Satisfactory Proxy: Welcher Client verbindet sich wohin?

Was macht SOCKS5 beim Transport von Datagrammen tatsaechlich?

Der Standardweg, UDP ueber einen Proxy zu leiten, ist der Befehl UDP ASSOCIATE des SOCKS5-Protokolls. Der Client baut zunaechst eine TCP-Kontrollverbindung zum Proxy auf, fordert darueber die Datagramm-Weiterleitung an, und der Proxy meldet eine eigene Relay-Adresse zurueck. Danach wird jedes Datagramm an diese Adresse gesendet.

Das entscheidende Detail: Der Client kann das Datagramm nicht unveraendert senden. Er muss jedem Paket einen kleinen Header voranstellen, der das Ziel angibt – reserviertes Feld, Fragmentierungskennzeichen, Adresstyp, Zieladresse und Port. Der Proxy liest diesen Header, leitet die Nutzlast an das tatsaechliche Ziel weiter und gibt die Antwort mit demselben Header zurueck.

Deshalb ist UDP-Unterstuetzung kein Haekchen in einer Checkbox, sondern eine Faehigkeit, die auf Clientseite Protokollwissen voraussetzt. Erzeugt ein Spiel-Client diesen Header nicht, gelangt der Spiel-Traffic nicht in den Tunnel – so leistungsfaehig der Proxy auch sein mag. SOCKS5 Genau hier wird auch der Unterschied zur Vorgaengerversion deutlich; Unterschied zwischen SOCKS4 und SOCKS5 Der Beitrag arbeitet diese Unterscheidung im Detail heraus.

Gesperrte Ports in Campus- und Unternehmensnetzen

Die meisten Hochschul- und Firmennetze beschraenken den ausgehenden Traffic auf eine definierte Menge. Die typische Richtlinie lautet: Web-Traffic frei, alles Uebrige gesperrt. In einem solchen Netz ist es das erwartete Ergebnis, dass keine Spiel-Session zustande kommt, und die Ursache ist nicht Ihre Konfiguration, sondern das Regelwerk des Netzes.

Was loest ein Proxy in einem solchen Netz, was nicht? Loesen kann er die Anwendungsebene: Ein Endpoint, den der Launcher nicht erreicht, laesst sich moeglicherweise als Web-Traffic erreichen. Nicht loesen kann er die Transportebene – ist ausgehendes UDP ohnehin blockiert, aendert ein hinter dieser Sperre definierter Proxy nichts. Was Portnummern aussagen, dazu hilft Proxy-Portnummern der Beitrag weiter.

Der richtige Schritt ist der administrative: der Netzwerkadministration schriftlich mitzuteilen, auf welches Ziel Sie mit welchem Protokoll und zu welchem Zweck zugreifen moechten. In Unternehmensnetzen sind solche Anfragen nicht selten und werden meist mit einer definierten Ausnahme geloest. Zu versuchen, die Netzwerkrichtlinie technisch zu umgehen, verstoesst gegen die Regeln der Organisation und liefert keine dauerhafte Loesung. Den allgemeinen Rahmen des Themas Zugriffssperren in Schul- und Firmennetzwerken .

Auf Netzwerkseite gibt es zudem einen Pruefschritt: zu trennen, ob die Sperre tatsaechlich im Netz oder im Client liegt. Testen Sie dieselbe Verbindung von einem anderen Geraet und nach Moeglichkeit ueber einen anderen Anschluss. Proxy-Check-Tool sagt Ihnen, ob der Exit erreichbar ist; kombiniert man beides, wird die Ebene des Problems klar.

In eingeschraenkten Netzen gibt es noch eine haeufige Zwischenform: Der Traffic ist frei, aber ueberwacht. Leitet die Organisation den ausgehenden Web-Traffic ueber einen eigenen Kontrollpunkt, kommt die Verbindung zustande, doch die zwischengeschaltete Ebene baut die TLS-Session mit ihrem eigenen Zertifikat neu auf. Das Anzeichen dafuer ist auf Launcher-Seite eine Zertifikatswarnung oder ein Validierungsfehler. In einer solchen Umgebung bringt eine zweite Proxy-Kette nichts, ausser die Diagnose zu erschweren; zuerst muss man das Verhalten des vorhandenen Kontrollpunkts kennen.

Nutzungsbedingungen, Serverregeln und Anti-Cheat

Die Nutzung eines Proxys aendert nichts an den Regeln des Dienstes, mit dem Sie sich verbinden. Der Vertrag des Publishers, die Bedingungen der Store-Plattform und die eigenen Regeln des Community-Servers, dem Sie beitreten, gelten unveraendert weiter. Der Proxy aendert lediglich, von welcher Adresse die Verbindung kommt – und auch diese Adresse wird serverseitig protokolliert.

Diese Seite verfolgt nicht das Ziel, in Anti-Cheat-Mechanismen einzugreifen, Kontosanktionen auszuhebeln oder regionale Beschraenkungen zu umgehen. Auch technisch ist diese Erwartung falsch: Systeme, die die Client-Integritaet pruefen, sehen nicht auf die Netzwerkadresse, sondern untersuchen den laufenden Prozess und das Verhalten im Spiel. Eine Adressaenderung ist kein Eingabewert dieser Pruefung.

Legitime Beduerfnisse sind dagegen real. Die Erreichbarkeit eines von Ihnen gehosteten Servers von aussen an einem anderen Punkt zu pruefen, die regionale Darstellung von Store-Seiten zu untersuchen, beim Zugang aus einem Unternehmensnetz eine feste Adresse zu verwenden. In diesen Szenarien ist der Proxy ein Werkzeug fuer Sichtbarkeit und Routing und steht in dieser Form nicht im Widerspruch zu den Vertraegen.

Authentifizierung und Zugriffsverwaltung

Proxy-Anbieter gewaehren den Zugang auf eine von zwei Arten: ueber Benutzername und Passwort oder ueber Adressautorisierung. Der Unterschied zeigt sich, sobald Sie von mehreren Geraeten arbeiten. Die Adressautorisierung ist bei statischen Anschluessen praktisch, doch bei jeder Neuvergabe Ihrer Leitung verlieren Sie den Zugang; Benutzername und Passwort funktionieren ueberall, sind aber ein teilbares Geheimnis. Die Details der Methoden Proxy-Authentifizierungsmethoden .

Auf Launcher-Seite wird ein weiteres Detail wichtig: Manche Download-Clients unterstuetzen die Proxy-Authentifizierung nur mit dem Basisverfahren, andere gar nicht. Startet ein Download ueber einen Exit mit Authentifizierung nicht, liegt es meist an dieser Inkompatibilitaet, und die Loesung ist der Wechsel zur Adressautorisierung.

Die zweite Zeile der Tabelle ist der Punkt, der am meisten Zeit kostet. Gibt es fuer den Spiel-Client keine eigene Einstellung, wird angenommen, die Systemeinstellung erfasse ihn mit; tatsaechlich aendert sich nichts, solange der Client die Systemeinstellung nicht ausliest. Diese Annahme mit einer Messung zu pruefen, ist der einzige Schritt, der die Diagnose verkuerzt.

HTTPS-Tunneling: Was macht CONNECT tatsaechlich?

Da nahezu der gesamte Launcher-Traffic HTTPS ist, hilft es bei der Diagnose zu wissen, wie der Proxy diesen Traffic transportiert. Der Client sendet an den Proxy eine Anfrage der Form CONNECT hedef.example:443 ; der Proxy oeffnet eine TCP-Verbindung zum Ziel und beginnt bei Erfolg, den rohen Byte-Strom zwischen beiden Seiten weiterzuleiten. Der TLS-Handshake findet innerhalb dieses Tunnels zwischen Client und Ziel statt.

Das hat zwei praktische Folgen. Erstens kann der Proxy den verschluesselten Inhalt nicht lesen; er hat keinen Zugriff auf die Bedeutung der transportierten Bytes. Zweitens sieht der Proxy im Klartext, mit welchem Host Sie sich verbinden, und kann dies protokollieren. Diese Unterscheidung macht die Anbieterwahl zu einer Vertrauensentscheidung. Die Details des Verfahrens HTTP-CONNECT-Methode wird im Beitrag erklaert.

Die dritte Folge betrifft die Diagnose: Ein Fehler beim Aufbau des Tunnels kommt nicht vom Ziel, sondern vom Proxy. Verlangt der Proxy eine Authentifizierung, meldet er das, bevor der Tunnel geoeffnet wird; das Ziel wurde dann nie erreicht. Beim Lesen der Fehlermeldung des Launchers muss man deshalb unterscheiden, ob der Fehler auf der Proxy-Ebene oder am Ziel entstanden ist.

Eine Zertifikatswarnung ist eine eigene Kategorie. In einem korrekt funktionierenden Tunnel mischt sich der Proxy nicht in die TLS-Session ein. Sehen Sie eine Warnung, wird Ihr Traffic entschluesselt und neu verschluesselt; ausserhalb eines Unternehmensnetzes ist das ein Signal, innezuhalten und den Exit zu hinterfragen.

Reihenfolge der Pruefung nach der Einrichtung

Vertrauenswuerdig ist eine Installation nicht in dem Moment, in dem die Einrichtung abgeschlossen ist, sondern in dem Moment, in dem die Pruefung abgeschlossen ist. Die Reihenfolge lautet: zuerst die Erreichbarkeit des Exits, dann die Richtigkeit des Geltungsbereichs, zuletzt die Messung der Performance. Wer diese Reihenfolge verletzt, vermischt die Ergebnisse.

• Pruefen Sie mit einem unabhaengigen Werkzeug, dass der Exit antwortet; Fehler bei den Zugangsdaten fangen Sie hier ab.
• Kontrollieren Sie bei geoeffnetem Launcher, dass die sichtbare Adresse dem erwarteten Exit entspricht.
• Bewerten Sie den Spiel-Client getrennt; nehmen Sie nicht an, dass die Systemeinstellung ihn erfasst.
• Beobachten Sie beim Herunterladen eines Updates, dass Geschwindigkeit und Kontinuitaet akzeptabel sind.
• Nehmen Sie die Messungen als Vorher- und Nachher-Werte mit demselben Werkzeug und zu aehnlichen Uhrzeiten vor.

Der am haeufigsten uebersprungene Punkt dieser Liste ist der dritte. Zu sehen, dass der Spiel-Client ausserhalb des Proxy-Geltungsbereichs bleibt, kann enttaeuschen – doch die richtige Information ist besser als eine falsche Erwartung: Eine bewusst im Wissen um den Geltungsbereich aufgesetzte Konfiguration sagt Ihnen auch, wo Sie bei Problemen suchen muessen.

Eine Gewohnheit, die die Pruefung erleichtert, ist eine kurze Notiz zu jeder Konfiguration: welcher Software welcher Exit zugewiesen wurde, mit welcher Methode die Authentifizierung erfolgt, wann die Messung erfolgte. Bei einer Installation mit drei verschiedenen Programmen beantwortet diese Notiz einige Wochen spaeter die Frage: "Warum hatte ich das so eingestellt?" Dieselbe Notiz liefert ausserdem eine Vergleichsgrundlage, wenn sich das Verhalten nach einem Update aendert.

Nehmen Sie Aenderungen schliesslich einzeln vor. Wenn Sie Exit, Protokoll und Client-Einstellung gleichzeitig aendern, wissen Sie nicht, woher die Verbesserung kommt; und tritt das Problem erneut auf, fangen Sie wieder von vorn an.