Proxy für DayZ: Welche Verbindung läuft durch den Tunnel und welche nicht?

Eine Sitzung in DayZ zu starten heißt nicht, sich mit einer einzigen Adresse zu verbinden. Zuerst prüft die Plattformschicht Version und Bibliothek, anschließend fragt der Client oder ein externes Listen-Tool die Community-Server ab, beim Beitritt zu einem Server mit Mods werden fehlende Inhalte heruntergeladen, und erst danach wird die Weltsitzung aufgebaut.

Die Schritte dieser Kette werden über unterschiedliche Protokolle transportiert, und ein Proxy kann sie nicht alle gleichermaßen abdecken. Den Geltungsbereich korrekt zu ziehen ist die Voraussetzung dafür, von der Einrichtung ein realistisches Ergebnis zu erwarten: Die Web-Seite lässt sich routen, die latenzkritische Sitzung in der Regel nicht.

Das dritte Thema ist Compliance. Ein Proxy ist ein Netzwerkwerkzeug; er ändert nicht die Regeln des Spiels, greift nicht in clientseitige Sicherheitskomponenten ein und sollte es auch nicht versuchen. Diese Seite wurde ausschließlich im Rahmen von Zugriffsverwaltung, Datenschutz und Unternehmensnetzwerk-Szenarien verfasst.

Aus wie vielen separaten Verbindungen besteht eine DayZ-Sitzung?

Der erste Ring sind die Plattformdienste: Anmeldung, Bibliotheksprüfung, Versionsabgleich und bei Bedarf Update. All das läuft per TCP über HTTPS und lässt sich am einfachsten in den Proxy-Geltungsbereich aufnehmen. Treten hier Probleme auf, sind die Symptome ebenfalls web-typisch: Die Seite lädt nicht, der Download startet nicht, es kommt ein Authentifizierungsfehler zurück.

Der zweite Ring ist die Serversuche. Der Client oder ein externes Listen-Tool sendet kurze Abfragen an Hunderte von Community-Servern und zeigt anhand der Antworten Spielerzahl, Version und Mod-Liste an. Diese Abfragen nutzen auf Spielseite üblicherweise UDP und werden an einem anderen Endpoint entgegengenommen als dem, der die Weltsitzung trägt. Dass Sie sich mit einem in der Liste nicht sichtbaren Server verbinden können – oder umgekehrt – ist die direkte Folge dieser Trennung.

Der dritte Ring sind die Mod-Inhalte. Beim Beitritt zu einem Server mit Mods werden fehlende Dateien heruntergeladen; das ist eine große, TCP-basierte Übertragung. Der vierte Ring ist die Weltsitzung: Position, Schaden, Inventar und Umgebungsupdates fließen kontinuierlich. Da das erneute Anfordern eines verlorenen Pakets hier die Latenz erhöhen würde, wird UDP bevorzugt. Zu den allgemeinen Unterschieden der beiden Protokolle Unterschied zwischen HTTP-Proxy und SOCKS5 heranziehen.

Diese vier Ringe zu trennen ermöglicht Ihnen, auf den ersten Blick zu sagen, zu welcher Ebene eine Störung gehört. Bei einem web-typischen Fehler lohnt ein Blick auf Ihren Proxy-Geltungsbereich; bei Rucklern in der Welt ist derselbe Blick Zeitverschwendung, denn dieser Traffic liegt ohnehin außerhalb Ihrer Regel.

Warum verhalten sich Query-Endpoint und Spiel-Endpoint unterschiedlich?

Community-Server halten den Endpoint, der der Listensoftware antwortet, getrennt von dem, über den Spieler die Welt betreten. Der Grund ist einfach: Listenabfragen sind kurz und zahlreich, die Spielsitzung dagegen ist langlebig und fließt kontinuierlich. Die Trennung verhindert, dass Listenaktualisierungen die Spielsitzung belasten.

In der Praxis erklärt diese Trennung drei Symptome. Erstens: Die Liste bleibt leer, aber mit manuell eingegebener Adresse können Sie sich verbinden – der Query-Endpoint ist in Ihrem Netzwerk eingeschränkt, der Spiel-Endpoint jedoch offen. Zweitens: Sie können sich mit einem in der Liste sichtbaren Server nicht verbinden – die Abfrage kam durch, die Sitzung ließ sich aber nicht aufbauen; meist liegt eine Versions- oder Mod-Abweichung oder ein serverseitiges Kapazitätslimit vor. Drittens: Ein externes Listen-Tool zeigt Server an, die im Spiel nicht erscheinen.

Für den Proxy bedeutet das: In den meisten Setups lässt sich der Query-Traffic nicht routen, denn er läuft über UDP und das Listen-Tool bietet kein Proxy-Feld. Wenn Sie in einem eingeschränkten Netzwerk spielen, führt der Weg nicht über einen Proxy, sondern über ein Gespräch mit dem Netzwerkadministrator. Die typischen Einschränkungen in Campus- und Büronetzwerken Zugriffssperren in Schul- und Firmennetzwerken sind im Beitrag zusammengefasst.

Welchen Anteil der Tunnel tragen kann und welchen nicht

Teilt man den Traffic einer Sitzung in Anteile auf, wird das Bild klar. Der volumenmäßig größte Posten sind in der Regel Mod- und Inhalts-Downloads; sie fallen einmalig an, sind aber groß und laufen über TCP problemlos in den Tunnel. Der Posten mit der größten Dauerhaftigkeit ist die Weltsitzung; ihr Volumen ist vergleichsweise klein, sie fließt jedoch ununterbrochen und wird über UDP transportiert.

Konto- und Login-Traffic ist klein und läuft über TCP: leicht abzudecken, aber von großer Wirkung. Denn genau dieser Posten bestimmt, von welcher Adresse aus Ihr Konto geöffnet wird. Serverlisten-Abfragen wiederum sind klein, aber zahlreich und bleiben außerhalb des Tunnels.

Diese Verteilung zu kennen sagt Ihnen auch, welches Kriterium bei der Anbieterwahl zählt: Da die Spielsitzung nicht durch den Tunnel läuft, nützt Ihnen nicht ein „für Gaming schneller“ Exit, sondern einer mit Kapazität beim Download und Stabilität auf Kontoseite. Warum die Anzahl gleichzeitiger Anfragen ein eigenes Limit darstellt, Limit gleichzeitiger Verbindungen erklärt der Beitrag.

Welches Kriterium sollte bei der Wahl des Exit-Profils überwiegen?

Es gibt zwei typische Profile. Erstens ein fester Exit: Die Adresse bleibt gleich, Ihr Konto erscheint immer am selben Ort, Sticky-Verhalten ist die Voreinstellung. Zweitens ein rotierender Pool: Die Adresse wechselt in bestimmten Abständen, die Vielfalt ist hoch. Arbeiten Sie mit einem Konto mit Session-Bindung, ist das erste Profil fast immer die richtige Antwort; Rotation ist für Leseaufgaben ohne Session konzipiert, die sich auf viele Ziele verteilen.

Reduzieren Sie den Vergleich nicht auf ein einziges Kriterium. Einfachheit der Einrichtung, Logging-Richtlinie, Kapazität und Kosten sind miteinander konkurrierende Achsen; was Sie auf einer gewinnen, zahlen Sie auf einer anderen. Welche Protokolle der Anbieter speichert, ist die am seltensten diskutierte dieser Achsen und Proxy-Logs und Datenschutz wird im Beitrag gesondert behandelt.

Hinzu kommt die Frage nach einer überflüssigen Schicht: Wenn Sie eine Transportschicht für den gesamten Traffic des Geräts aufbauen wollen, ist ein Proxy womöglich nicht das passende Werkzeug. Ein Proxy ist eine Routing-Regel, die genau den von Ihnen definierten Bereich abdeckt; den Unterschied im Geltungsbereich Unterschied zwischen Proxy und VPN vergleicht der Beitrag. Das falsche Werkzeug zu wählen erfüllt die Erwartung auch dann nicht, wenn die Einrichtung korrekt ist.

Auch der Grad der gemeinsamen Nutzung ist eine eigene Achse und taucht in der Profiltabelle nicht auf. Bei einem dedizierten Exit finden sich nur Spuren Ihrer eigenen Nutzung; in einem geteilten Pool beeinflusst das Verhalten anderer Nutzer derselben Adresse auch die Schwelle, an der Ihre Sitzung akzeptiert wird. Ein Exit desselben Typs, aber überfüllt, kann mehr Reibung erzeugen als eine dedizierte Adresse eines bescheideneren Typs.

Beantworten Sie bei der Entscheidung nacheinander diese drei Fragen: Wird ein Konto angemeldet, wie viele Daten übertragen Sie monatlich und in welchem Land muss der Exit liegen? Diese drei Antworten bestimmen die Paketwahl nahezu allein; die übrigen Details lassen sich nach der Einrichtung durch Messung korrigieren.

Kontosicherheit und der Preis eines plötzlichen Standortwechsels

Das Plattformkonto ist eine von der Spielsitzung unabhängige Identitätsschicht. Die Adresse, von der die Anmeldung kommt, wird protokolliert; eine Anfrage aus einem ungewohnten Land kann eine zusätzliche Verifizierung auslösen. Lesen Sie dieses Verhalten nicht als Hindernis, sondern als Mechanismus, der Ihr Konto schützt: Derselbe Mechanismus erschwert auch Fremden den Zugang.

Die richtige Reihenfolge lautet: Richten Sie zuerst die Zwei-Faktor-Authentifizierung ein, testen Sie den Zugriff auf Ihre Wiederherstellungs-E-Mail und halten Sie die Code-Generator-App auf einem separaten Gerät, das von Netzwerkeinstellungen nicht betroffen ist. Erst danach probieren Sie den Exit-Wechsel. Das häufigste Problem von Nutzern, die umgekehrt vorgehen, ist, dass sie genau in diesem Moment keinen Zugriff auf das Konto haben, das sie für den Verifizierungscode benötigen.

Die zweite Regel betrifft die Geschwindigkeit des Wechsels. Wenn ein Konto in kurzen Abständen aus verschiedenen Kontinenten erscheint, erhöht das sowohl die Verifizierungshäufigkeit als auch die Unlesbarkeit der Protokolle im Ernstfall. Wählen Sie einen Exit, kennzeichnen Sie ihn und rühren Sie ihn ohne Not nicht an. Was der Exit tatsächlich preisgibt, Proxy-Anonymitätstest verifizieren.

• Richten Sie die Zwei-Faktor-Authentifizierung vor dem Exit-Wechsel ein.
• Bewahren Sie die Wiederherstellungsdaten auf einem Gerät auf, das vom Proxy nicht betroffen ist.
• Das Land des Exits und das übliche Nutzungsland Ihres Kontos sollten übereinstimmen.
• Geben Sie Passwort und Zugangsdaten an kein Werkzeug eines Drittanbieters weiter.

Anti-Cheat, Nutzungsbedingungen und was ein Proxy nicht ändert

Die clientseitige Sicherheitskomponente des Spiels prüft auf Speicher- und Prozessebene; eine Routing-Regel auf Netzwerkebene setzt diese Prüfung weder außer Kraft noch beeinflusst sie sie. Das ist zugleich eine technische Tatsache und eine praktische Grenze: Den Proxy zu diesem Zweck zu denken ist ein falsches Modell und gefährdet nur Ihr Konto.

Auch die Seite der Nutzungsbedingungen ist eindeutig. Die Verträge von Spiel und Plattform regeln Themen wie Kontoteilung, Einsatz von Automatisierung und Umgehung regionaler Bestimmungen. Dass Sie ein Netzwerkwerkzeug einsetzen, ändert am Geltungsbereich dieser Regeln nichts; bei einer zweifelhaften Nutzung ist es deutlich günstiger, die einschlägigen Bedingungen vorab zu lesen, als hinterher Einspruch zu erheben.

Wofür ist ein Proxy dann legitim gut? Um festzulegen, welche Adresse beim Zugang aus einem Unternehmens- oder gemeinsam genutzten Netzwerk verwendet wird, um zu prüfen, wie eine Store-Seite in einem anderen Land aussieht, um Web-Aufgaben zu erledigen, ohne die Adresse Ihres Heimanschlusses gegenüber Drittanbietern offenzulegen, und um die Auswirkung von Anbieterwechseln zu messen. All das fällt unter die Überschrift Netzwerkverwaltung.

Für Teams, die einen Community-Server betreiben, gibt es einen weiteren legitimen Anwendungsfall: den Zugriff auf Admin-Panel, Statistikoberfläche und Dateiübertragungs-Endpoints über eine feste, bekannte Adresse. Wird serverseitig eine Whitelist autorisierter Adressen geführt, vereinfacht es die Verwaltung und macht die Protokolle lesbar, wenn Teammitglieder nicht von verschiedenen Heimanschlüssen, sondern über einen einzigen Exit kommen.

Die Einrichtung Stufe für Stufe verifizieren

Nach der Einrichtung eine einzige Seite zu öffnen und „funktioniert“ zu sagen, heißt zu entscheiden, ohne die Hälfte des Geltungsbereichs gesehen zu haben. Gliedern Sie die Prüfung in Stufen: zuerst, ob der Exit aktiv ist, dann, welche Anwendungen abgedeckt sind, anschließend, wo Domainnamen aufgelöst werden, und zuletzt, über welche Leitung die Spielsitzung nach außen geht.

Die Namensauflösung ist eine besonders tückische Stufe. Bei einem HTTP-Proxy nennt der Client das Ziel namentlich in der CONNECT Zeile, und der Proxy übernimmt die Auflösung. Bei SOCKS5 hängt das Verhalten vom Client ab: Manche lösen den Namen im eigenen Netzwerk auf, andere überlassen dies dem Proxy. Der Unterschied besteht darin, ob die Ziel-Domain für Ihren lokalen Server sichtbar wird oder nicht; die Einzelheiten Wo wird DNS bei SOCKS5 aufgeloest .

Halten Sie auf der letzten Stufe die Erwartung schriftlich fest: Welche Anwendung soll über welchen Exit nach außen gehen? Ein Test ohne vorher notierte Erwartung bestätigt das Ergebnis immer, weil Sie hinsehen, ohne zu wissen, was Sie sehen wollen. Eine kurze Checkliste hilft Ihnen auch, wenn Sie dieselbe Einrichtung einen Monat später wiederholen.