Roblox mit Proxy nutzen: Die Web-Schicht wird geroutet, die Spiel-Session nicht

Wenn der Roblox-Client startet, beginnen zwei getrennte Netzwerkverhalten gleichzeitig. Das erste ist gewoehnlicher Web-Traffic: Login, Profil, Katalog, Gruppenseiten, Kaufdialoge und Supportformulare laufen ueber HTTPS. Das zweite ist das Erlebnis selbst; sobald Sie einem Erlebnis beitreten, oeffnet der Client zu dem von der Plattform zugewiesenen Server eine datagrammbasierte Session.

Diese Unterscheidung ist die Grundlage jeder Entscheidung auf dieser Seite. Ein im Browserprofil hinterlegter Exit umfasst die Web-Schicht und beruehrt die Spiel-Session nicht. Eine systemweite Einstellung wiederum betrifft Anwendungen, die TCP nutzen; Datagramme, die ueber hohe dynamische Ports ausgehen, bleiben ausserhalb dieser Reichweite.

Eine Anmerkung vorweg: Nichts von dem hier Beschriebenen dient dazu, die Kontoregion zu aendern oder die Regeln der Plattform zu dehnen. Ziel ist, in legitimen Szenarien wie Unternehmensnetzverwaltung, Zugriffstests und Datenschutz genau zu wissen, wo die Reichweite endet.

Mit welchen Endpunkten spricht der Client?

Der erste Endpunkt ist die Identitaets- und Kontoschicht. Login, Zwei-Schritt-Verifizierung, Profileinstellungen und Guthabenanzeigen sind klassische Web-Anfragen. Diese Schicht ist aus Proxy-Sicht der gutmuetigste Teil: Es genuegt, eine Regel in ein Browserprofil zu schreiben, die Anfragen verlassen den Tunnel und die Gegenseite sieht Ihre Exit-Adresse.

Der zweite Endpunkt ist die Inhaltsauslieferung. Assets, Texturen, Sounds und Modelldateien der Erlebnisse werden aus einer Verteilinfrastruktur geladen. Vom Volumen her ist das groesser als die Web-Schicht und der Bereich, der ein Datenkontingent am schnellsten aufbraucht. Nutzen Sie einen Exit, der nach uebertragenem Volumen abgerechnet wird, summiert sich dieser Posten bei langen Sessions von Kindern schneller als erwartet.

Der dritte Endpunkt ist die Spiel-Session. Der Client sendet Datagramme ueber hohe dynamische Ports an den zugewiesenen Server. Dieser Traffic gelangt nicht in den CONNECT Tunnel eines HTTP-Proxys, denn dieser Tunnel transportiert nur einen Bytestream. Hat eine strenge Firewall diese Ports nach aussen geschlossen, scheitert der Beitritt zum Erlebnis; das ist kein Proxy-Problem, sondern ein Problem der Ausgangsberechtigung.

Der vierte Endpunkt sind Mess- und Telemetrieanfragen; sie laufen waehrend der Session im Hintergrund in kleinen, regelmaessigen Abstaenden. Von der Reichweite her aehneln sie der Web-Schicht und bereiten bei einer Proxy-Einrichtung in der Regel keine Probleme.

Eine Diagnose ohne Trennung dieser vier Endpunkte sucht fast immer an der falschen Stelle. Dass sich die Website oeffnet, bedeutet nicht, dass sich das Spiel verbinden wird; dass sich das Spiel nicht verbindet, bedeutet nicht, dass in der Identitaetsschicht ein Problem liegt. Fuehren Sie die Kontrolle nach der Einrichtung nicht durch das Oeffnen einer einzelnen Seite durch, sondern indem Sie sich anmelden und einem Erlebnis beitreten; nur so werden beide Schichten geprueft.

Welche Schritte durchlaeuft der Beitritt zu einem Erlebnis?

Auch wenn der Beitritt wie ein einziger Klick wirkt, laeuft im Hintergrund eine Kette in fester Reihenfolge. Zuerst wird Ihre Session verifiziert, dann werden die Daten der Erlebnisseite geladen, anschliessend weist die Plattform Ihnen einen Server zu und teilt dem Client die Verbindungsadresse mit. Alle drei Schritte liegen in der Web-Schicht; Ihre Proxy-Regel kann bis hierhin alles umfassen.

Im vierten Schritt beginnt der Client, Datagramme an die zugewiesene Adresse zu senden. Hier aendert sich die Reichweite: Weder die im Browser hinterlegte Regel noch die meisten Systemeinstellungen haben in diesem Schritt eine Wirkung. Der fuenfte Schritt ist der Download der Assets und kehrt in die Web-Schicht zurueck; die Reichweite wechselt also waehrend eines einzigen Beitritts zweimal den Besitzer.

Auch die Stellen, an denen die Kette reissen kann, sind klar. Liegt ein Problem in der Web-Schicht, oeffnet sich die Erlebnisseite nicht oder der Login geraet in eine Schleife. Liegt das Problem im Datagramm-Schritt, oeffnet sich die Seite einwandfrei, der Ladebildschirm erscheint und die Verbindung bleibt dort haengen. Diese beiden Symptome unterscheiden zu koennen spart die Haelfte der Diagnosezeit.

Und es gibt einen stillen Fall: Die Verbindung kommt zustande, bricht aber nach einiger Zeit ab. Die haeufige Ursache dafuer ist, dass Zwischengeraete das offene Mapping in ein Timeout laufen lassen. Bei Setups, die den Traffic ueber TCP fuehren, entsteht ein aehnlicher Effekt durch das Verhalten des Verbindungspools; die Logik dahinter finden Sie unter Keep-Alive und Verbindungspool wird im Beitrag erklaert.

Worauf stuetzt sich die Serverzuweisung, und was bestimmt die Kontoseite?

Die Auswahl des Erlebnis-Servers stuetzt sich darauf, von wo Ihr Client im Netz aus gesehen wird, und auf die gemessenen Zugangsbedingungen. Diese Entscheidung faellt anhand des Wegs, ueber den der Datagramm-Traffic tatsaechlich ausgeht. Ein in Ihrem Browser hinterlegter Exit ist nicht Teil dieser Messung; die Erwartung, "im Browser einen Proxy einzutragen und in einer anderen Region zu spielen", ist daher technisch gegenstandslos.

Ein Setup, das den gesamten Traffic in ein anderes Land verlagert, bringt selbst dann nichts, wenn es moeglich ist. Der Weg wird laenger, jedes Paket passiert eine zusaetzliche Station und die Session laeuft schlechter. Ueber einen entfernten Exit zu spielen heisst, mit Latenz etwas zu bezahlen; was Sie dafuer erhalten, ist meist nur eine andere Exit-Adresse.

Die Kontoseite ist dagegen eine voellig eigene Registrierungsebene. Angezeigte Sprache, Waehrung, altersbasierte Einstellungen und Kaufbedingungen haengen an den in Ihrem Konto hinterlegten Angaben und dem genutzten Zahlungsmittel. Diese Angaben werden nicht ueber Ihre IP-Adresse bestimmt, ein Wechsel des Exits aendert sie also nicht. Zu versuchen, diese Angaben anders darzustellen, als sie sind, widerspricht den Nutzungsbedingungen der Plattform und ist nicht Thema dieser Seite.

Was umfasst der Proxy, je nachdem, wo Sie ihn eintragen?

Speziell bei Roblox ist die Reichweitenfrage entscheidender als die Protokollfrage. Die groesste Reichweite hat die Einstellung des Betriebssystems; diese betrifft jedoch Anwendungen, die TCP nutzen, und nicht jede Anwendung muss sie ueberhaupt auslesen. Das Browserprofil liefert die engste, aber vorhersehbarste Reichweite: Nur die in diesem Profil geoeffneten Tabs verlassen den Tunnel, Ihre uebrigen Aufgaben bleiben unveraendert.

Im Desktop-Client gibt es kein vorgesehenes Proxy-Feld. Das bedeutet nicht, dass sich der Traffic des Clients nicht routen liesse; es braucht jedoch einen prozessbasierten Router oder eine Regel auf Netzwerkebene. Bevor Sie eine solche Schicht einrichten, fragen Sie sich: Ist das, was Sie routen wollen, wirklich die Spiel-Session, oder ist es der Konto- und Website-Traffic? Fuer Letzteren muessen Sie den Client gar nicht anfassen.

Auf Mobilgeraeten gilt ein in den WLAN-Einstellungen eingetragener Proxy nur in diesem Netz und umfasst die Mobilfunkdaten nicht. Wechselt das Geraet auf mobile Daten, wird die Einstellung stillschweigend unwirksam; eine Warnung erscheint nicht. Im Unternehmensnetz liegt die Entscheidung dagegen nicht beim Nutzer, sondern beim Administrator: Der Ausgang erfolgt ueber ein einziges Gateway und die Regel wird zentral durchgesetzt.

Welche Reichweite Sie auch waehlen, fuehren Sie die Verifizierung innerhalb dieser Reichweite durch. Aus demselben Profil die Seite Meine IP-Adresse zu oeffnen und zu sehen, dass der Exit tatsaechlich gewechselt hat, erspart Ihnen stundenlange Fehldiagnosen.