Zo bescherm je een Minecraft-server tegen DDoS-aanvallen

Minecraft-servers worden vaker aangevallen dan bijna elk ander soort gameserver, vaak door verbannen spelers of rivaliserende servers. Er zijn twee soorten aanvallen, en elk vraagt om een andere verdediging. Zo houd je je server online.

Door het Nodewave-team · Bijgewerkt op 4 november 2026

Twee soorten aanvallen

• Netwerkfloods. Enorme hoeveelheden nepverkeer vullen de verbinding van de server tot echte spelers een time-out krijgen. Niets op de server zelf kan ze stoppen, omdat de lijn al vol is voordat het verkeer aankomt.
• Botaanvallen. Duizenden nepspelers proberen in te loggen, of overspoelen de server met statusverzoeken, en gebruiken CPU en geheugen op. Ze lijken op echt Minecraft-verkeer, dus ze hebben limieten nodig in de server en de proxy.

1. Filter floods vóór de server

Kies hosting met DDoS-bescherming op elk IP, het liefst met filtering die Minecraft-verkeer begrijpt, zodat echte spelers er tijdens een aanval nog door komen. Een firewall op de server helpt alleen tegen kleine floods.

2. Houd je echte IP verborgen

• Geef spelers een domeinnaam, geen IP-adres, en laat die naar een beschermd adres wijzen.
• Host je website of panelen niet op hetzelfde IP als de gameserver.
• Is je echte IP al uitgelekt, bijvoorbeeld via oude DNS-records, verander het dan zodra je bescherming staat.

3. Sluit de achterdeur

Een beschermd adres helpt alleen als het echte niet meer antwoordt. Verwijder elke regel die de gamepoort voor iedereen opent, en sta hem alleen toe vanaf de adressen van je beschermingsprovider. Op een Velocity- of BungeeCord-netwerk horen de gameservers alleen verbindingen van de proxy te accepteren, nooit van internet.

sudo ufw allow from provider-or-proxy-ip to any port 25565 proto tcp

4. Behoud echte speler-IP's met PROXY protocol

Achter een beschermingsproxy lijkt elke speler van het adres van de proxy te komen, wat IP-bans en anti-cheatcontroles breekt. PROXY protocol geeft het echte IP van elke speler door. Zet het alleen aan als elke verbinding de server bereikt via een proxy die het meestuurt, want directe verbindingen werken daarna niet meer.

• Paper: zet in config/paper-global.yml proxies.proxy-protocol op true.
• Velocity: zet in velocity.toml, onder [advanced], haproxy-protocol = true.
• BungeeCord: zet in config.yml proxy_protocol: true op de listener.

5. Rem botaanvallen af

• Houd online-mode aan, bij een netwerk op de proxy, zodat alleen echte Minecraft-accounts binnenkomen.
• Op Velocity bepaalt login-ratelimit de minimale tijd tussen logins vanaf één IP-adres.
• Een anti-botplugin op de proxy kan nieuwe spelers tegenhouden tijdens een joinflood.
• Zet tijdens een zware botaanval de whitelist aan totdat hij voorbij is.

Tijdens een aanval

1. Bepaal het soort: iedereen die een time-out krijgt met een verkeerspiek is een flood; een console vol logins zijn bots.
2. Noteer het tijdstip en wat spelers zien, en stuur het naar je host.
3. Controleer dat je echte IP niet direct antwoordt.
4. Houd je community op de hoogte via Discord.

Hoe Nodewave helpt

Elke Nodewave-VPS zit zonder meerprijs achter de DDoS-filtering van Gcore. Draait je server ergens anders, dan zet NodeShield er een beschermd adres in Singapore voor, met het Minecraft-filter van Gcore en PROXY protocol, voor Java Edition-servers en Velocity- of BungeeCord-proxy's. Draai je ook FiveM? Lees hoe je een FiveM-server beschermt tegen DDoS-aanvallen.