游戏服火了就会被盯上：同行搞你、输了服的玩家搞你、脚本小子扫到你就搞你。这篇讲游戏服最常见的四类攻击（流量型 DDoS、连接耗尽、RCON 爆破、查询端口滥用）的识别方法和分层防御——从机房级到系统级到游戏配置级，全部可落地。

先说结论：个人机房挡不住大流量 DDoS，但 90% 的"被攻击"是连接耗尽和爆破，这些系统级就能防。

本文由财富云计算整理，我们主营 NAT 型云服务器（无独立公网 IP），价格比独立 IP 机型省一半以上。更多开服教程见端口速查表。

一、四类攻击长什么样

识别第一步永远是看日志和看流量，别急着重启（重启丢证据）。

# 实时看带宽
iftop -i eth0        # 或 nload
# 看连接数
ss -s
# 看谁在连游戏端口
ss -unp | grep :2456
# 系统日志里的爆破痕迹
grep -i "invalid\|failed\|auth" /var/log/auth.log | tail -50

系统级监控部署见游戏服监控实战。

二、流量型 DDoS：分层防御

2.1 机房级（最有效）

几十 G 的 UDP Flood，个人服务器的带宽（通常 30–100M）瞬间就打满，系统层做任何事都来不及——流量已经占满链路了。真正的解法在机房：

1. 买高防 IP/高防专区：商家提供清洗设备，攻击流量在到你的机器前被滤掉。主流云商都有游戏高防产品，月费几十到几百按防护峰值算。
2. NAT 型用户的特殊风险：共享出口 IP 意味着别人被打可能连累你（同 IP 段被攻击时商家可能封整段）。公共服建议独立 IP + 高防，好友服 NAT 型先用着，被连坐再加购（NAT 实测第六节）。

2.2 系统级（缓解小规模）

小规模扫描和低速攻击，iptables 能挡：

# 游戏端口限速：单 IP 每秒最多 30 个新连接（UDP）
iptables -N GAME_LIMIT
iptables -A INPUT -p udp --dport 2456:2458 -m conntrack --ctstate NEW \
  -m limit --limit 30/s --limit-burst 60 -j ACCEPT
iptables -A INPUT -p udp --dport 2456:2458 -m conntrack --ctstate NEW -j DROP

# 连接数上限：单 IP 最多 50 个并发连接
iptables -A INPUT -p udp --dport 2456:2458 -m connlimit --connlimit-above 50 -j DROP

（端口按你的游戏改，各游戏端口见端口速查表。）

注意：游戏本身是高频小包协议，限速阈值设太严会把正常玩家一起限了。先观察正常日的连接速率（ss -s 每小时看一次），取峰值的 2–3 倍做阈值。

2.3 游戏配置级

• 能设 maxping 的游戏设上（过滤高延迟扫描流量）
• 开密码，扫描成本立刻上升
• Steam 查询端口不映射（牺牲列表可见性换安静），好友服直连 IP 就行

三、连接耗尽：专治"假满人"

攻击者用工具疯狂发起半连接，游戏服 slot 被占满，真人进不去。特征：服显示满人，但游戏内一个人没有。

防御组合拳：

1. conntrack 限制（见上，最有效）

2. 游戏侧：大部分游戏不能限连接速率，但可以：

• MC 用 Paper 的 connection-throttle 配置
• Rust 用 Oxide 插件限制单 IP 连接数
• 通用办法：白名单制，没有密码+白名单的服就是靶子

3. 缩短超时：系统层调低半连接超时，让假连接自己消失：

# 查看当前
sysctl net.netfilter.nf_conntrack_tcp_timeout_syn_sent
# 调短到 60 秒（默认 120）
sysctl -w net.netfilter.nf_conntrack_tcp_timeout_syn_sent=60

4. 极端情况临时切端口：被持续针对时，改游戏端口 + 改 NAT 映射，攻击者流量全部落空，你群公告新端口即可。这是"打游击"解法，见效快。

四、RCON/Telnet 爆破：专治"服被接管"

每天都有大量扫描器在全球扫 27015（Rust RCON）、8081（七日杀 Telnet）、25575（MC RCON）等管理端口，试弱密码。你的 rcon.password 是 123456，一周内必被拿下——被拿下后攻击者 ban 你所有玩家、清你配置、拿你机器当跳板。

防御：

# 1. 强密码：32 位随机
openssl rand -base64 24

# 2. 管理端口不映射公网（最有效），自己管的时候走 VPN/跳板
#    WireGuard 进内网再连 RCON：
#    https://z0w.cn/wiki/wireguard-vpn-guide.html

# 3. 如果必须公网，iptables 限速 + fail2ban
iptables -A INPUT -p tcp --dport 27015 -m state --state NEW \
  -m recent --set --name RCON
iptables -A INPUT -p tcp --dport 27015 -m state --state NEW \
  -m recent --update --seconds 60 --hitcount 5 --name RCON -j DROP

日志里看到连续 bad rcon password / authentication failed，就是正在被爆破。此时：确认密码强度 → 看有没有异常登录成功 → 有就全盘查（服务器被入侵响应、安全应急响应手册）。

Rust 服 RCON 安全专题见Rust 开服指南第六节。

五、查询端口滥用

Steam 查询端口（UDP）被刷会导致服务器列表延迟、玩家搜不到。防御：

# 查询端口限速（比游戏端口严，正常查询频率不高）
iptables -A INPUT -p udp --dport 27016 -m limit --limit 100/s --limit-burst 200 -j ACCEPT
iptables -A INPUT -p udp --dport 27016 -j DROP

被刷列表掉线时玩家体感是"服务器时有时无"，配合状态监控页能区分"服挂了"和"被刷了"。

六、被打了的应急响应流程

真被打的时候，按这个顺序：

1. 确认不是自己炸了：看带宽（iftop）、看日志、看服务进程。天塌下来先别背错锅。
2. 止损：SSH 进去 → 防火墙临时只放行白名单 IP 和必要端口 → 观察是否恢复
3. 取证：ss -s、iftop、日志截图，找商家工单要用
4. 找商家：流量型攻击让商家上清洗/高防，个人扛大流量是物理定律问题不是技术问题
5. 恢复：攻击停了逐步放开策略，公告玩家
6. 复盘：补密码、补限速规则、补白名单，写进服务器检查清单

游戏服安全基线（被攻击前就该做的）见安全基线检查清单：SSH 密钥登录、禁 root 直登、最小端口暴露、强密码全覆盖。这套做完，90% 的"攻击"到不了你的游戏进程。

七、常见问题

Q1：怎么知道是被打还是网络波动？
打的特征：带宽/连接数阶跃式暴涨且持续，玩家同一时间集体掉线。波动是渐变的、个例的。

Q2：高防 IP 贵吗？
按防护峰值和带宽计费，游戏服常见 30–100G 防护档位月费几十到几百。公共服值得买，好友服先靠密码+白名单+限速扛。

Q3：NAT 型被打会怎样？
打的是共享出口 IP，影响同段所有用户，商家会处理整段——你可能是"受害者里的受害者"。这就是公共服建议独立 IP 的原因。

Q4：攻击者能偷到我的存档吗？
DDoS 偷不了，但 RCON 爆破成功 = 服被接管，间接能读文件。密码强度是存档安全的一部分。

Q5：日志被刷爆了怎么办？
logrotate 限大小，iptables 在前面挡，双管齐下：

# /etc/logrotate.d/gameserver
/opt/*/logs/*.log {
  daily
  rotate 7
  compress
  missingok
}

Q6：防完攻击玩家还是抱怨卡？
查是不是误伤了正常流量（限速阈值太低），或者纯粹是配置不够/世界太大（配置估算、资源排查）。

八、小结

游戏服安全的性价比排序：强密码 + 管理端口不裸奔 > 密码/白名单 > iptables 限速 > 高防 IP。前两条零成本解决九成问题，第三条解决大部分扫描骚扰，第四条是最后的钞能力。记住：被打了先看日志再甩锅给网络，绝大部分"灵异事件"在 auth.log 里都有答案。

公共服想上高防、独立 IP，可以看看财富云计算——NAT 型无独立公网 IP 价格比独立 IP 机型省一半以上，也支持加购独立 IP 和高防，按需组合。更多安全运维内容见网络安全专题。

相关阅读：服务器安全基线清单 · 服务器被入侵响应 · SSH 安全加固 · 端口暴露最小化 · 安全组配置实战

延伸阅读

1. 高防误区与避坑清单：25 个坑+下单前必问 14 问+到货验货流程
2. DNS 攻击防护专题：劫持、隧道、投毒、放大四类攻击与 DNSSEC
3. 电商大促防攻击预案：T-14 到当天的分级响应与降级开关
4. 源站真实 IP 隐藏完全指南：六大暴露面排查+NAT 型终极方案
5. 日志分析找攻击源：Nginx 日志三维度分析法与证据固定
6. 攻击应急响应手册：六阶段响应流程，从确认到复盘的照做清单
7. iptables 抗 DDoS 配置模板：状态过滤+SYN 防护+防扫描+游戏服版
8. OpenResty Lua 自研 WAF：动态限流+攻击特征检测+Redis 黑名单

更多阅读

1. 上一篇：游戏服自动更新实战：定时检查+自动重启+失败回滚的完整脚本
2. 下一篇：游戏服状态监控页搭建：给玩家看的实时在线人数+延迟+版本页