Dota 2 mit Proxy nutzen: Welcher Traffic laeuft durch den Tunnel?

Ueber Proxys fuer Dota 2 laesst sich nicht sprechen, ohne die beiden Prozesse zu trennen. Der Steam-Client ist eine eigenstaendige Anwendung: Shop, Bibliothek, Community-Seiten und Download-Manager gehoeren zu ihm. Das Spiel startet dagegen als separater Prozess und baut nach abgeschlossenem Matchmaking seinen eigenen Kanal auf. Eine Netzwerkeinstellung wirkt auf diese beiden Prozesse nicht in gleicher Weise.

Valve transportiert den Match-Traffic dieses Spiels ueber ein eigenes Relay-Netz. Statt sich direkt mit der Adresse des Match-Servers zu verbinden, spricht der Client mit einem nahe gelegenen Relay-Knoten, und von dort geht der Weg weiter. Diese Architektur wirkt sich unmittelbar darauf aus, was passiert, wenn Sie Ihren eigenen Exit dazwischenschalten: Sie fuegen einem ohnehin schon ueber Relays gefuehrten Weg ein zweites Relay hinzu.

Die folgenden Abschnitte erlaeutern die Konsequenzen dieser Struktur einzeln. Themen wie Kontouebertragung, Mehrfachkonten oder das Aushebeln von Schutzkomponenten werden hier nicht behandelt; die Einhaltung der Nutzungsbedingungen von Steam und Valve liegt in der Verantwortung des Nutzers.

Wohin verteilt sich der Traffic an einem Dota-2-Abend?

Es hilft, den von einem Rechner ausgehenden Traffic in vier Gruppen zu buendeln. Die erste sind Shop, Bibliothek und Community-Seiten; das sind gewoehnliche Web-Anfragen und der Posten, der einer Proxy-Einstellung am zugaenglichsten ist. Die zweite ist der Content-Download: Patches und die Erstinstallation werden gebuendelt von Distributionsknoten geladen und uebertreffen volumenmaessig alle anderen.

Die dritte Gruppe sind Konto-, Inventar- und Matchmaking-Dienste. Das sind kleine, aber kritische Anfragen; sie tragen die Identitaet der Session, und hier faellt am staerksten auf, wenn Ihre Adresse ploetzlich in ein anderes Land springt. Die vierte ist der Match-Stream: kleine Pakete, hohe Frequenz, ein latenzempfindlicher Kanal. Dieser vierte Posten unterscheidet sich strukturell von den drei vorherigen und liegt ausserhalb des Transportbereichs eines klassischen HTTP-Proxys.

Was aendert das Relay-Netz?

Dass der Match-Traffic ueber das eigene Relay-Netz des Publishers laeuft, hat zwei Folgen. Erstens ist die Adresse des Spielservers fuer den Client nicht offen sichtbar; die Verbindung laeuft ueber einen Relay-Knoten. Zweitens ist der Weg bereits ein Weg, der optimiert werden soll. Schalten Sie einen weiteren Exit dazwischen, richtet sich die Wahl des Relay-Knotens nicht mehr nach Ihrem Standort, sondern nach dem Ihres Exits, und die Gesamtdistanz wird meist groesser.

Der Stellenwert der NAT-Typ-Debatte in einer Architektur mit dedizierten Servern

Die aus der Konsolenwelt stammende Frage "ist der NAT-Typ offen oder streng" laesst sich nicht direkt auf dieses Spiel uebertragen. Dota-2-Matches laufen nicht zwischen den Rechnern der Spieler, sondern auf den dedizierten Servern des Publishers. Anders als in einer klassischen Peer-to-Peer-Architektur muessen sich also nicht zwei Spieler direkt miteinander verbinden und Loecher in die dazwischenliegenden NATs schlagen. Das entkraeftet den verbreiteten Rat, Verbindungsprobleme dieses Spiels auf den NAT-Typ zurueckzufuehren, weitgehend.

Ganz ausser Kraft gesetzt ist NAT dennoch nicht. Ein ausgehender UDP-Strom erzeugt in Ihrem Router ein Mapping, und die Antworten gelangen ueber dieses Mapping herein. Wird die Lebensdauer des Mappings kurz gehalten oder aendert sich bei jedem ausgehenden Paket der externe Port (symmetrisches Verhalten), findet der Rueckweg-Traffic sein Ziel nicht. Bei auf Carrier-Ebene geteilten Adressen tritt dieses Verhalten haeufiger auf; der Mechanismus selbst Was ist CGNAT wird im Beitrag ausführlich dargestellt.

Wie funktioniert Hole Punching, und warum erschwert ein Relay das?

Hole Punching beruht darauf, dass beide Seiten Pakete nach aussen senden, damit ihre eigenen NAT-Mappings entstehen, und die Adressen dieser Mappings ueber eine Vermittlungsstelle austauschen. Schalten Sie ein SOCKS5-Relay dazwischen, ist die Adresse, die die Gegenseite sieht, nicht mehr Ihre, sondern die des Relays; und die Stelle, die das Mapping halten muss, liegt in fremder Kontrolle. Steht auch der Relay-Punkt hinter einer auf Carrier-Ebene geteilten Adresse, bricht die Kette ein zweites Mal.

Konto, Zwei-Faktor-Authentifizierung und abrupter Standortwechsel

Das Steam-Konto ist der einzige Schluessel zu Ihrer Bibliothek und Ihrem Inventar; jede Aenderung auf Netzwerkseite macht sich zuerst hier bemerkbar. Bei Anmeldungen von einem neuen Geraet oder von einem ungewohnten Ort kann die Plattform eine zusaetzliche Verifizierung verlangen, eine E-Mail-Benachrichtigung senden und eine Wartezeit fuer Tausch- und Marktvorgaenge verhaengen. Das ist keine Stoerung, sondern Kontoschutzverhalten.

Die praktische Regel daraus ist einfach: Die Exit-Adresse sollte einmal gewaehlt und dann konstant gehalten werden. Ein Pool, der bei jeder Anfrage rotiert, erleichtert Ihnen bei einem Konto mit Session-Bindung nichts; er erzeugt im Gegenteil staendig neue Verifizierungen. Waehlen Sie auch das Land passend zum ueblichen Nutzungsland des Kontos. Die Zwei-Faktor-Authentifizierung abzuschalten ist unter keinen Umstaenden eine sinnvolle Vereinfachung; sie ist die eigentliche Schutzschicht, nicht die Netzwerkeinstellung.

• Nutzen Sie fuer ein Konto einen einzigen, konstanten Exit und wechseln Sie ihn nur, wenn es noetig ist.
• Waehlen Sie das Exit-Land konsistent zum ueblichen Land des Kontos.
• Halten Sie die Zwei-Faktor-Authentifizierung aktiv und die Wiederherstellungs-E-Mail aktuell.
• Geben Sie Zugangsdaten nicht ausserhalb des Teams weiter; Kontoteilung verstoesst gegen die Nutzungsbedingungen.
• Betreiben Sie nicht gleichzeitig eine Tunnel-Anwendung und einen Proxy.

Auch die Wahl des Anbieters gehoert zu diesem Thema. Selbst wenn der Inhalt des ueber einen Exit laufenden Traffics verschluesselt ist, kann auf diesem Server sichtbar sein, mit welchen Adressen Sie sich verbinden. Ein Dienst mit unklarer Logging-Richtlinie schafft fuer die Kontosicherheit mehr Probleme, als er loest; der Rahmen des Themas ist die Nutzung eines Proxys sicher .

Der Unterschied im Geltungsbereich zwischen Router- und Geraetekonfiguration

Der Reiz, die Einstellung in den Router zu verlagern, liegt auf der Hand: Jedes Geraet im Netz wird von einer einzigen Regel erfasst, die Unterscheidung zwischen Konsole und Browser entfaellt. Allerdings verfuegen die meisten Heimrouter ueber keinen echten "Proxy-Client". Was sie bieten, sind meist Weiterleitungen der Namensaufloesung, Portweiterleitung, statische Routen oder ein Tunnel-Client. Das ist nicht dasselbe wie ein Proxy, und der Geltungsbereich ist ebenfalls nicht derselbe.

Der auf Router-Ebene am haeufigsten umsetzbare Ansatz besteht darin, den Web-Traffic ueber TCP transparent an einen Exit weiterzuleiten. Das erfasst die Shop- und Download-Seite, nicht aber den Echtzeit-UDP-Strom. Zudem legt eine an einem einzigen Punkt falsch gesetzte Einstellung das Internet aller im Haushalt gleichzeitig lahm. Eine Konfiguration auf Geraete- und Anwendungsebene wirkt umgekehrt: Der Geltungsbereich ist eng, die Treffsicherheit aber hoch, und nur der von Ihnen gewaehlte Prozess ist betroffen. Konfigurationsoptionen und ihre Grenzen Proxy-Nutzung ueber den Router verglichen.

Stellen Sie sich bei der Entscheidung diese Frage: Wollen Sie ein Geraet, eine Anwendung oder den gesamten Haushalt abdecken? Wenn Sie an einem einzigen Rechner spielen, bringt es nichts, den Router anzufassen. Geht es um eine Konsole, einen Smart-TV oder ein Geraet ohne Konfigurationsoberflaeche, wird der Router zur einzigen Option; dann muessen Sie zusaetzlich verifizieren, wo die Namensaufloesung stattfindet.