MineGuard, TCPShield или NeoProtect: какую защиту Minecraft-сервера от DDoS и ботов выбрать

Первый признак обычно приходит не из графиков, а из чата Discord: «сервер лагает», «меня выкинуло», «кто-то зашёл с ником из двенадцати случайных букв». Дальше админ открывает консоль и видит либо сотни подключений в секунду с одинаковым поведением, либо просто пустоту, потому что ядро уже не отвечает. Мы на Gamely видим такие истории каждый день и знаем, что происходит после: владелец ищет защиту в разгар атаки, когда времени на сравнение уже нет.

Этот текст написан для того, чтобы сравнение случилось заранее. Объёмный флуд на сеть наше оборудование Juniper гасит само, а вот ботов, которые заходят на сервер пачками с валидным хендшейком, сетевая железка не отличит от живых игроков. Она не читает протокол Minecraft. Для этого нужен внешний фильтр, и в 2026 году на слуху три имени: TCPShield, NeoProtect и MineGuard. Данные по TCPShield и NeoProtect взяты с их официальных сайтов на сентябрь 2026, по MineGuard с сайта сервиса плюс наш опыт работы с панелью.

Быстрый ответ: кому какая защита от DDoS и ботов подходит

Если читать некогда, вот выжимка. Три сервиса делают одно и то же: вы меняете DNS-запись домена, игроки идут на фильтрующую сеть, а до вашего IP доходит только чистый трафик. Все три закрывают L3, L4 и L7, все работают с BungeeCord и Velocity, у всех есть бесплатный тариф. Разница в другом.

Что мы видим на серверах клиентов: боты по ночам и TPS в полу

Объёмная атака на канал заметна первой и разбирается проще всего. Сервер пропадает целиком: не отвечает ни консоль, ни панель, в мониторингах красный пинг, на графике трафика вертикальная стена. Игроки не жалуются на лаги, они просто не могут зайти. Это уровни L3 и L4: SYN-флуд, UDP-амплификация, мусор на открытый порт. Такие вещи хостинг гасит на уровне сети, о чём подробнее в следующем разделе.

Куда неприятнее вторая картина. Сервер жив, TPS падает, онлайн за минуту вырастает до потолка слотов, а в консоли сплошным потоком идут строки о входе и выходе игроков с никами вроде xKj3_pl9Q или по одному шаблону с цифрами на конце. За каждым таким входом стоит загрузка чанков, запрос скина, проверка в плагине авторизации и событие для десятка других плагинов. Сотня логинов в секунду кладёт ядро быстрее любого флуда пакетами, при этом с точки зрения сети всё выглядит прилично: обычные TCP-соединения, обычные размеры пакетов. Настоящие игроки в это время получают сообщение о том, что сервер полон, или вылетают по таймауту.

Есть и третий вариант, который часто путают с проблемами хостинга. В логах тихо, слотов хватает, но процессор загружен, а пинг в списке серверов у игроков прыгает. Это флуд статусными запросами: сервер пингуют тысячи раз в секунду, и каждый раз ядро собирает MOTD, иконку и список онлайна. Против него помогает кэш MOTD на стороне фильтра: он отдаёт статус сам, не тревожа ваш сервер.

Самая хитрая разновидность выглядит почти как обычный вечер пятницы. Боты заходят с нормальными никами, регистрируются в AuthMe, ходят по спавну, иногда пишут в чат. Выдаёт их статистика: регистрации за час выросли в десять раз, доля новых игроков с одного ASN зашкаливает, версия клиента у всех одна и та же. Такие атаки ловятся не по объёму, а по поведению, и здесь эвристика фильтра либо срабатывает, либо нет. Время атак почти всегда одно и то же: ночь по Москве, выходные, старт ивента или вайпа. Источник часто не хакер, а обиженный игрок, купивший запуск ботов в Telegram-канале.

Что хостинг гасит сам, а что не может по определению

Сетевая защита хостинга работает с заголовками пакетов: адрес источника, порт, флаги TCP, размер, частота. Всё, что не похоже на нормальный трафик, отбрасывается на скорости линии, поэтому объёмные атаки хостинг переживает, не поднимая тикет. Клиентам Gamely мы говорим прямо: этот слой у нас есть, и его хватает для L3 и L4. Но бот открывает обычное TCP-соединение, шлёт корректный handshake с правильной версией протокола и пакет login start с ником. Ни один маршрутизатор не знает, что такое handshake и почему пятьсот логинов в секунду с одной подсети это плохо. Лимит подключений с одного IP тоже не спасает: ботнет приходит с тысяч адресов по одному-два соединения с каждого. Чтобы отличить бота от игрока, нужно разбирать протокол Minecraft на уровне приложения, а это уже не задача сети хостинга.

Именно эту работу берёт на себя внешний фильтр, и по устройству все три сервиса похожи. Вы меняете DNS-запись домена так, чтобы она указывала на сеть фильтра, а в панели прописываете реальный IP и порт бэкенда. Игрок резолвит домен, получает адрес узла фильтра и открывает к нему TCP-сессию. Узел разбирает хендшейк, решает, пропускать или нет, и уже от своего имени открывает соединение к вашему серверу. По сути это реверс-прокси уровня L7 под игровой протокол. Ставить на сервер ничего не нужно; чтобы видеть настоящие IP игроков вместо адреса фильтра, включаете Proxy Protocol в BungeeCord, Velocity или через плагин. Прокси-ядра, Proxy Protocol и вход по домену без порта через SRV умеют все трое; у MineGuard нужные записи за вас прописывает DNS Wizard.

Отсюда два следствия, о которых редко пишут в обзорах. Первое: раз игрок теперь ходит через узел фильтра, каждый его пакет делает дополнительный путь до этого узла и обратно. Когда узел в Москве, а игрок в Казани, разница почти незаметна. Когда узел во Франкфурте, а игрок в Новосибирске, крюк по пингу измеряется десятками миллисекунд. Второе: фильтр защищает только домен. Если старый реальный IP сервера уже известен атакующим (утёкший лог, старая запись в мониторинге, плагин, который его показывал), адрес придётся сменить или закрыть порт для всех, кроме сети защиты, иначе фильтр будут просто обходить.

Anycast или GeoDNS: почему география узла решает пинг игроков из РФ и СНГ

Здесь сервисы расходятся по-настоящему. Отправить игрока на ближайший узел можно двумя способами.

Anycast. Один и тот же IP-адрес анонсируется по BGP сразу из десятков точек присутствия, и маршрутизаторы интернета сами доставляют пакет в ближайшую по топологии. Так работает TCPShield: 50+ точек обмена трафиком, пиринг с 250+ сетями, узлы в Европе, Северной Америке и Азии, и заявление, что большинство игроков находятся в пределах 30 мс от узла. Тонкость в слове «по топологии»: BGP считает автономные системы, а не километры, и качество маршрута из региона зависит от того, есть ли там узел и пиринг. В России узлов у TCPShield нет, ближайший стоит во Франкфурте.

GeoDNS. Домен один, но DNS-сервер отдаёт разный IP в зависимости от региона, из которого пришёл запрос. Так устроен MineGuard: игроку из Москвы отдаётся московский узел, игроку из Берлина немецкий. Узлов у MineGuard три: Москва (несколько дата-центров, для РФ и СНГ), Германия (платные тарифы) и Чехия (бесплатный тариф). Америки и Азии в этом списке нет, и для проекта с аудиторией в США это сразу закрывает вопрос не в пользу MineGuard. NeoProtect держит узлы в Европе, ближайшие к РФ примерно в Варшаве и Франкфурте, российских точек тоже нет.

Теперь маршрут для типового русскоязычного проекта: сервер в Москве, игроки в России, Беларуси, Казахстане. С европейским узлом пакет от игрока из Казани сначала уходит во Франкфурт, проходит проверку, возвращается в Москву на бэкенд, и ответ идёт тем же крюком обратно. Граница пересекается четыре раза на каждый пакет. С московским узлом фильтр стоит в том же городе, что и сервер, и добавка сводится к обработке на самом узле: MineGuard заявляет среднюю задержку фильтра меньше 1 мс. Для выживания лишние десятки миллисекунд не критичны. В PvP, анархии и мини-играх их чувствуют сразу, и жалобы «после защиты стало лагать» мы на хостинге слышим именно от тех, кто поставил европейский фильтр перед московским сервером. Если же ядро аудитории в Европе, короткий маршрут дадут все три, а точек у TCPShield и NeoProtect там больше.

TCPShield: ветеран с самой большой сетью

Для международного проекта эти минусы мелочи. Для сервера с аудиторией в СНГ каждый пункт превращается в отдельную головную боль, и первым её замечают игроки в PvP.

NeoProtect: GameShield и ставка на антибот

Для проекта из СНГ NeoProtect упирается в то же, что и TCPShield: узел за границей и оплата в чужой валюте. Разница лишь в том, что счёт выходит заметно меньше.

MineGuard: узлы в Москве, веб-капча и оплата в рублях

Сеть в целом меньше, чем у TCPShield с его полусотней точек обмена трафиком, а цифры про 2 500+ серверов и 150 млн+ ботов взяты с сайта сервиса, независимой проверки у них нет. Зато для проекта, где почти весь онлайн заходит из России и Казахстана, узлы в Северной Америке и Азии не дают ничего, кроме строчки в счёте.

Капча Minecraft в браузере против антибота: где проходит граница

Обычный антибот работает по эвристике: считает подключения с одного IP, смотрит на скорость логинов, сверяет версию клиента и поведение при реконнекте. Против дешёвых ботов этого хватает. Против ботнета, который эмулирует настоящий клиент Minecraft с правильными пакетами, задержками и даже движением, эвристика начинает ошибаться в обе стороны: либо пропускает ботов, либо режет живых игроков с мобильного интернета и из общих подсетей.

Любая проверка, ответ на которую лежит в пакете, обречена. Классические антибот-плагины просят игрока подвигаться, ввести команду или пройти по блокам. Бот, написанный под конкретный сервер, читает координаты из входящих пакетов и отвечает быстрее человека. Нужна проверка, которую нельзя пройти без того, чего у бота нет. У бота нет браузера.

На этом построена веб-капча MineGuard: подозрительное подключение попадает не на сервер, а в лимбо-мир на стороне фильтра, и видит в чате ссылку. Человек открывает её, решает простое задание в браузере, возвращается в игру и проходит на сервер. Скрипт, умеющий только говорить по протоколу Minecraft, до этой страницы не доберётся. Проверка включается автоматически при подозрительной активности или вручную, есть 6 типов заданий, 20+ тем оформления, свой логотип, фон, цвета, тексты на 8 языках и ссылка на Discord, чтобы страница выглядела как часть проекта, а не как чужой редирект. Вторая, более лёгкая проверка работает внутри игры: игроку выдаётся карта в руке, на которой ответ нарисован пикселями, и его тоже нельзя прочитать из пакета. Она доступна с тарифа Стартовый, веб-капча с Оптимального за 2 790 ₽.

У конкурентов ситуация такая. TCPShield отдельной веб-капчи как продукта не имеет, но есть verification server, их аналог проверки игроков, и он входит только в Enterprise за 250 $ в месяц. NeoProtect веб-проверку не предлагает вовсе и делает ставку на адаптивный антибот. Это не плохо и не хорошо, просто другой подход: NeoProtect быстро реагирует на всплеск и не требует от игрока никаких действий, но и барьера, который бот не пройдёт в принципе, там нет.

MineGuard vs TCPShield vs NeoProtect: сводная таблица по 22 критериям

В ячейках указан тариф, с которого функция доступна, и его цена по данным официальных сайтов на сентябрь 2026. Цены NeoProtect ориентировочные, точные показываются в панели при заказе.

Таблица прокручивается вправо

Наполнение тарифов у всех троих периодически перетряхивают, поэтому перед оплатой загляните на страницу тарифов сервиса. Курс для пересчёта в рубли округлён: 90 ₽ за доллар и 100 ₽ за евро.

Сколько стоит антиддос для Майнкрафта: считаем типовой набор в рублях

Сравнивать стартовые цены бессмысленно: бесплатные тарифы есть у всех, но долго на них никто не сидит. Считаем набор, который просит средний проект на пару сотен онлайна: антибот, блокировка VPN, файрвол по IP и странам, уведомления об атаке, желательно в Telegram. Курсы берём округлённо, к моменту вашего чтения они наверняка уехали.

Разница между 860 ₽ и 9 000 ₽ за один и тот же по смыслу набор объясняется не тем, что TCPShield плохой. Вы платите за глобальную anycast-сеть, которой у MineGuard нет. Вопрос только в том, нужна ли она вашим игрокам.

Две отдельные статьи расходов, Bedrock и веб-капча, разобраны в сценарии про RP-сервер и в разделе о капче. Если коротко: по Bedrock дешевле NeoProtect, по капче MineGuard, а у TCPShield и то и другое начинается со 100 $ и 250 $ соответственно.

Скрытые расходы тоже есть. Оплата в долларах и евро с российской карты обычно означает посредника и комиссию. Перерасход трафика у MineGuard около 300 ₽ за терабайт, у TCPShield лимит снимается только с Premium. Тем, кто уже платит за защиту, полезно знать про акцию: MineGuard даёт два месяца бесплатно на Стартовом или Оптимальном при переезде с активного платного TCPShield или NeoProtect и помогает с переносом настроек. Если аудитория у вас в СНГ, это дешёвый способ сравнить пинг на живых игроках, ничего не теряя.

Четыре типовых сервера и что мы советуем каждому

Анархия с PvP и аудиторией из РФ и СНГ

Один из самых атакуемых типов проектов на нашем хостинге: заказ ботов после проигранного боя здесь обычное дело. Одновременно самый чувствительный к пингу режим, лишние десятки миллисекунд решают исход дуэли. Нужен узел рядом с игроками и гибкие правила никнеймов, потому что боты на анархии часто идут с ником по шаблону. MineGuard Стартовый за 860 ₽ это закрывает: Москва, regex по никам, файрвол по странам, внутриигровая проверка. С VPN-блокировкой аккуратнее: часть честных игроков анархии сидит через VPN, включайте её только во время атаки. Если аудитория американская, ответ другой: TCPShield и его сеть в Северной Америке.

Сеть мини-игр с лобби и десятком бэкендов

Здесь важны число бэкендов за одним доменом и поведение фильтра при пиковом онлайне, когда сотни честных игроков заходят одновременно и сами выглядят как атака. TCPShield Premium за 100 $ даёт 3 сети и 25 доменов, у NeoProtect балансировка с health checks идёт с платных тарифов, а адаптивный антибот хорошо держит рывки онлайна. MineGuard Оптимальный за 2 790 ₽ даёт 25 бэкендов, группы бэкендов, 30 дней истории атак и веб-капчу, которую можно включать только на время наплыва. Для русскоязычной сети мы бы смотрели на него, для европейской с ограниченным бюджетом на NeoProtect.

RP-сервер с игроками на Bedrock

Ролевые проекты живут с телефонной аудиторией через Geyser, и это меняет экономику. У TCPShield Bedrock открывается с Premium за 100 $, у NeoProtect уже на Universal примерно за 15 €, у MineGuard с Оптимального за 2 790 ₽. По цене входа в Bedrock для европейской аудитории NeoProtect впереди без оговорок. Если игроки в основном из России, к цене добавляется пинг до Варшавы для каждого телефона, оплата в евро и поддержка на английском, и картина выравнивается. Плюс RP-серверам нужен голосовой чат: PlasmoVoice у MineGuard со Стартового, у TCPShield с Pro, у NeoProtect голосовые прокси только в Enterprise.

Маленький сервер для друзей

Тут мы советуем не переплачивать. С включённым whitelist бот-атака серверу не страшна, ядро отбивает чужие ники на логине, а объёмный флуд гасит хостинг. Если whitelist не хочется, смотрите на нулевые тарифы: у NeoProtect Basic есть базовый антибот L7, у TCPShield Free базовая защита с 1 ТБ трафика, у MineGuard бесплатный тариф даёт только L3 и L4 на чешском узле, антибот начинается с Базового за 390 ₽.

Чек-лист от хостинга: как подключать защиту от ботов Minecraft, чтобы она сработала

Самая частая ошибка, которую мы видим на Gamely: защиту начинают выбирать, когда сервер уже лежит. DNS обновляется не мгновенно, игроки сидят на старом IP, админ на нервах путает записи. Поэтому план ниже рассчитан на спокойный вечер, когда никто не атакует.

1. Соберите свои цифры. Откуда заходят игроки, сколько у вас Bedrock-клиентов, нужен ли PlasmoVoice или Dynmap, сколько логинов в секунду бывает в пиковый вечер. Это ваш список требований к тарифу.
2. Замерьте пинг до подключения. Попросите пять или шесть игроков из разных городов прислать скриншот пинга по F3. Без этой точки отсчёта вы потом не поймёте, стал ли фильтр крюком.
3. Снизьте TTL DNS-записи за сутки до переезда, чтобы переключение прошло быстро и обратимо.
4. Начните с бесплатного тарифа и подключите тестовый домен. Проверьте, что SRV-запись работает, что игроки заходят по домену без порта, что Proxy Protocol передаёт настоящие IP в BungeeCord или Velocity, иначе плагин авторизации увидит у всех один адрес. У MineGuard антибот на бесплатном тарифе не включён, для теста именно антибота с московской фильтрацией нужен Базовый за 390 ₽, это цена одного тестового месяца.
5. Спрячьте реальный IP. После переключения DNS смените адрес сервера у хостинга или закройте игровой порт для всех, кроме сети защиты. Уберите старый адрес из мониторингов, Discord и скриншотов в группе. Иначе первая же атака по старому IP пойдёт в обход фильтра, и ни один из трёх сервисов тут не поможет.
6. Настройте антибот мягко и ужесточайте по факту. Начните с умеренного порога, включите уведомления в тот канал, где вы точно их увидите, и неделю смотрите на ложные срабатывания. Только после этого включайте принудительную проверку игроков.
7. Повторите замер пинга. Если у игроков из СНГ он вырос на десятки миллисекунд, проблема в географии узла, а не в вашем сервере, и это повод смотреть на сервис с точкой в Москве. Если вырос у игроков из США, смотрите на TCPShield.
8. Проверяйте после обновлений Minecraft. Новая версия протокола иногда ломает фильтр версий клиентов и правила антибота, первые сутки после релиза смотрите на графики внимательнее.

И не отключайте защиту после того, как атака закончилась. За первой волной обычно приходит вторая, часто с другим типом ботов, и включать фильтр заново в панике так же неприятно, как в первый раз. Тариф подбирайте под обычный месяц с запасом по трафику. И последнее: антибот не спасает от кривого плагина, который сам кладёт TPS при 50 игроках. Такие «атаки» мы видим каждую неделю, и в панели любого из трёх сервисов будет видно, что подключения чистые.

Частые вопросы про защиту Minecraft от DDoS и ботов

Материал собран командой Gamely.Pro по публичным страницам трёх сервисов, срез на сентябрь 2026. TCPShield, NeoProtect и MineGuard являются товарными знаками соответствующих компаний. Тарифы меняются, перед оплатой сверяйте условия на сайте сервиса.

Команда Gamely.Pro

Хостинг Minecraft Java и Bedrock для аудитории из России и СНГ. Пишем о том, с чем сталкиваемся на серверах клиентов каждый день.