Elden Ring Proxy: Welcher Datenstrom gelangt in den Tunnel und welcher bleibt draußen?

Elden Ring läuft auf dem PC unter einem Store-Client. Der Prozess, der das Spiel herunterlädt, ist nicht derselbe, der das Spiel ausführt, und beide lesen die Netzwerkeinstellungen nicht auf dieselbe Weise. Der größte Teil der Verwirrung auf Proxy-Seite entsteht aus dieser Trennung: Die Regel wird an einer Stelle eingetragen, die erwartete Wirkung an einer anderen gesucht.

Die zweite Unterscheidung betrifft die Art des Traffics. Login, Versionsprüfung und Matchmaking-Aufrufe laufen über TCP; ein klassischer Proxy kann sie transportieren. Die zwischen Spielern aufgebaute Session ist dagegen echtzeitfähig und nutzt überwiegend UDP. Durch den Tunnel, den ein HTTP-Proxy mit CONNECT aufbaut, können jedoch nur TCP-Sessions laufen; deshalb bleibt der letzte Teil in den meisten Konfigurationen außerhalb des Umfangs.

Die folgenden Abschnitte bauen den Umfang Schritt für Schritt auf: welcher Datenstrom an welcher Konfiguration hängen bleibt, wo der UDP-Weg von SOCKS5 endet, wie sich eine Zwischenstation auf die Peer-to-Peer-Verbindung auswirkt und woran die Messung abzulesen ist.

Welche Prozesse gehen beim Start des Spiels nacheinander ins Netz?

Die Reihenfolge ist in fast jeder Konfiguration dieselbe. Zuerst verifiziert der Store-Client seine eigene Session und vergleicht die installierte Version. Dieser Schritt ist HTTPS-Traffic von geringem Volumen über TCP; ist Ihre Proxy-Regel systemweit definiert, läuft er hier durch und der Login-Bildschirm öffnet sich problemlos.

Anschließend folgt die Patch-Prüfung. Fehlt eine Version, erfolgt der Download nicht über den Endpoint, mit dem das Spiel während des Spielens kommuniziert, sondern über ein Content Delivery Network. Die Menge der übertragenen Bytes springt hier nach oben; bei einem volumenbasierten Ausgang ist dies auch der Posten, der die Rechnung bestimmt.

Im dritten Schritt startet der Spielprozess und baut seinen eigenen Netzwerk-Stack auf. Die Aufrufe an den Matchmaking-Dienst laufen weiterhin über TCP. Ist das Matchmaking abgeschlossen, wird die Session zwischen den Spielern aufgebaut und der Datenstrom wird echtzeitfähig; genau dieser Teil bleibt am häufigsten außerhalb der von Ihnen eingetragenen Regel.

Es gibt noch ein Detail. Die asynchrone Online-Ebene, also die in der Welt hinterlassenen Zeichen und Spuren, arbeitet im Hintergrund, selbst wenn Sie mit niemandem gematcht werden, und wird über kleine Aufrufe empfangen und gesendet. Da diese Ebene über TCP läuft, fällt sie in den Proxy-Umfang. Ist der Ausgang langsam oder weit entfernt, ist das verzögerte Laden dieser Elemente das erste Symptom, das Sie bemerken; das Spiel selbst läuft flüssig, die Welt wirkt jedoch leer.

Warum erfordern Store-Client und Spielprozess getrennte Regeln?

Ein Store-Client kann eine eigene Verbindungseinstellung führen oder die Proxy-Definition des Betriebssystems auslesen. Der Spielprozess dagegen kümmert sich meist um beides nicht: Die Netzwerkschicht der Engine öffnet Sockets direkt und fragt die HTTP-Proxy-Definition des Systems nicht ab. Deshalb wird eine im Store-Client eingetragene Einstellung nicht automatisch auf den eigenen Traffic des Spiels angewendet.

Die praktische Folge lautet: Während Download- und Bibliotheksvorgänge durch den Tunnel laufen, geht die Verbindung im Spiel über Ihre normale Leitung hinaus. Statt dies für einen Defekt zu halten und die Regel auszuweiten, ist es sinnvoller, den Umfang bewusst festzulegen. Um zu sehen, wo die Felder auf Seiten des Store-Clients eingetragen werden, Proxy-Einstellungen des Store-Clients heranziehen.

Wenn Sie auf derselben Maschine sowohl Ihre normale Arbeit als auch geleiteten Traffic betreiben, erzeugt eine Definition, die den Umfang auf einen einzigen Prozess begrenzt, deutlich weniger Überraschungen als eine systemweite Einstellung. Schreiben Sie eine Regel, die die gesamte Maschine umfasst, fließen auch Update-Dienste, Cloud-Backups und Hintergrundaufgaben, deren Namen Sie nicht einmal kennen, über denselben Ausgang; der Posten, der am Monatsende das Volumen aufbraucht, ist meist nicht Elden Ring, sondern dieser stille Traffic.

• Notieren Sie, wo Sie die Regel eingetragen haben: System, Client oder einzelner Prozess.
• Prüfen Sie Download und Spiel-Session getrennt.
• Berücksichtigen Sie, dass bei einer systemweiten Definition auch Hintergrunddienste auf das Volumen gehen.

Warum halten sich Patch-Pakete nicht an die von Ihnen eingetragene Regel?

Update-Dateien werden vom nächstgelegenen Knoten des Verteilnetzes ausgeliefert. Diese Wahl richtet sich nach der Adresse, von der die Anfrage kommt; mit einem Proxy wird „am nächsten“ nicht mehr anhand Ihres Standorts, sondern anhand des Standorts des Ausgangsknotens berechnet. Ein über einen ausländischen Ausgang heruntergeladener Patch kann langsamer ankommen als dieselbe Datei über Ihre normale Leitung.

Der zweite Effekt betrifft das Volumen. Patch-Pakete können in den Gigabyte-Bereich gehen, und bei Residential- oder Mobile-Paketen wird nach übertragenen Daten abgerechnet. Eine Version über den Tunnel herunterzuladen, kann einen erheblichen Teil des Monatsvolumens in einer einzigen Sitzung verbrauchen. Wenn Sie vorab kalkulieren möchten, hilft Ihnen der Beitrag Bandbreitenberechnung dabei, den Maßstab zu setzen.

Der dritte Punkt sind Abbrüche. Ändert sich während eines langen Downloads die Ausgangsadresse, kann die Übertragung abbrechen und der Client muss das Teilstück erneut anfordern. In einem Rotating-Pool ist dieses Verhalten normal; für große Downloads einen festen Ausgang zu nutzen, ist der einfachste Weg, dasselbe Byte nicht zweimal zu bezahlen.

Nach Abschluss des Downloads prüft der Client die Dateien und fordert fehlende Teile erneut an. Bei einem instabilen Ausgang erzeugt dieser Prüfschritt fortlaufend neue Anfragen; von außen betrachtet scheint der Download beendet, der Traffic läuft jedoch weiter. Wenn Sie das Volumen überwachen, nehmen Sie die Messung nicht in dem Moment vor, in dem der Download endet, sondern erst, wenn der Client vollständig zur Ruhe gekommen ist.

Das UDP-Tor von SOCKS5: Wo endet ASSOCIATE?

Ein HTTP-Proxy baut, wenn Sie ein verschlüsseltes Ziel ansteuern möchten, mit der Anfrage CONNECT eine Leitung zwischen zwei Enden auf, und durch diese Leitung können nur TCP-Sessions fließen. Die Verschlüsselung erzeugt nicht der Proxy; nachdem die Leitung steht, führen Client und Ziel untereinander den TLS-Handshake durch, und die Zwischenstation kann diesen Inhalt nicht lesen. Die Einzelheiten des Verfahrens stehen im Beitrag CONNECT-Methode . Für Elden Ring lässt sich die Schlussfolgerung in einem Satz zusammenfassen: Die Echtzeitdaten, die beim Erkunden der Welt fließen, gelangen nie in diese Leitung.

Auf dem Papier kann SOCKS5 diese Lücke schließen; der Schritt UDP ASSOCIATE des Protokolls definiert einen eigenen Weg für Datenströme außerhalb von TCP. Dafür müssen jedoch drei Bedingungen gleichzeitig erfüllt sein: Der Proxy-Server muss UDP-Association unterstützen, das dazwischenliegende Netzwerk muss diesen Datenstrom zulassen und, am wichtigsten, der Client muss diesen Weg nutzen können. In der überwiegenden Mehrheit der Spiele-Clients gibt es kein Feld für eine SOCKS5-Einstellung; und wo es eines gibt, nutzen die meisten nur die TCP-Seite. Die Funktionsweise des Mechanismus SOCKS5-UDP-Unterstuetzung Schritt für Schritt erläutert.

Das ehrliche Bild lautet daher: In Elden Ring deckt ein Proxy praktisch Login-, Store-, Patch- und Matchmaking-Traffic ab. Die Spiel-Session selbst über einen SOCKS5-Ausgang zu leiten, ist nicht möglich, solange der Client dies nicht unterstützt, und Erzwingungsversuche enden meist damit, dass gar keine Verbindung zustande kommt.

Peer-to-Peer-Session, NAT-Mapping und Hole Punching

In einer zwischen Spielern aufgebauten Session befinden sich beide Seiten hinter einem Heim-Router. Die Verbindung entsteht dadurch, dass beide Seiten Pakete nach außen senden und so im Router ein temporäres Mapping öffnen, und der Matchmaking-Dienst diese Mappings wechselseitig mitteilt. Das nennt man Hole Punching, und es hängt vollständig davon ab, dass das Mapping vorhersehbar bleibt.

Kommt eine Zwischenstation hinzu, schwächt sich diese Vorhersehbarkeit ab. Wie die Adressübersetzung funktioniert und worin sie sich vom Proxy unterscheidet, wird im Vergleich von Proxy und NAT ausführlich erklärt. Kurz gesagt: Ein Proxy ist keine Übersetzungsschicht, sondern ein Vermittler, und er baut den direkten Weg, den das Spiel erwartet, nicht auf.

Bei Mobile-Ausgängen wird das Bild noch schwieriger. In Mobilfunknetzen wird dieselbe öffentliche Adresse von vielen Teilnehmern gemeinsam genutzt; die Einzelheiten dieser Struktur stehen im Beitrag Was ist CGNAT . Eine Verbindungsanfrage, die von hinter einer geteilten Adresse kommt, lässt sich von außen nicht öffnen, folglich ist nicht zu erwarten, dass eine Peer-to-Peer-Session zu Ihnen aufgebaut wird. Eine kabelgebundene Leitung und eine normale Router-Konfiguration sind in diesem Spiel weit entscheidender als ein Proxy.

Die Reihenfolge der Diagnose richtet sich danach. Testen Sie zuerst eine Kabelverbindung statt WLAN, prüfen Sie dann, ob zu Hause zwei Router hintereinander geschaltet sind, und klären Sie anschließend, ob Ihr Anbieter Ihnen eine eigene öffentliche Adresse zuweist. Diese drei Schritte lösen die meisten Verbindungsprobleme oder grenzen ihre Ursache ein. Ein Proxy ist in dieser Liste kein Reparaturwerkzeug; er kommt erst nach dem Abarbeiten der Liste und nur für die TCP-Seite infrage.

Vier verschiedene Definitionen: Wie stark berühren sie die vier Datenströme von Elden Ring?

Statt den Umfang in einem Satz zu beschreiben, ist es aufschlussreicher, die Konfigurationstypen nebeneinanderzustellen. Die folgende Tabelle fasst zusammen, in welchem Maß vier verschiedene, auf derselben Maschine mögliche Definitionen die vier Datenströme des Spiels berühren.

Die Spalte „typischer Fehler“ zeigt die in der Praxis am häufigsten anzutreffende falsche Erwartung. Bevor Sie entscheiden, ob die Regel greift, sollten Sie prüfen, ob der Ausgang selbst überhaupt erreichbar ist; Proxy-Check-Tool zeigt, ob die Adresse, die Sie haben, antwortet und über welches Protokoll sie kommuniziert.

Bei der Wahl der Konfiguration erleichtert folgende Reihenfolge die Arbeit: Schreiben Sie zuerst auf, welchen Datenstrom Sie leiten möchten, und wählen Sie dann den engsten Umfang, der diesen Datenstrom transportieren kann. Ein breiter Umfang bedeutet nicht immer mehr Kontrolle; meist ist er nur eine zusätzliche Variable, die die Diagnose erschwert.