The Finals und Proxy: Welcher Traffic geht in den Tunnel?

Wenn man ueber Proxys fuer The Finals spricht, muss zuerst eines klar sein: Das Netzwerkverhalten des Spiels ist nicht aus einem Guss. Die Session des Store-Clients, der Login-Dienst des Spiels selbst, die Matchmaking-Queue und das Match selbst sprechen mit verschiedenen Endpunkten, oft mit verschiedenen Transportprotokollen. Eine Proxy-Konfiguration wirkt nicht auf alle in gleicher Weise.

In der Praxis sieht das Ergebnis meist so aus: Nach dem Einrichten des Proxys oeffnen sich die Shop-Seite und der Kontobildschirm des Spiels aus dem erwarteten Land, aber die Verbindung im Match verhaelt sich, als haette sich nichts geaendert. Das ist keine Stoerung, sondern die direkte Folge des Unterschieds in der Transportschicht.

Der zweite Punkt betrifft die Erwartung. Ein Proxy fuegt Ihrem Verbindungsweg eine Station hinzu; er ist kein Beschleuniger. Die richtige Frage lautet nicht "wird mein Spiel schneller", sondern "welche Anfrage soll ueber welchen Exit laufen und was kostet das".

Wohin verbindet sich der Client, bis ein Match startet?

Wenn Sie das Spiel starten, ist die erste Gegenstelle nicht der Match-Server. Zuerst verifiziert der Store-Client seine eigene Session, danach erkennt der Login-Dienst des Spiels Ihr Publisher-Konto. Diese Schritte laufen ueber TCP mit TLS, nutzen also dieselbe Transportform wie gewoehnlicher Web-Traffic und koennen durch den Tunnel eines HTTP-Proxys laufen. Ist Ihr Setup korrekt, sieht die Gegenseite in dieser Phase Ihre Exit-IP-Adresse.

Die zweite Phase ist die Matchmaking-Queue. Der Client verbindet sich mit Kontrolldiensten fuer Regionsliste, Queue-Status und Session-Informationen. Auch hier liegt das Gewicht auf der TCP-Seite, aber nun wird das Timing wichtig: Dauern Queue-Anfragen zu lange, kann das Spiel einen Fehler der Art "Server nicht gefunden" zurueckgeben. Nutzen Sie einen weit entfernten Exit, spueren Sie die Latenz nicht nur im Match, sondern auch im Menue.

Die dritte Phase ist das Match selbst. Positions-Updates, Schussereignisse und Zerstoerungsdaten werden mit vielen kleinen Paketen pro Sekunde transportiert. Ein solcher Stream verlangt keinen Transport, der den Fluss anhaelt, um ein verlorenes Paket erneut zu senden; deshalb wird in Spielen ueberwiegend UDP genutzt. In der vierten Phase endet das Match, und Fortschrittsspeicherung, Statistik- und Shop-Anfragen kehren in die Webschicht zurueck.

Warum muss man diese Unterscheidung kennen?

Weil der Umfang des Proxys in diesen vier Phasen nicht derselbe ist. Haben Sie die Regel nur fuer Ihren Browser eingetragen, wird keine einzige Spielanfrage weitergeleitet. Haben Sie eine systemweite Einstellung vorgenommen, ist die Webschicht abgedeckt, aber der UDP-Stream verlaesst Ihr Geraet hoechstwahrscheinlich weiterhin ueber Ihre normale Leitung. Der praktischste Weg, das mit eigenen Augen zu pruefen, ist das Spiel zu schliessen, aus demselben Profil IP-Abfrageseite zu oeffnen und die angezeigte Adresse zu notieren.

Was transportiert der CONNECT-Tunnel, und wo kommt SOCKS5 ins Spiel?

Ein HTTP Proxy öffnet für HTTPS-Ziele mit CONNECT oeffnet mit dieser Methode einen Tunnel, und dieser Tunnel wird ueber TCP aufgebaut. Er liest die durchlaufenden Bytes nicht, aber was er transportiert, ist ein TCP-Stream. Die UDP-Pakete des Spiels koennen nicht in diesen Tunnel; der Client uebergibt sie direkt an den Netzwerkstack, und die Pakete gehen ueber Ihren normalen Exit hinaus. Das Detail der CONNECT-Methode erlaeutert dieses Verhalten Schritt fuer Schritt.

SOCKS5 Auf der Seite von ist das Bild etwas breiter. Das Protokoll hat einen Befehl namens UDP ASSOCIATE , und dieser Befehl erlaubt den Transport von UDP-Datagrammen ueber den Proxy. Diese Faehigkeit muss jedoch auf beiden Seiten vorhanden sein: Der Proxy-Server muss UDP ASSOCIATE unterstuetzen und der Client muss sie zu nutzen wissen. Die ueberwiegende Mehrheit der Spiele-Clients liest die System-Proxy-Einstellung fuer UDP nicht aus; selbst wenn die Unterstuetzung proxyseitig vorhanden ist, nutzt das Spiel sie also nicht.

In der Praxis heisst das: Eine Proxy-Konfiguration fuer The Finals deckt realistisch den Traffic von Login, Shop, Patch-Download und Launcher ab. Ob der Stream im Match durch den Tunnel laeuft, haengt davon ab, ob der Client selbst UDP-Transport ueber SOCKS5 unterstuetzt, und das kann man nicht voraussetzen. Wenn Sie die UDP-Seite des Protokolls genauer betrachten wollen, erlaeutert der Beitrag SOCKS5-UDP-Unterstuetzung die Grenzen des Themas.

Publisher-Konto, Zwei-Faktor-Authentifizierung und ploetzlicher Standortwechsel

In The Finals ist Ihre Identitaet im Spiel nicht exakt dasselbe wie Ihr Store-Konto: Auf der Store-Seite gibt es eine Session, auf der Publisher-Seite des Spiels ein separates Konto, mit dem diese verknuepft ist. Sobald Sie einen Proxy nutzen, aendert sich der auf beiden Seiten hinterlegte Standort. Das ist fuer sich genommen kein Problem, doch Sie sollten in dem Bewusstsein vorgehen, dass Sie in zwei Systemen zugleich einen neuen Zugangspunkt schaffen.

Die entscheidende Unterscheidung bei der Kontosicherheit lautet: Ein Standortwechsel allein ist kein Risiko, ploetzlicher und inkonsistenter Standortwechsel faellt auf. Ein Konto, in das an einem Tag aus zwei weit entfernten Laendern eingeloggt wird, loest auf den meisten Plattformen eine zusaetzliche Verifizierung aus. Haben Sie keine Wiederherstellungs-E-Mail und keinen funktionierenden zweiten Faktor zur Hand, kann diese Verifizierung Sie aus Ihrem eigenen Konto aussperren.

Bringen Sie die Reihenfolge deshalb nicht durcheinander. Richten Sie zuerst die Zwei-Faktor-Authentifizierung ein und bewahren Sie die Backup-Codes ausserhalb des Spielrechners auf; wechseln Sie erst danach den Exit. Stellen Sie sicher, dass die Wiederherstellungs-E-Mail erreichbar ist - auch Ihr E-Mail-Anbieter kann den Standortwechsel auf seiner Seite bewerten, und wenn das erste Glied der Kette reisst, nuetzt der Rest nichts.

• Aktivieren Sie die Zwei-Faktor-Authentifizierung vor der Proxy-Einrichtung.
• Bewahren Sie die Backup-Codes ausserhalb des Geraets auf, auf dem Sie spielen.
• Nutzen Sie fuer ein Konto einen einzigen, festen Exit; wechseln Sie nicht haeufig das Land.
• Geben Sie Ihre Zugangsdaten nicht weiter; Proxy-Zugang ist kein Kontozugang.
• Betreiben Sie nicht gleichzeitig VPN und Proxy, die Diagnose wird sonst unmoeglich.

Auch Ihre Zugriffsmethode ist eine Sicherheitsentscheidung. IP-Autorisierung ist bei festen Anschluessen praktisch, aber sobald sich Ihr Anschluss aendert, verlieren Sie den Zugang; Benutzername und Passwort funktionieren von ueberall, sind dafuer aber ein teilbares Geheimnis. Die Abwaegung zwischen beiden Methoden Authentifizierungsmethoden verglichen.

Anti-Cheat-Komponente und Nutzungsbedingungen: Wo liegt die Grenze?

Wie alle kompetitiven Shooter enthaelt auch The Finals eine clientseitig laufende Anti-Cheat-Komponente. Diese Komponente ueberwacht den Systemzustand und soll die Integritaet des Spiels schuetzen. Eine netzwerkseitige Routing-Entscheidung ist nicht das unmittelbare Ziel dieser Komponente; Methoden, die versuchen, in deren Arbeit einzugreifen, sind jedoch nicht Thema dieser Seite und werden es auch nicht sein.

Die zweite Grenze sind die Nutzungsbedingungen. Publisher legen in ihren eigenen Vertraegen fest, wie regionale Inhalts- und Preisregelungen zu nutzen sind; auch Mehrfachkonten, kommerzieller Weiterverkauf und Verhaltensweisen zur Beeinflussung des Matchmaking-Pools stehen in denselben Texten. Ein Proxy ist ein technisches Werkzeug und ersetzt diese Texte nicht: Das Werkzeug zu nutzen hebt Ihre Pflicht zur Vertragstreue nicht auf.

Die legitimen und unstrittigen Anwendungsfaelle sind ohnehin breit genug. Aus einem Unternehmens- oder Campusnetz ueber eine feste und registrierte IP-Adresse hinauszugehen, zu pruefen, wie eine Shop-Seite aus einem anderen Land aussieht, die Erreichbarkeit eines Community-Servers zu messen oder den Traffic an einem einzigen Exit zu buendeln, damit das Netzwerkteam Regeln schreiben kann, sind nur einige davon. Wie Zugriffsprobleme aufgrund von Netzwerkrichtlinien diagnostiziert werden, Zugangssperren in Unternehmensnetzen finden Sie im Beitrag.

Die Anteile der Latenz: Was wiegt wie viel?

Die Gesamtlatenz einer Verbindung ist nicht das Ergebnis einer einzigen Zahl. Die letzte Meile Ihres eigenen Zugangsanschlusses, die Distanz zwischen Ihnen und dem Exit, die Distanz zwischen Exit und Spieleserver sowie die momentane Last der Exit-Maschine wirken zusammen. Wenn Sie einen Proxy nutzen, kommen dieser Liste neue Posten hinzu; keiner faellt weg. Deshalb erhoeht eine zusaetzliche Station die Latenz in aller Regel.

Es gibt eine seltene Ausnahme, und sie muss ausdruecklich als Ausnahme dargestellt werden: Dreht Ihre Standardroute eine unnoetige Runde, kann ein Exit an einem direkteren Backbone den Gesamtweg verkuerzen. Das ist kein Versprechen, sondern eine Moeglichkeit, die man ohne Messung nicht annehmen darf, und sie ist nur fuer Anfragen der Webschicht relevant - der UDP-Stream laeuft ohnehin nicht durch den Tunnel und bleibt unberuehrt. Die Diskussion des Themas senkt ein Proxy den Ping im Spiel wird im Beitrag ausführlich dargestellt.

Verlassen Sie sich bei Messungen nicht auf ein einmaliges Ergebnis. Bei einem geteilten Exit kann der Unterschied zwischen Stosszeit und ruhiger Stunde groesser sein als der Unterschied zwischen zwei verschiedenen Anbietern. Bevor Sie einen Exit in Dienst nehmen, den Ping-Test wiederholen Sie dies zu verschiedenen Tageszeiten und notieren Sie die Ergebnisse; Ihre Vergleichsbasis muss immer die Messung bei ausgeschaltetem Proxy sein.

Auch der Exit-Typ gehoert in dieses Bild. ISP Proxy ist eine Zwischenloesung, die im Anbieternetz gehostet wird, aber die Stabilitaet eines Servers besitzt, und verhaelt sich bei Aufgaben, die gleichmaessige Geschwindigkeit verlangen, vorhersehbar. Bei Pools, die aus Heimanschluessen gespeist werden, schlaegt dagegen die Variabilitaet der Leitung selbst direkt auf Ihre Messung durch.