Помощь Сервер постоянно взламывают, не понимаю в чем дело

Версия ядра сервера

1.16+

Немного о сервере:
Velocity связка, modern режим forwarding'а. (пробовал bungeeguard после первого взлома и не помогло второй раз тоже взломали) (Версия velocity 3.3.0-SNAPSHOT) (Конфиг velocity.txt прикрепил, то что он в txt я сделал чтобы загрузить можно было) (Секретный ключ forwarding.secret никому не давал)
Лобби и анархия на purpur, 1.16.5.
Авторизация на velocity: limboauth + limbofilter (конфиг limboauth прикрепил)
!Важно: firewall на серверах не был настроен, так как у моего хостера закрыть порты ещё то задание. К тому же я сам проверял и заходил на ip и порт анархии напрямую, меня кикало за отсутствие подключения к velocity. Так что вариант взлома через uuid думаю можно отбросить.

1. Первый взлом (Лог со всех серверов в crash_1.txt).
На момент ПЕРВОГО взлома на каждом из серверов 100% был включен velocity-support и правильно вставлен ключ.
В первый раз взломали одного из моих администраторов. (Пароль у него был сложный и его никто не знал кроме него, к тому же взломщик зашел с первой попытки без всяких брут форсов) Я так и не понял что произошло - вроде как он не пропускал авторизацию и не проходил напрямую на сервер. Он даже капчу прошел, после этого как ни в чем не бывало зашел в лобби и на анархию. Это все, что известно про взлом.

2. Второй взлом произошел ещё хуже - в консоли пустота, а у типа меняется префикс на рекламу дискорд сервера ддосеров (тоже самое что и в первый раз). Я не шучу, буквально в консоли не было команды которая бы отвечала за смену префикса или чето типа того.

Я не знаю что делать, уже готов уходить с проекта так как чувствую себя там беспомощным. Я много работал с velocity и bungee p####i но такое вижу впервые. Если нужна доп. информация, или логи - пишите, я постараюсь быстро все отправить.

 

К сожалению, я не могу предоставить помощь по этому вопросу.

 

В чем проблема закрыть порты через ufw
Плагин на аутентификацию какой?

 

В чем проблема закрыть порты через ufw
Плагин на аутентификацию какой?

У меня не дедик я не могу там команды писать, а фаервол в панельке работает через жопу. Ну просто откидывает пакеты даже если они от пркоси идут хотя настроено на обратное.

Плагин на аунтефикацию LimboAuth

Судя по логам первого взлома я подозреваю что проблема не связке и даже не в портах а конкретно в limboauth, так как в логах прямого захода на сервер не было, человек проходил авторизацию. И что ещё более странно прошел ее с uuid spoofer (я знаю что отрицал это в начале но у меня больше нет идей)

 

На бекэнде Paper? При forwarding = modern, на бекэнде в paper-global установлено
proxies.velocity.enabled: true и proxies.velocity.secret?
При первом взломе мог быть скомпрометирован доступ к БД LuckPerms, где и были в дальнейшем изменены права?

 

Немного о сервере:
Velocity связка, modern режим forwarding'а. (пробовал bungeeguard после первого взлома и не помогло второй раз тоже взломали) (Версия velocity 3.3.0-SNAPSHOT) (Конфиг velocity.txt прикрепил, то что он в txt я сделал чтобы загрузить можно было) (Секретный ключ forwarding.secret никому не давал)
Лобби и анархия на purpur, 1.16.5.
Авторизация на velocity: limboauth + limbofilter (конфиг limboauth прикрепил)
!Важно: firewall на серверах не был настроен, так как у моего хостера закрыть порты ещё то задание. К тому же я сам проверял и заходил на ip и порт анархии напрямую, меня кикало за отсутствие подключения к velocity. Так что вариант взлома через uuid думаю можно отбросить.

1. Первый взлом (Лог со всех серверов в crash_1.txt).
На момент ПЕРВОГО взлома на каждом из серверов 100% был включен velocity-support и правильно вставлен ключ.
В первый раз взломали одного из моих администраторов. (Пароль у него был сложный и его никто не знал кроме него, к тому же взломщик зашел с первой попытки без всяких брут форсов) Я так и не понял что произошло - вроде как он не пропускал авторизацию и не проходил напрямую на сервер. Он даже капчу прошел, после этого как ни в чем не бывало зашел в лобби и на анархию. Это все, что известно про взлом.

2. Второй взлом произошел ещё хуже - в консоли пустота, а у типа меняется префикс на рекламу дискорд сервера ддосеров (тоже самое что и в первый раз). Я не шучу, буквально в консоли не было команды которая бы отвечала за смену префикса или чето типа того.

Я не знаю что делать, уже готов уходить с проекта так как чувствую себя там беспомощным. Я много работал с velocity и bungee p####i но такое вижу впервые. Если нужна доп. информация, или логи - пишите, я постараюсь быстро все отправить.

Просто закрой порты, это правило буквально основа безопасности в интернете, то что тебя кикало это вообще не аргумент. Тебе даже в логах лп пишет что челик зашел с другим uuid, так называемый юид спуфинг, он напрямую на порт бекенда зашел минуя велосити. Так же еще одно подтверждение, айпи с которого он зашел вообще левое, не из твоего конфига велосити. Ну и тем более у тебя лобби и анархия на 2 разных айпи адрессах, то есть на двух разных машинах, в таких связках файрвол это жизненно необходимая вещь, так как трафик между бэком и велосити идет через открытый интернет.