Bei der Verbindung zu Silkroad Online: die Wahl des Regionsservers, das kontoabhaengige Regionsverhalten, NAT-Typ und die Grenzen des Hole Punching sowie die Netzwerkseite von Community-Servern.

Den Zugang in Unternehmens- und Campus-Netzen regeln

In Wohnheim-, Campus- und Buero-Netzen sind die Ausgangsregeln meist mit Blick auf Web-Traffic geschrieben: 80 und 443 sind offen, die uebrigen Ports gesperrt. Da Spieldienste ausserhalb dieser beiden Ports lauschen, kommt keine Verbindung zustande. Das Symptom ist eindeutig: Der Browser funktioniert problemlos, der Spiel-Client laeuft in einen Timeout.

An diesem Punkt gilt es nicht, die Regel der Netzwerkadministration zu umgehen, sondern die richtige Frage zu stellen: Zu welchen Zielen darf ueber welche Ports herausgegangen werden? Im Unternehmensumfeld ist die legitime Loesung, den Bedarf zu dokumentieren und einen zugelassenen Exit einrichten zu lassen. Im Heimnetz besteht die Einschraenkung dagegen meist nur aus einer Einstellung in Ihrem Router und liegt in Ihrer eigenen Kontrolle. Den allgemeinen Rahmen des Themas finden Sie im Beitrag zu Zugangssperren in Schul- und Firmennetzen.

Eine weitere haeufige Situation ist ein zwischengeschalteter Kontrollpunkt im Netz. In einer solchen Umgebung sehen Sie im Browser Zertifikatswarnungen; das weist darauf hin, dass die TLS-Session entschluesselt und neu verschluesselt wird. Im Unternehmensnetz kann das eine bewusste Entscheidung sein, bei einem Exit, den Sie nicht kennen, ist es dagegen ein Signal innezuhalten (TLS-Zertifikatsprüfung).

Das Problem eingehender Verbindungen: NAT, Hole Punching und die Bedeutung der Richtung

Die grundlegende Frage, die Netzwerkwerkzeuge unterscheidet, lautet: Wer initiiert die Verbindung? Ein klassischer Proxy transportiert die von Ihnen initiierten Verbindungen nach aussen. Eine Verbindung, die von aussen zu Ihnen aufgebaut werden soll, kann er nicht annehmen, denn dafuer muesste der Proxy in Ihrem Namen lauschen und die eingehende Anfrage Ihnen zuordnen – das gehoert architektonisch auf die Seite des Reverse Proxy (Unterschied zwischen Forward und Reverse Proxy).

Auch die bei Peer-to-Peer-Verbindungen genutzte Hole-Punching-Technik beruht auf dieser Frage der Richtung. Beide Seiten senden Pakete nach aussen, in ihren NAT-Geraeten entstehen temporaere Zuordnungen, und ueber diese Zuordnungen erreichen die Pakete einander. Befindet sich eine der Seiten hinter einem symmetrischen NAT, das fuer jedes Ziel einen anderen externen Port vergibt, ist die Zuordnung nicht vorhersagbar und das Verfahren funktioniert nicht. Der Befehl BIND von SOCKS5 fordert theoretisch das Lauschen auf eine eingehende TCP-Verbindung an, doch die meisten kommerziellen Anbieter geben diesen Befehl nicht frei.

Die praktische Schlussfolgerung daraus: Verbinden Sie sich als Spieler, ist die Richtung zu Ihren Gunsten, und der Proxy erfuellt seine Aufgabe. Wollen Sie dagegen auf Ihrer eigenen Maschine einen Dienst betreiben, zu dem sich andere verbinden, ist der Proxy das falsche Werkzeug; was Sie brauchen, ist Port-Weiterleitung oder eine Loesung auf Hosting-Seite. Unterschied zwischen Proxy und NAT behandelt diese Unterscheidung, CGNAT der Beitrag erklaert, warum in Mobilfunknetzen keine eingehenden Verbindungen angenommen werden koennen.

Community-Server: Was sich auf der Netzwerkseite aendert

Die Community-Seite von Silkroad ist lebendig; Gruppen, die eigene Server aufsetzen, sind verbreitet. Netzwerktechnisch bedeutet das eine Umkehrung der Rolle. Jetzt sind Sie die lauschende Seite: Ihre Adresse wird bekannt gegeben, Spieler verbinden sich zu Ihnen, und jede Verbindung ist Last fuer Ihren Anschluss. In dieser Konstellation gilt die Funktion des Proxys auf Spielerseite nicht.

Vier Themen stehen im Vordergrund. Erreichbarkeit: Ihre Maschine muss von aussen erreichbar sein, also in einem Netz stehen, das eingehende Verbindungen annimmt. Rechtlicher Rahmen: Die Urheberrechte an Client- und Serversoftware des Spiels liegen beim Publisher, und der Betrieb eines Community-Servers beruehrt diese Rechte; bevor Sie hierzu eine Entscheidung treffen, sollten Sie die einschlaegigen Nutzungsbedingungen lesen. Kapazitaet: Mit steigender Zahl gleichzeitiger Spieler wird die Upstream-Bandbreite zum eigentlichen Engpass. Kontinuitaet: Wartungsfenster, Backups und das Management von Ausfaellen liegen nun in Ihrer Verantwortung.

Die letzte Zeile zeigt, wo ein Proxy fuer Serverbetreiber wirklich wertvoll ist: Wenn Sie den Zugriff auf Ihre Verwaltungsoberflaeche nur von einer bestimmten Adresse zulassen, koennen sich Teammitglieder ueber einen einzigen statischen Exit verbinden statt ueber wechselnde Heimanschluesse. Eine Loesung mit statischer Adresse wie ein ISP Proxy passt zu diesem Szenario; der Methodenvergleich Authentifizierungsmethoden .

Protokollwahl und der Ort der Einrichtung

Da der Spiel-Client einen rohen TCP-Socket oeffnet, genuegt ein auf Anwendungsebene arbeitender HTTP-Proxy allein nicht. Das CONNECT Verfahren des HTTP-Proxys oeffnet zwar einen TCP-Tunnel und koennte sich theoretisch mit einem beliebigen Ziel verbinden, doch die meisten Anbieter beschraenken dieses Verfahren auf bestimmte Ports wie 443. SOCKS5 traegt diese Einschraenkung nicht; es interpretiert das transportierte Protokoll nicht und laesst den Zielport frei (HTTP-CONNECT-Methode).

Der Ort der Einrichtung ist die zweite Entscheidung. Anwendungsbasiertes Routing erfasst nur den Spielprozess und beeinflusst Ihre uebrigen Taetigkeiten nicht. Die Einstellung des Betriebssystems erreicht nur die Anwendungen, die diese Schnittstelle auslesen. Eine Regel auf Router-Ebene erfasst dagegen alle Geraete einschliesslich der Konsole. Die Schritte unter Windows Windows-Proxy-Einstellungen wird im Beitrag erklaert.

Das Format der Zugangsdaten ist bei jeder Methode gleich: ein Hostname, ein Port, ein Benutzername und ein Passwort. Die beispielhaften proxy.example.com, 8080, username und password Werte zeigen nur, wo die Felder stehen; die echten Daten finden Sie im Panel Ihres Anbieters. Arbeiten Sie aus einem Buero mit statischer IP, kann eine IP-Autorisierung praktischer sein als ein Passwort, waehrend fuer mobile Nutzer Benutzername und Passwort flexibler sind.

Exit-Standort, Route und Stabilitaet langer Sessions

Bei der Wahl des Exits ist die geografische Naehe fuer sich genommen irrefuehrend. Entscheidend ist nicht die Luftlinie, sondern die Route, die das Paket nimmt; manchmal laeuft ein Exit im Nachbarland ueber mehr Stationen als ein weiter entferntes Rechenzentrum. Waehlen Sie den Standort deshalb nicht nach der Landkarte, sondern nach der Messung: Vergleichen Sie einige Exit-Kandidaten Ping-Test und wiederholen Sie die Messung zu verschiedenen Tageszeiten.

Bei langen Sessions ist nicht die durchschnittliche Latenz das eigentliche Thema, sondern die Schwankung. Eine schwankende Leitung ist weitaus stoerender als eine stabile mit etwas hoeherer Latenz; bei Aktivitaeten ohne Toleranz fuer Unterbrechungen, etwa einer Karawanenreise, wird der Unterschied genau hier spuerbar. In gemeinsam genutzten Pools kann die Schwankung zu Spitzenzeiten zunehmen; Fuer einen ausfuehrlichen Vergleich erklaert dieses Verhalten.

Die Erwartung muss richtig gesetzt werden: Da eine Station dazwischengeschaltet wird, verlaengert sich der Gesamtweg, und der Proxy erhoeht die Latenz in der Regel. Es ist moeglich, dass ein Exit ein besseres Ergebnis liefert als Ihre Standardroute, aber das ist eine Ausnahme und laesst sich nur durch Messung bestaetigen. Zur Bewertung der Kontinuitaet koennen Sie die Kriterien Uptime und SLA heranziehen, zur Frage, wie eine Geschwindigkeitsmessung durchzufuehren ist, den Beitrag zum Testen der Proxy-Geschwindigkeit.

Haeufige Situationen und ihre richtige Deutung

Die zweite Zeile fasst die Kernaussage dieser Seite zusammen. Aendert sich die Verbindungsrichtung, aendert sich auch das Werkzeug; mit einem Forward Proxy wird keine eingehende Verbindung angenommen. Die vierte Zeile verweist auf einen verbreiteten Konfigurationsfehler: Bei Aufgaben mit einer offenen Session ist statt eines Rotating Proxy ein statischer Exit erforderlich.

Abschliessend lohnt es sich, an den Bereich zu erinnern, den ein Proxy nicht abdeckt. Wollen Sie den gesamten Traffic Ihres Geraets in einen einzigen Tunnel legen, ist das gesuchte Werkzeug ein anderes; den Vergleich finden Sie im Beitrag zum Unterschied zwischen SOCKS5 und VPN. Interessiert Sie das Netzwerkverhalten eines anderen Clients derselben Generation, behandelt die Lineage 2-Seite eine aehnliche Architektur.