LoL Proxy: Client-Traffic, Netzwerksperren und die Wahrheit ueber UDP

Der schnellste Weg, das Verhaeltnis von League of Legends — kurz LoL — zu Proxys zu verstehen, besteht darin, anzuerkennen, dass es keine einzelne "Spielverbindung" gibt. Beim Start des Clients verhalten sich Login, Patch-Pruefung, Shop-Seiten und Freundesliste wie gewoehnlicher Web-Traffic. Der Prozess, der beim Annehmen eines Matches einsetzt, baut dagegen einen voellig anderen Kanal auf, dessen Prioritaeten anders liegen.

Diese Unterscheidung erklaert nahezu die gesamte Verwirrung nach der Einrichtung. Der Client startet problemlos, der Shop laedt, das Profil erscheint — doch im Match-Bildschirm kommt keine Verbindung zustande. Ihre Einstellung ist nicht falsch, ihr Geltungsbereich ist nur enger, als Sie dachten.

Ein zweiter Punkt sei von Anfang an klar: Hier geht es nicht um Regionswechsel, Konto-Vervielfachung oder das Aushebeln von Schutzkomponenten, die mit dem Spiel laufen. Thema sind Zugangsdiagnose, das Verhalten verwalteter Netzwerke und die Frage, welcher Teil des Traffics sich tatsaechlich weiterleiten laesst. Die Einhaltung der Nutzungsbedingungen von Riot liegt in der Verantwortung des Nutzers.

Wie viele verschiedene Vorgaenge fuehrt der Client im Netzwerk aus?

Das Client-Fenster ist eine Oberflaeche, die mit einer eingebetteten Browser-Engine gezeichnet wird. Shop, Profil, Match-Verlauf und Event-Seiten, die Sie sehen, kommen im Hintergrund ueber HTTPS-Anfragen; auf Transportebene sind das Anfragen ueber TCP, die Reihenfolgegarantie verlangen und keinen Verlust tolerieren. Diese Familie unterscheidet sich strukturell nicht von dem, was Ihr Browser tut, und ist deshalb der Teil, der am ehesten in den Geltungsbereich einer Proxy-Einstellung faellt.

Beim Match-Start aendert sich das Bild. Der Kanal, der Echtzeit-Statusaktualisierungen traegt, zieht es vor, dass ein Paket gar nicht ankommt, statt zu spaet: Eine verlorene Positionsaktualisierung erneut anzufordern, ist sinnlos, denn die naechste ist ohnehin schon unterwegs. Dieses Verhalten wird auf Transportebene mit UDP abgebildet, und ein klassischer HTTP-Proxy transportiert kein UDP. Der fuer HTTPS aufgebaute CONNECT Tunnel uebertraegt ausschliesslich TCP-Bytes.

Ein Patch-Tag ist nicht dasselbe wie ein gewoehnlicher Abend

Der Patch-Download stellt vom Volumen her alle anderen Posten in den Schatten und kommt gebuendelt aus einem Content Delivery Network. Entscheidend ist hier nicht die Latenz, sondern die Bandbreite und das Kontingent Ihres Exits. Nutzen Sie einen nach Datenvolumen abgerechneten Exit, kann ein einziger grosser Patch einen betraechtlichen Teil Ihres Monatsplans auf einmal aufbrauchen. Die einzige Aufgabe desselben Exits am Match-Abend besteht dagegen darin, kleine, aber haeufige Pakete puenktlich zu transportieren.

Welche Tuer bleibt im Campus- und Unternehmensnetzwerk geschlossen?

Die meisten verwalteten Netzwerke reduzieren ausgehenden Traffic auf eine schmale Menge: TCP 443, meist TCP 80 und den fuer die Namensaufloesung reservierten Kanal. Alles Uebrige wird stillschweigend verworfen. Das Erscheinungsbild dieser Richtlinie im Spiel-Client ist sehr typisch — der Login klappt, der Patch laedt, der Shop oeffnet sich, doch beim Aufbau des Matches kommt die Verbindung einfach nicht zustande. Die Ursache liegt nicht im Client, sondern in der Regel am Netzwerkrand.

An dieser Stelle muss man trennen, was ein Proxy leisten kann und was nicht. Erlaubt Ihr Netzwerk, ueber 443 einen Proxy-Server zu erreichen, koennen Sie Ihre TCP-basierten Vorgaenge ueber diesen Proxy fuehren. Aber selbst wenn der Proxy einen Tunnel oeffnet, transportiert er TCP; ist UDP am Netzwerkrand gesperrt, kommt der Match-Stream trotzdem nicht durch. Genau hier zerbricht die Erwartung "Ich richte einen Proxy ein, dann ist alles gut".

Der richtige Weg ist nicht, die Regel zu umgehen, sondern sie kennenzulernen. In Campus- und Firmennetzwerken faellt Gaming-Traffic in den meisten Organisationen nicht unter die Richtlinie zur zulaessigen Nutzung; Versuche ohne Ruecksprache mit dem Netzwerkteam nuetzen nichts und koennen Sanktionen nach sich ziehen, die nicht das Konto, sondern das Geraet betreffen. Wie Zugangssperren in solchen Umgebungen klassifiziert werden, Zugangssperren in Schul- und Firmennetzen behandelt der Beitrag ausfuehrlich.

In geteilten Leitungen wie Wohngemeinschaften, Wohnheimen und Internetcafes ist das Problem dagegen meist nicht die Regel, sondern die Menge: Sehr viele Personen nutzen dieselbe Exit-Adresse, die Adresse ist auf Carrier-Ebene geteilt, und das Mapping fuer eingehende Verbindungen ist kurzlebig. In dieser Umgebung macht ein fester Exit zumindest vorhersehbar, von welcher Adresse aus Ihre Verbindung erscheint.

Warum verhalten sich Shop-, Marktplatz- und Kontoseiten anders?

Die Shop- und Profilbildschirme im Client sind Webseiten, die dem eingebetteten Browser ausgeliefert werden. Deshalb ist die Wahrscheinlichkeit, dass sie von einer systemweiten Proxy-Einstellung erfasst werden, deutlich hoeher als beim Match-Prozess. In der Praxis sieht das Bild meist so aus: Die Seiteninhalte kommen ueber den Exit, waehrend Oberflaechensprache und Waehrung anhand der serverseitigen Kontoeinstellung gezeichnet werden.

Hier ist eine haeufige Annahme zu korrigieren. Das Land Ihrer Exit-Adresse aendert nicht die Region, an die Ihr Konto gebunden ist. Die Region ist eine Eigenschaft des Kontos; Serverliste, Freundesliste und gekaufte Inhalte haengen an dieser Region. Den Netzwerkweg zu aendern, uebertraegt diesen Kontext nicht. Fuer Nutzer, die die Region wechseln moechten, ist die richtige Anlaufstelle der offizielle Dienst des Spiels selbst, nicht eine Exit-Einstellung.

Warum ist der Zahlungsschritt eine eigene Schicht?

Der Kaufprozess interessiert sich nicht nur dafuer, welche Seite Sie sehen; Ausstellungsland der Karte, Rechnungsadresse und Kontoregion werden gemeinsam bewertet. Eine Abweichung zwischen diesen dreien und dem Ort, von dem die Verbindung kommt, aeussert sich als zusaetzliche Verifizierung oder als abgelehnte Transaktion. Regionale Preisunterschiede zu recherchieren und aus einer anderen Region kaufen zu wollen, sind zwei verschiedene Dinge; Letzteres verstoesst gegen die Nutzungs- und Zahlungsbedingungen der meisten Plattformen. Fuer Recherche-Szenarien, die lediglich die Preisdarstellung pruefen, Recherche regionaler Preise in Game-Stores heranziehen.

Auf Seiten der Kontoseiten kommt es vor allem auf Konsistenz an. Ein Session-Cookie wird nach dem Anlegen mit Ihnen mitgefuehrt; dass die Adresse innerhalb weniger Minuten zwischen weit entfernten Laendern springt, aehnelt plattformseitig keinem ueblichen Nutzungsmuster. In jedem Szenario mit Anmeldung erzeugt ein fester (sticky) Exit weniger Reibung als ein rotierender Pool.

Wo hilft die UDP-ASSOCIATE-Methode von SOCKS5, und wo endet sie?

Das SOCKS5-Protokoll definiert eine eigene Methode fuer den UDP-Transport. Der Client baut zunaechst einen TCP-Kontrollkanal zum Proxy auf, authentifiziert sich und sendet anschliessend eine UDP-Association-Anfrage. Der Proxy antwortet darauf mit einer Relay-Adresse und einem Port, an die er die Datagramme senden wird. Der Client verpackt seine UDP-Pakete danach mit einem kleinen Header, der das eigentliche Ziel angibt, und schickt sie an diesen Relay-Punkt.

So klar die Definition ist, in der Praxis muessen drei Bedingungen gleichzeitig erfuellt sein. Erstens muss der Proxy-Server diese Methode tatsaechlich implementieren; ein erheblicher Teil der Anbieter erlaubt nur TCP-Verbindungen. Zweitens muss der Client sie beherrschen; die meisten Spiel-Clients bieten kein SOCKS5-Einstellungsfeld, weshalb sie sich ohne eine zwischengeschaltete Weiterleitungsschicht auf Systemebene nicht nutzen lassen. Drittens muss das dazwischenliegende Netzwerk UDP zulassen.

Das vierte und meist uebersehene Detail ist folgendes: Die UDP-Association haengt an dem TCP-Kontrollkanal, aus dem sie hervorgegangen ist. Faellt dieser Kanal aus, schliesst auch das Relay, und Sie erleben mitten im Spiel einen stillen Abbruch. Der schrittweise Ablauf der Methode und die Anforderungen auf Anbieterseite SOCKS5-UDP-Unterstuetzung werden im Beitrag ausfuehrlich behandelt.