Proxy fuer Knives Out: Geltungsbereich, Einrichtungspunkt und Grenzen

Was passiert in Wohnheim-, Campus- und Firmennetzen?

In geteilten Netzen ist das Regelwerk eng und meist ist nur Web-Traffic erlaubt. In dieser Umgebung oeffnet sich der Login-Bildschirm des Spiels, das Profil laedt, sogar die Freundesliste kommt an; beim Einstieg ins Match kommt dann keine Verbindung zustande. Der Grund ist meist nicht, dass das Spiel gesperrt waere, sondern dass der nicht-webbasierte Transport von vornherein geschlossen ist.

Was kann ein Proxy in diesem Bild leisten? Eine Konfiguration, die webaehnliche Anfragen transportiert, kann Login und Profil entlasten. Fuer den Traffic der Runde gilt das nicht: Ist der UDP-Ausgang gesperrt, transportiert ein auf TCP aufgebauter Tunnel diesen Strom nicht. Versuche, die das nicht beruecksichtigen, kosten Stunden und enden am selben Punkt.

Der dauerhafte Weg in einem Unternehmensnetz besteht nicht darin, die Regel zu umgehen, sondern eine Ausnahme zu beantragen. Der allgemeine Rahmen fuer Campus- und Firmennetze wird im Beitrag Zugriffssperren in Schul- und Firmennetzwerken behandelt. Ein Verstoss gegen die Nutzungsrichtlinie erzeugt in diesen Netzen weniger ein technisches als ein administratives Problem.

In geteilten Netzen gibt es noch eine zweite Variable: die Zahl der Personen, die denselben Exit nutzen. In einem Wohnheimnetz, in dem Hunderte Geraete hinter einer einzigen oeffentlichen Adresse herauskommen, sieht die Gegenseite diese Adresse zwar nicht als einen einzelnen Nutzer, kann die Verhaltensweisen aber auch nicht einzeln trennen. Eine Einschraenkung, die ein anderer Nutzer im selben Netz verursacht hat, kann sich auch auf Ihre Session auswirken. Ein Ihnen fest zugewiesener Exit beseitigt diesen Nebeneffekt und wird deshalb in Unternehmensszenarien bevorzugt.

Mobilfunknetz, WLAN und der Geltungsbereich der Einstellung

Die Proxy-Einstellung auf dem Telefon haengt an einem Netz, nicht am Geraet. Die Regel, die Sie im heimischen WLAN definiert haben, gilt nicht, wenn Sie ins Netz eines Cafes wechseln, und sie faellt weg, sobald Sie ins Mobilfunknetz fallen. Dieses Verhalten fuehrt in der Praxis am haeufigsten zu Fehldiagnosen: Die Einrichtung funktioniert an einem Tag, wirkt am naechsten "kaputt", dabei hat sich nur das Netz geaendert.

Das zweite Detail sind automatische Netzwechsel. Moderne Telefone koennen bei schwachem Signal von selbst vom WLAN ins Mobilfunknetz wechseln. Waehrend dieses Wechsels geht der Proxy-Geltungsbereich verloren und der Traffic laeuft wieder ueber Ihre gewoehnliche Leitung; auf Anwendungsseite erscheint keinerlei Warnung. In langen Sessions ist die zwischenzeitliche Pruefung der einzige Weg, das zu bemerken.

Der dritte Punkt ist der mobile Exit-Typ. Mobile Proxybesteht aus Adressen, die aus dem Mobilfunknetz stammen und von vielen echten Teilnehmern geteilt werden. Bevorzugt wird er in Szenarien, in denen App-Traffic dominiert; im Gegenzug ist seine Latenz variabel, und da er nach Datenvolumen abgerechnet wird, braucht es eine Kontingentplanung. Praktische Methoden zum Kontingent sind im Beitrag Kontingentverwaltung bei Mobile Proxys zusammengefasst.

Der vierte Punkt ist das Verhalten im Hintergrund. Schickt das Telefon die App in den Hintergrund, kann es Netzwerkverbindungen aussetzen; kehren Sie ins Spiel zurueck, wird die Session neu aufgebaut. Hat sich Ihr Exit waehrend dieses Neuaufbaus geaendert, erscheint auf Serverseite eine Anfrage von einem neuen Punkt. Bei einem Spiel, das in kurzen Abstaenden geoeffnet und geschlossen wird, kann sich das mehrmals am Tag wiederholen; ein weit gefasstes Sticky-Fenster vereinfacht das Bild.

Serverregion und Kontokonsistenz

Die Serverregion wird meist nach der Region, in der das Konto registriert ist, und nach den Matchmaking-Regeln bestimmt. Ihre Exit-Adresse zu aendern veraendert weder die dem Konto zugeordnete Region noch die Zugriffsregeln; beides ist voneinander unabhaengig. Das Routing beeinflusst nur, von welchem Punkt die Verbindung kommt.

Die praktische Folge lautet: Einen Proxy zu nutzen, um regionale Beschraenkungen zu umgehen, ist weder technisch verlaesslich noch regelkonform. Der Publisher erkennt das Konto anhand seiner eigenen Aufzeichnungen; ein Adresswechsel beeinflusst diesen Eintrag nicht, kann aber bei abrupten Standortwechseln zusaetzliche Verifizierungen ausloesen. Ihr Konto im Einklang mit den Bedingungen des Publishers zu nutzen liegt in Ihrer Verantwortung.

Auf der Seite der Konsistenz hilft eine einfache Regel: Nutzen Sie fuer ein Konto einen einzigen Exit und halten Sie dessen Land mit Ihrem ueblichen Nutzungsland identisch. Sich bei jedem Start von einer anderen Adresse zu verbinden, erzeugt ein Bild, das nicht zur Historie des Kontos passt. Vergleichen Sie das Sticky-Fenster mit der Dauer Ihrer Spielsitzung; ist das Fenster zu kurz, wechselt die Adresse mitten in der Runde.

Auch soziale Ebenen wie Freundesliste und Teambindungen laufen ueber dieselbe Kontoidentitaet. Den Exit zu wechseln beeinflusst keine dieser Bindungen; das Einzige, was sich aendert, ist der Punkt, von dem die Anfrage kommt. Diese Unterscheidung im Kopf zu behalten verhindert von vornherein unrealistische Erwartungen an das Routing.

Was sollten Sie nach Abschluss der Einrichtung pruefen?

Ein Routing zu definieren bedeutet nicht, dass der Traffic tatsaechlich dort entlanglaeuft. Die Pruefung nur durch das Oeffnen einer einzigen Seite vorzunehmen, ist ein haeufiger Fehler; der Browser liest die Einstellung, das Spiel moeglicherweise nicht. Testen Sie deshalb Schicht fuer Schicht und notieren Sie das Ergebnis.

Der erste Schritt ist, die Exit-Adresse zu sehen. Oeffnen Sie im Browser desselben Geraets eine Seite zur Adressabfrage und pruefen Sie das zurueckgemeldete Land. Der zweite Schritt betrifft die Frage, wo die Domainaufloesung stattfindet: Bleibt die Aufloesung in Ihrem Netz, sind Ihre Ziele fuer Ihren lokalen Anbieter sichtbar. Der dritte Schritt ist die Anonymitaetsstufe; manche Exits fuegen der Anfrage zusaetzliche Header hinzu und teilen der Gegenseite mit, dass die Verbindung ueber eine Zwischenstation kommt. Anonymitätstest meldet diese Header.

Der vierte Schritt sind die Limits. Ein Spiele-Client kann gleichzeitig viele Verbindungen oeffnen; Limit gleichzeitiger Verbindungen ist es ausgeschoepft, wirken Abbrueche wie ein Fehler, obwohl es erwartetes Verhalten ist. Der fuenfte Schritt ist, die Erwartung richtig zu setzen: Dass der Match-Traffic ausserhalb des Tunnels bleibt, ist kein Defekt, und mit diesem Wissen zu testen spart Zeit.

Tests ohne Notizen durchzufuehren bedeutet, die Haelfte des Ergebnisses zu verlieren. Schreiben Sie auf, auf welchem Geraet, in welchem Netz und mit welchem Profil Sie getestet haben; da sich dieselbe Einrichtung in einem anderen Netz anders verhaelt, ist das Ergebnis profilspezifisch. Wenn Sie eine Woche spaeter dasselbe Symptom haben, macht diese kurze Notiz den Unterschied zwischen einem Neuanfang bei null und einem Ergebnis in wenigen Minuten.

Haeufige Symptome und ihre Ursachen

Die folgenden Zuordnungen fassen die haeufigsten Situationen in mobilen Setups zusammen. Pruefen Sie in jeder Zeile zuerst, wo die Einstellung hinterlegt ist, dann den Geltungsbereich und zuletzt das Protokoll; die Reihenfolge umzudrehen kostet meist Zeit.

Die Einstellung ist da, hat aber keine Wirkung: Die Regel wurde moeglicherweise fuer ein anderes WLAN hinterlegt, oder das Geraet ist ins Mobilfunknetz gewechselt. Pruefen Sie den Namen des Netzes, mit dem Sie verbunden sind.

Der Browser ist im Tunnel, das Spiel nicht: Die Anwendung liest die Systemeinstellung nicht. Dann ist der einzige realistische Weg die Konfiguration auf Netzwerkebene; anwendungsbasierte Selektivitaet gibt es auf dem Mobilgeraet nicht immer.

Login klappt, aber es wird kein Match gefunden: Matchmaking oder Runden-Traffic liegen ausserhalb des Geltungsbereichs. Befinden Sie sich in einem eingeschraenkten Netz, liegt die Ursache in der Netzrichtlinie.

Die Verbindung bricht nach einer Weile ab: Das Kontingent kann aufgebraucht oder die Verbindungsobergrenze erreicht sein. Lesen Sie das verbleibende Volumen und das Limit im Panel; einen neuen Exit auszuprobieren verzoegert die Diagnose.

Abweichendes Verhalten im Emulator: Die Netzwerkschicht des virtuellen Geraets und die Netzwerkeinstellung des Hostrechners werden getrennt verwaltet. Eine Regel, die nur in einer der beiden hinterlegt ist, umfasst die andere nicht; Versuche ohne Pruefung, auf welcher Schicht Sie sich befinden, wiederholen sich nur.

Vergessen Sie zum Schluss die Sicherheitsseite nicht. Ein Exit unbekannter Herkunft kann sehen und protokollieren, zu welchen Domains Ihr Traffic geht. Die Anbieterwahl ist deshalb ebenso eine Vertrauens- wie eine technische Entscheidung; den Rahmen dazu ist die Nutzung eines Proxys sicher wird im Beitrag erklaert.