¿Cómo protejo los backends en modo offline (BungeeGuard / firewall)?

Cuando ejecutas una red con BungeeCord o Velocity, tus servidores backend funcionan en modo offline (crackeado) para que el proxy se encargue de la autenticación. Esa comodidad conlleva un riesgo: cualquiera que conozca la IP:port de un backend podría conectarse directamente y suplantar a cualquier jugador, incluido tu personal. Proteger esos backends es el paso más importante al montar una red con proxy.

Por qué los backends en modo offline necesitan protección

El proxy autentica a los jugadores con Mojang y luego los reenvía a un backend. Como el backend confía en lo que le diga el proxy, una conexión directa que se salte el proxy puede hacerse pasar por cualquier nombre de usuario. BungeeGuard cierra ese hueco exigiendo un token secreto compartido: un backend rechazará cualquier conexión que no presente el token del proxy.

Cómo proteger tus backends

1. Instala BungeeGuard en el proxy y en cada servidor backend, configurándolos para compartir el mismo token secreto. Así, los backends rechazarán cualquier conexión que no lleve ese token.
2. Activa el reenvío de BungeeCord en cada backend. En los backends Spigot/Paper, define bungeecord: true en spigot.yml. En Velocity, usa el ajuste equivalente player-info-forwarding para que el proxy y los backends coincidan en cómo se transmiten los datos de los jugadores.
3. Mantén privadas las direcciones de tus backends. No publiques ni compartas los valores de IP:port de los backends: solo la dirección del proxy debe ser pública.

Advertencia: Nunca expongas un backend en modo offline sin BungeeGuard o un secreto de reenvío configurado. Es el paso de seguridad principal de cualquier red, y omitirlo deja tus servidores abiertos a la suplantación.

Preguntas frecuentes

¿Necesito BungeeGuard tanto en el proxy como en los backends? Sí. El token debe coincidir en el proxy y en cada backend para que los backends puedan verificar que las conexiones llegan a través de tu proxy.

Uso Velocity, no BungeeCord, ¿esto sigue aplicando? Sí. Velocity usa su propia configuración player-info-forwarding, y el reenvío con secreto al estilo BungeeGuard sigue aplicando. El principio es idéntico: los backends solo deben confiar en las conexiones que lleven tu secreto.

¿Un firewall no basta para proteger los backends? Restringir los puertos de los backends ayuda, pero la solución fiable y portable es BungeeGuard junto con un reenvío adecuado. Si necesitas ayuda para blindarlo todo, abre un ticket y nuestro equipo lo revisará contigo.