┬─────────┘
                    ▼
               Backendservers

Daarmee wordt het publieke aanvalsoppervlak beperkt.

Wanneer een nieuwe dienst een netwerkpoort nodig heeft, wordt eerst bepaald:

1. Waarom is de dienst nodig?
2. Moet deze publiek bereikbaar zijn?
3. Kan de dienst via Velocity worden aangeboden?
4. Kan de dienst uitsluitend intern luisteren?
5. Welke bronadressen moeten toegang krijgen?
6. Welk protocol wordt gebruikt?
7. Welke firewallregel is noodzakelijk?

Pas daarna wordt de firewall aangepast.

Wanneer een dienst wordt verwijderd, wordt ook de bijbehorende firewallregel verwijderd.

Bijvoorbeeld:

sudo firewall-cmd --permanent --zone=public --remove-port=<PORT>/tcp
sudo firewall-cmd --reload

Daarna:

sudo firewall-cmd --zone=public --list-all

Firewallregels mogen niet blijven bestaan zonder actieve reden.

Structurele wijzigingen worden gedocumenteerd.

Bijvoorbeeld:

Voor Simple Voice Chat:

Bij iedere wijziging aan de netwerkarchitectuur wordt gecontroleerd of de firewallconfiguratie nog overeenkomt met de gewenste situatie.

Dit geldt bijvoorbeeld bij:

• nieuwe game-servers;
• nieuwe plugins;
• migratie naar een andere VM;
• wijziging van IP-adressen;
• invoering van Simple Voice Chat;
• wijziging van Velocity;
• verhuizing naar een andere Proxmox-node;
• uitbreiding van monitoring;
• nieuwe beheerinterfaces.

Iedere Tulpencraft-server wordt minimaal gecontroleerd op:

• [ ] firewalld geïnstalleerd
• [ ] firewalld actief
• [ ] firewalld ingeschakeld bij boot
• [ ] juiste zone vastgesteld
• [ ] alleen noodzakelijke services toegestaan
• [ ] alleen noodzakelijke poorten toegestaan
• [ ] publieke en interne diensten onderscheiden
• [ ] luisterende poorten gecontroleerd met ss
• [ ] permanente configuratie gecontroleerd
• [ ] firewall na reload gecontroleerd
• [ ] SSH-toegang getest
• [ ] Minecraft-toegang getest
• [ ] backendservers niet publiek bereikbaar
• [ ] Simple Voice Chat UDP-configuratie gecontroleerd indien van toepassing
• [ ] voicechat via de proxy getest indien van toepassing
• [ ] firewallwijzigingen gedocumenteerd

De firewall is één onderdeel van de totale beveiligingsarchitectuur.

                    INTERNET
                       │
                       ▼
                ┌─────────────┐
                │  firewalld  │
                └──────┬──────┘
                       │
             ┌─────────┴─────────┐
             │                   │
       TCP Minecraft         UDP Voice
             │                   │
             ▼                   ▼
        ┌────────────────────────────┐
        │       Velocity Proxy       │
        │        mc-proxy001         │
        └─────────────┬──────────────┘
                      │
                      ▼
                    Lobby
                      │
           ┌──────────┼──────────┐
           ▼          ▼          ▼
       Survival     Events    toekomst

Daarbovenop worden onder andere toegepast:

• SELinux;
• SSH-hardening;
• Fail2Ban;
• least privilege;
• regelmatige updates;
• logging;
• monitoring;
• beperkte netwerktoegang.

Het Tulpencraft-firewallbeleid kan worden samengevat als:

Een service die niet publiek bereikbaar hoeft te zijn, wordt niet publiek bereikbaar gemaakt.

De Velocity Proxy is het centrale toegangspunt.

Backendservers blijven achter de proxy en worden niet zelfstandig aan internet blootgesteld.

Voor Simple Voice Chat wordt dezelfde architectuur gevolgd: de voicechatfunctie wordt via de Velocity Proxy aangeboden, zodat meerdere game-servers gebruik kunnen maken van voicechat zonder iedere backend afzonderlijk publiek open te zetten. De officiële Simple Voice Chat-proxyondersteuning is hier specifiek voor ontworpen.

• Technische infrastructuur – Overzicht
• OS-installatie
• Rocky Linux 10
• Server hardening
• SELinux
• systemd
• Monitoring & logging
• Serverinfrastructuur – Overzicht
• Proxy
• Lobby
• Survival
• Simple Voice Chat

Tulpencraft firewall baseline

De Tulpencraft-firewall volgt het principe least exposure. Alleen noodzakelijke netwerktoegang wordt toegestaan. De Velocity Proxy vormt het publieke Minecraft-toegangspunt en backendservers worden niet rechtstreeks aan het publieke internet blootgesteld.