Minecraft 远程控制台
Minecraft 服务器的远程控制台端口：在 server.properties 中设置 enable-rcon=true 后启用，rcon.port 默认 25575。协议全程明文、口令在会话中以明文比对，因此它既是方便的运维手段，也是游戏服被渗透的常见入口。
基本信息
| 服务 | Minecraft RCON |
|---|---|
| 协议 | TCP（Source RCON 协议，明文） |
| 默认端口 | 25575 |
| 启用方式 | server.properties 的 enable-rcon 与 rcon.password |
| 暴露面 | 仅管理网段，强口令 |
典型使用场景
- 远程执行服务器控制台命令
- 定时备份与全服广播
- 运维脚本管理玩家与白名单
- 与告警联动做状态处置
- 多实例环境按不同端口区分控制台
配置与核对
配置与核对
# server.properties:
# enable-rcon=true
# rcon.port=25575
# rcon.password=<强口令>
ss -lntp | grep 25575
# 客户端示例: mcrcon -H 127.0.0.1 -P 25575 -p '<口令>' 'list'排障与核对
| 检查项 | 做法 | 异常表现 |
|---|---|---|
| 绑定地址 | ss -lntp | grep 25575 | 绑定 0.0.0.0 且公网可达：高爆破风险 |
| 口令强度 | server.properties 中的 rcon.password | 留空或过短：控制台等于没锁 |
| 日志 | 服务器日志中的 RCON 登录记录 | 出现异常来源：按入侵前兆处理 |
| 端口冲突 | 多实例的端口分配 | 多实例共用一个端口：只有一个能启动 |
RCON 全程明文，口令与命令都可能被抓包还原，因此它的口令应与游戏内权限体系分开设置，并且只在内网或经隧道访问；把 25575 直接映射到公网是最常见的错误。
拿到控制台的破坏力
控制台能执行服务器支持的管理命令：给玩家权限、传送、执行数据包、触发存档操作。攻击者拿到口令后通常先给自己开权限，再逐步扩大影响；服务器日志里的 RCON 来源地址是事后追溯的关键证据。
防爆破除了强口令还应做来源限制：只允许管理网段或跳板机访问 25575，并对登录失败做告警。很多事故的起点就是一条永久放通的公网映射规则。
把 RCON 当普通游戏端口放公网：拿到口令等于拿到控制台，可直接给任意玩家开权限。
运维脚本连接 RCON 时不要把口令写进命令行或仓库；改为读取受限权限的配置文件，脚本泄露时至少不会连带泄露控制台口令。