Proxy fuer Stellaris: Reichweite, UDP und die Realitaet von NAT

Peer-to-Peer-Verbindung, NAT-Typ und Hole Punching

In dem Modell, in dem einer der Spieler die Sitzung traegt, wird die Verbindung zwischen zwei Heimnetzen aufgebaut. Beide Seiten befinden sich hinter NAT: Der Router bildet die interne Adresse auf die externe ab und laesst eine von aussen kommende Verbindung nur herein, wenn zuvor ein Mapping angelegt wurde. Deshalb wird fuer den Verbindungsaufbau zwischen zwei NATs ein Handshake-Verfahren namens Hole Punching genutzt: Beide Seiten senden gleichzeitig ein Paket nach aussen, und in den Routern entsteht ein wechselseitiges Mapping.

Ein Proxy passt nicht in dieses Bild. Ein Proxy-Exit erhaelt das fuer Hole Punching noetige Quellport-Verhalten nicht; zudem baut der zwischengeschaltete Knoten das Mapping ueber sich selbst auf, und die Gegenseite sieht nicht die Adresse Ihres Routers, sondern die des Exits. In den meisten Setups fuehrt das dazu, dass die Peer-to-Peer-Sitzung ueber den Proxy gar nicht erst zustande kommt. Warum NAT und Proxy unterschiedliche Aufgaben erfuellen Unterschied zwischen Proxy und NAT verglichen.

Auf einer Leitung mit symmetrischem NAT oder Carrier-Grade NAT (CGNAT) wird die Lage noch enger: Eingehende Verbindungen werden nicht angenommen, und Sie koennen im Router nicht einmal eine Portweiterleitung einrichten. In diesem Fall ist die wirksame Loesung kein Proxy, sondern beim Provider eine echte oeffentliche Adresse anzufordern oder das Hosting dem Spieler mit der geeigneten Verbindung zu ueberlassen.

Eine weitere Unterscheidung ist noetig: Hole Punching ist kein Verfahren zur Umgehung einer Sicherheitsmassnahme, sondern eine Standardtechnik des Verbindungsaufbaus, an der beide Seiten freiwillig teilnehmen. Es ist der noetige Schritt, damit die Router die Absicht erkennen koennen, wenn sich zwei Spieler miteinander verbinden wollen. Dass ein Proxy diesen Schritt nicht unterstuetzt, ist kein Mangel, sondern die natuerliche Folge seines Designs: Der Proxy baut die Verbindung stellvertretend fuer den Client selbst auf und erhaelt nicht die Spur Ihres Sockets in der Aussenwelt.

Pruefung nach der Einrichtung: Was weisen Sie wie nach?

Eine Regel zu schreiben zeigt nicht, dass der Traffic tatsaechlich darueber laeuft. Der erste Schritt der Pruefung ist das Auslesen der Ausgangsadresse; der zweite ist zu messen, welche Prozesse erfasst werden. Das sind zwei verschiedene Fragen und sie verlangen verschiedene Werkzeuge.

Die Namensaufloesung wird in den meisten Setups uebersehen. Bei SOCKS5 kann der Client das Ziel in seinem eigenen Netz aufloesen und dem Proxy nur eine IP uebergeben; in diesem Fall ist fuer Ihren lokalen DNS-Server sichtbar, mit welchem Server Sie sich verbinden, und es wird ein Ihnen naher Verteilknoten gewaehlt, waehrend die Verbindung aus einem anderen Land herausgeht. DNS-Leak-Test misst das.

Die zweite Kontrolle ist, ob der Proxy der Anfrage Header hinzufuegt. Manche Exits fuegen den Header X-Forwarded-For oder Via hinzu; das bedeutet, dass die Gegenseite bereits bei der ersten Anfrage sieht, dass die Verbindung von einem Zwischenknoten kommt. Proxy-Anonymitaetstest meldet, welche Header mitgefuehrt werden.

Die dritte ist die Belastbarkeitspruefung. Ein Spiel-Client und der Update-Dienst im Hintergrund oeffnen gemeinsam mehr gleichzeitige Verbindungen als erwartet; ist die Obergrenze erreicht, ist das Symptom keine Fehlermeldung, sondern ein stiller Abbruch. Was das Limit bedeutet und wie es zu planen ist Limit gleichzeitiger Verbindungen erlaeutert der Beitrag.

Welcher Exit-Typ, welcher Standort?

Die Typwahl haengt von der Art der Aufgabe ab. Bei downloadlastiger Nutzung ist die entscheidende Variable die Bandbreite; hier ist ein Datacenter-Exit zugleich die schnellste und die guenstigste Option. Wird ein Exit mit einem Profil nahe am Heimnetz benoetigt, kommen Residential oder ISP infrage, deren Bandbreite jedoch von der Leitung abhaengt und deren Kosten bei grossen Transfers schnell wachsen.

Fuer die Standortentscheidung gilt nur eine Regel: Verlaengern Sie den Weg nicht. Den Exit sowohl Ihnen als auch dem Ziel nahe zu halten verhindert unnoetige interkontinentale Umwege. Wenn Sie aus der Tuerkei spielen und mit einem Freund in der Tuerkei spielen, bringt ein Exit auf einem anderen Kontinent nur Nachteile.

Auch der Grad des Sharings ist nicht weniger wichtig als der Typ. Ein Exit in einem vollen Pool verhaelt sich zu Stosszeiten selbst dann wechselhaft, wenn er vom richtigen Typ ist. In einer lang laufenden Sitzung zeigt sich diese Schwankung als Abbrueche, die bei einer einmaligen Messung nicht sichtbar werden.

Der Adresstyp bestimmt ausserdem, wie leicht sich diagnostizieren laesst. Bei einem statischen Exit haben Sie im Problemfall die Variable fixiert: Sie koennen es von derselben Adresse erneut versuchen und die Ergebnisse vergleichen. Bei einem Setup, das jedes Mal eine andere Adresse aus dem Pool vergibt, koennen Sie denselben Test kein zweites Mal durchfuehren, weil Sie beim zweiten Versuch ueber einen voellig anderen Weg hinausgehen. In einem Spiel mit langen Sitzungen ist das der Unterschied, den man aus den Produktmerkmalen nicht abliest, in der Praxis aber am deutlichsten spuert.

Symptom und Ursache: Schnelle Diagnosetabelle

Die Zertifikatswarnung ist der ernsteste Punkt dieser Liste. Ein sauber eingerichteter HTTPS-Proxy greift nicht in die TLS-Sitzung ein, er transportiert nur verschluesselte Bytes. Sehen Sie eine Warnung, wird Ihr Traffic irgendwo entschluesselt und neu verschluesselt; sie in einer Sitzung mit Kontodaten zu uebergehen hiesse, Ihre Zugangsdaten der zwischengeschalteten Seite in lesbarer Form zu uebergeben.

Bei den uebrigen Punkten ist die Methode dieselbe: eine Variable nach der anderen. Wenn Sie Exit, Protokoll und Regelschicht gleichzeitig aendern, erfahren Sie unabhaengig vom Ergebnis nie den Grund. Sich das Ausprobierte kurz zu notieren verhindert, dass Sie denselben Weg ein zweites Mal gehen.

Latenzbudget und Kontinuitaet in langen Sitzungen

Ein Proxy setzt eine Station dazwischen; der Gesamtweg wird laenger. Deshalb verbessert ein Proxy die Latenz des Spiels nicht, sondern erhoeht sie in den meisten Setups etwas. In einem Spiel mit langsamem Rundentempo sind einige Dutzend Millisekunden nicht spuerbar, doch in langen Sitzungen geht es weniger um Latenz als um Kontinuitaet: Schon eine kurze Unterbrechung stoert die Synchronisation und kann dazu fuehren, dass Sie aus der Sitzung fliegen.

Drei Dinge beeinflussen die Kontinuitaet. Das erste ist die Auslastung des Exits: In geteilten Pools veraendern Stosszeiten die Messung. Das zweite ist das Sitzungsfenster: Ist die Sticky-Dauer kuerzer als Ihre Arbeitssitzung, aendert sich die Adresse unbemerkt und die Verbindung bricht ab. Das dritte ist die Stabilitaet Ihrer eigenen Hausleitung; ein Proxy behebt sie nicht, sondern legt seinen eigenen Anteil obendrauf.

Messen Sie nicht nur einmal und belassen Sie es dabei. Denselben Exit zu verschiedenen Tageszeiten zu messen legt die Variable offen, die ein einmaliger Test verbirgt. Wenn Sie eine lange Sitzung planen, fuehren Sie die Messung zu der Uhrzeit durch, zu der die Sitzung beginnen soll.

Zuletzt sei die Reichweitenentscheidung noch einmal in Erinnerung gerufen: Was man in diesem Spiel von einem Proxy erwarten kann, sind Zugang und Nachvollziehbarkeit. Wenn Sie ueber Ihre eigene Leitung, aus Ihrem eigenen Land und mit Ihnen bekannten Spielern spielen, hat das Einziehen einer zusaetzlichen Schicht keinen konkreten Gegenwert.

Compliance, Datenschutz und Faelle, in denen ein Proxy ueberfluessig ist

Diese Seite behandelt Szenarien zu Zugang, Datenschutz und Netzwerkverwaltung. Die Einhaltung der Nutzungsbedingungen von Spielen und Stores liegt in der Verantwortung des Nutzers; Kontenvervielfachung, automatisiertes Spielen oder jede Nutzung, die in die Sicherheitsmassnahmen des Spiels eingreift, wird hier weder beschrieben noch empfohlen.

Auf der Datenschutzseite ist klar, was man wissen muss: Der Proxy-Anbieter kann verschluesselte Inhalte nicht lesen, aber er kann sehen und protokollieren, mit welchen Adressen Sie sich verbinden. Deshalb ist die Anbieterwahl weniger eine technische als eine Vertrauensentscheidung. Vertrauen Sie einen Datenstrom mit Kontodaten keinem Exit an, ohne dessen Logging-Richtlinie gelesen zu haben.

Die Faelle, in denen ein Proxy wirklich nuetzt, sind eng: aus einem Unternehmens- oder Campusnetz mit einer einzigen nachvollziehbaren Adresse hinauszugehen, mehrere Rechner ueber einen einzigen Exit zu verwalten, festzuhalten, wie eine Shop-Seite aus einem anderen Land aussieht, oder die Ursache eines Netzwerkproblems durch Aenderung des Wegs einzugrenzen. In den meisten uebrigen Szenarien lautet die richtige Antwort, die Schicht gar nicht erst einzuziehen.