EA SPORTS FC Proxy: Wo laeuft der Match-Traffic, und wo gehoert die Regel hin?

Bei Fussballspielen beginnt die Proxy-Diskussion fast immer an der falschen Stelle: nicht bei der Einrichtung, sondern bei der Erwartung. Dabei ist die richtige Reihenfolge umgekehrt. Sie muessen zuerst wissen, wie viele getrennte Aufgaben das Spiel im Netz erledigt, dann, welche Transportschicht diese Aufgaben nutzen, und erst zuletzt, wie viele dieser Schichten Ihre Regel tatsaechlich beruehrt.

Eine Aufteilung ist ueber die gesamte Reihe hinweg unveraendert geblieben: Konto-, Shop- und Download-Seite sprechen HTTPS ueber reines TCP; das Match selbst arbeitet mit latenzempfindlichen, kleinen und haeufigen Paketen, und diese Pakete werden ueberwiegend ueber UDP transportiert. Da ein HTTP-Proxy CONNECT nur einen TCP-Tunnel oeffnen kann, bleibt die zweite Gruppe ausserhalb der Regel, selbst wenn Sie die Einstellung vorgenommen haben.

Diese Seite ist keine Liste von Versprechen, sondern eine Landkarte des Geltungsbereichs. Sie zeigt, was funktionieren wird, was nicht und wie Sie verifizieren, dass etwas nicht funktioniert. Die Einhaltung der Nutzungsbedingungen des Spiels liegt in jedem Fall in der Verantwortung des Nutzers.

Konto-Traffic und Match-Traffic nehmen nicht denselben Weg

Die erste Verbindung beim Start des Spiels ist die Kontoseite. Der Client fuehrt einen TLS-Handshake mit dem Identitaets-Endpunkt durch, weist sich mit einem auf dem Geraet gespeicherten Session-Token aus, und die auf der Gegenseite sichtbare Adresse ist die des Anschlusses, ueber den Sie gerade hinausgehen. Nutzen Sie einen Proxy, ist die sichtbare Adresse die des Proxy-Servers; das Token selbst aendert sich nicht, denn es bleibt auf Ihrem Geraet.

Der zweite Strom sind Shop-, Katalog- und Kontoverwaltungsanfragen. Das sind gewoehnliche HTTPS-Aufrufe, die sich im Verhalten nicht von einer Browser-Anfrage unterscheiden. Auch die ueber den Browser genutzte Begleitanwendung von Ultimate Team faellt in diese Klasse; eine im Browser hinterlegte Regel wird auf diese Anfragen problemlos angewendet.

Der dritte Strom ist das Match selbst, und sein Charakter ist voellig anders. Spielereingaben, Ballposition und Synchronisationsdaten werden mit vielen kleinen Paketen pro Sekunde transportiert. Entscheidend ist hier nicht die Bandbreite, sondern die Umlaufzeit der Pakete und deren Regelmaessigkeit. Deshalb bevorzugt dieser Traffic einen latenzempfindlichen Transport und laeuft nicht von selbst in eine TCP-basierte Struktur wie HTTP-CONNECT-Tunnel hinein.

Das praktische Ergebnis lautet: Sie schreiben die Regel, die Anmeldung funktioniert, der Shop oeffnet sich, der Download startet - aber auf der Match-Seite aendert sich nichts. Das ist keine Stoerung, sondern die natuerliche Grenze des Geltungsbereichs.

Was erfasst die Regel, was nicht?

Die Grenze des Geltungsbereichs wird bei der Protokollwahl festgelegt. Ein HTTP-Proxy arbeitet auf der Anwendungsschicht und transportiert verschluesselten Traffic nur, indem er einen TCP-Tunnel oeffnet; UDP kann er nicht transportieren. SOCKS5 arbeitet dagegen auf der Transportschicht und kann mit der Methode UDP ASSOCIATE UDP transportieren. Damit diese Faehigkeit greift, muessen jedoch zwei Bedingungen zugleich erfuellt sein: Der Proxy-Server muss diese Methode anbieten, und der Spiel-Client muss so geschrieben sein, dass er sie nutzt.

Die zweite Bedingung ist in der Praxis meist nicht erfuellt. Der Grossteil der Desktop- und Konsolen-Spiel-Clients nutzt den eigenen Netzwerkstack, liest die Proxy-Konfiguration des Systems gar nicht und bietet keine Einstellung fuer die UDP-Faehigkeit von SOCKS5. Wie die Methode funktioniert und wo sie haengen bleibt SOCKS5-UDP-Unterstuetzung ausfuehrlich erlaeutert.

Auf der Konsolenseite ist das Bild noch etwas enger. Manche Konsolen haben im Netzwerk-Einrichtungsassistenten ein HTTP-Proxy-Feld; dieses Feld erfasst die Web-Anfragen des Systems und den shopseitigen Traffic, nicht aber die Echtzeitpakete des Spiels. Einen Proxy in der Konsole einzutragen bedeutet also nicht, dass "der gesamte Spiel-Traffic ueber den Proxy laeuft".

Peer-to-Peer-Verbindung, NAT-Typ und Hole-Punching-Versuche

Ein Teil der Eins-gegen-eins-Onlinematches der Reihe wurde historisch ueber Peer-to-Peer-Verbindungen gespielt; welcher Modus diese Struktur nutzt, unterscheidet sich von Version zu Version und von Modus zu Modus. In einem Peer-to-Peer-Match laeuft nicht ueber einen im Rechenzentrum stehenden Server; die beiden Clients sprechen direkt miteinander. Das bindet die Verbindungsqualitaet an die Anschluesse und das NAT-Verhalten beider Seiten.

NAT ist der Mechanismus, der die privaten Adressen in Ihrem lokalen Netz in eine einzige oeffentliche Adresse uebersetzt; der Unterschied zwischen Proxy und NAT wird genau hier deutlich: NAT ist eine automatische Adressuebersetzung, ein Proxy dagegen eine bewusste Weiterleitungsentscheidung. Die NAT-Typ-Labels wie "offen, moderat, streng", die Sie in Spiel- und Konsolenoberflaechen sehen, fassen zusammen, ob eine von aussen kommende Verbindung Ihrer lokalen Session zugeordnet werden kann.

Hole Punching ist die Standardmethode, um diese Lage aufzuloesen: Beide Seiten senden je ein UDP-Paket nach aussen, in ihren NAT-Tabellen entsteht ein temporaeres Mapping, und die Antwort der Gegenseite kann dank dieses Mappings hereingelangen. In symmetrischen NAT-Strukturen, in denen das Mapping fuer jedes Ziel neu aufgebaut wird, und bei CGNAT-Anschluessen, bei denen der Betreiber mehrere Teilnehmer auf derselben oeffentlichen Adresse buendelt, wird diese Methode schwierig.

Ein Proxy verbessert diese Gleichung nicht. Ein TCP-Tunnel aendert das eigene UDP-Mapping des Clients nicht; eine zweite Schicht dazwischen erschwert die Diagnose. Der richtige Adressat dieses Problems ist die Netzwerkseite: die Portweiterleitung oder das UPnP-Verhalten im Router pruefen und, falls Sie hinter CGNAT sitzen, dies mit Ihrem Anbieter besprechen.

Wo faellt das Gewicht der uebertragenen Daten an?

Wenn Sie einen Exit mit Kontingent nutzen, bestimmen nicht Ihre Spielzeit, sondern die heruntergeladenen Pakete Ihre Kosten. Season-Updates, Kader- und Content-Pakete erzeugen auf einen Schlag ein hohes Volumen; die Pakete im Match sind dagegen klein und transportieren in derselben Zeit deutlich weniger Daten. Deshalb steckt hinter dem Satz "ich habe ueber den Proxy gespielt und mein Kontingent war weg" fast immer ein Update-Tag.

Trennen Sie fuer eine saubere Planung zuerst die Klassen und entscheiden Sie dann fuer jede Klasse, ob sie in den Geltungsbereich des Proxys faellt. Die folgende Tabelle fasst diese Unterscheidung zusammen; zur Berechnungsmethode Bandbreitenberechnung heranziehen.

Die praktische Entscheidung daraus lautet: Den Download aus dem Geltungsbereich herauszunehmen, ist in den meisten Setups sowohl guenstiger als auch schneller. Wenn Sie den Client ueber Steam verwalten, ist es der sauberste Weg zur Eingrenzung des Geltungsbereichs, den Download auf Ihrem normalen Anschluss zu belassen und nur die Browser-Seite umzuleiten.