Unitymedia Fehler "HTTP 403 - Verboten", Portfreigabe an ConnectBox nötig für besondere, ältere Online-Spiele (LotRO)?

[Dragon]

Es ist komisch, dass der angebliche Fachbegriff "asymmetrical packet routing" nur auf den Seiten der Entwickler auftaucht. Es ist nämlich das standardmäßige Verhalten sehr vieler Protokolle. Wenn du dieses Forum aufrufst, kommt die Anfrage auch von einem zufällig ausgewähltem Port und nicht von Port 80 bzw. 443. Auch NAT kann den Quellport verändern. Der Zielport bestimmt dagegen den Dienst, der auf dem Server aufgerufen wird und darf nicht verändert werden.

 

[boba]

Da ich am Router manuell keine Ports freigegeben habe, scheint der Spiele-Client dafür zu sorgen, und zwar nicht nur für einen lokal-port, sondern gleich für mehrere (die genannten ports 9000-9010 und 2900-2910). Wie im Artikel vom SSG Support von weiter oben und auch in der oben zitierten Antwort erwähnt, benutzen die ausgehenden und eingehenden Pakete nicht nur einen Port, sondern u.U. verschiedene ("asymmetrical packet routing"). Ich verstehe das so, dass beispielsweise der lokale Spiele-Client von Port 9000 aus ein Paket (über den Router) an den remote Spiele-Server sendet, und dieser das Antwort Paket beispielsweise an den lokalen Port 9001 zurück sendet.

Das Antwortpaket geht immer an denselben Port zurück, von dem das Anfragepaket abgeschickt worden ist. Wenn das nicht so wäre, dann müsste man in der Tat eine Portweiterleitung eintragen. Habe ich noch nie gesehen, außer vielleicht in den absoluten Anfangstagen der Netzwerkkommunikation vor 30 Jahren, weil solches Verhalten nämlich beim Client hohen Konfigurationsaufwand erfordert, aber keinen wirklichen Benefit auf Programmier-Seite hat. Seit vielen Jahren schon sehen die Bedienkonzepte vor, dass die Programmierung so zu gestalten ist, dass der Anwender möglichst nichts konfigurieren muss. Es muss einfach von sich aus funktionieren. Größere Produktionen halten sich strikt an sowas, weil jeder Fehler, den ein Anwender machen kann, erhöhten Supportaufwand benötigt, und die Anwender, die nicht in der Lage sind Konfigurationen durchzuführen, die Anwendung nicht kaufen. Es geht also Umsatz verloren. Außerdem wären Spiele, die eine Portweiterleitung erfordern, an dslite-Anschlüssen nicht spielbar. Den Umsatz will sich niemand entgehen lassen, dafür sind viel zu viele Kunden auf dslite - bei Unitymedia vermutlich so um die 50-70% würde ich schätzen, also Millionen.

 

[PhilG]

Es ist komisch, dass der angebliche Fachbegriff "asymmetrical packet routing" nur auf den Seiten der Entwickler auftaucht. Es ist nämlich das standardmäßige Verhalten sehr vieler Protokolle. Wenn du dieses Forum aufrufst, kommt die Anfrage auch von einem zufällig ausgewähltem Port und nicht von Port 80 bzw. 443. Auch NAT kann den Quellport verändern. Der Zielport bestimmt dagegen den Dienst, der auf dem Server aufgerufen wird und darf nicht verändert werden.

Bei diesen Foren-Diskussionen besteht immer die Gefahr von Missverständnissen bzw "Aneinander-vorbei-reden".
Aus meiner Sicht logisch wäre folgender Ablauf, und ich denke, das ist mit "asymmetrical paket routing" gemeint:
- mein PC sendet ein Paket (Anfrage) von einem beliebigen Port (Quellport, z.B. 9000) an einen Server, z.B. auf port 443 (Zielport) für eine https Anwendung (z.B. dieses Forum)
- der Server sendet das Antwort Paket (auf die vorige Anfrage) von seinem Port (443, oder einem anderen port?) an meinen PC, wieder auf port 9000 (im Idealfall), oder eben auf einen anderen Port aus der Range 9000 bis 9010 (z.B. 9001)

Das wird dann durch Portfreigabe erreicht (die wohl der Spiele-Client am Router erledigt, selbst bei LotRO aus 2007).
Portweiterleitung ist sicher etwas anderes und ich habe auch schon öfters gelesen, dass das mit DS-Lite etc nicht mehr geht. Unter Weiterleitung verstehe ich, dass ein Paket-Verkehr der immer an einem Port ankommt (z.B. 9000) immer an einen anderen umgeleitet wird (z.B. weil eine andere Anwendung diesen Port bereits belegt).

 

[why_]

Ich hab das jetzt einfach mal selbst ausprobiert und ich muss sagen, was ein Ranz von der Ops Abteilung von lotro.
TLS Zertifikat ist fürs Signup abgelaufen seit über einem halben Jahr. Der Spielclient wird per HTTP statt HTTPS verteilt, der Spielclient lädt auch alles per HTTP. Die Account Bestätigungsemail kommt ohne Transport Verschlüsselung, die SPF Einträge inkludieren nicht die IP von der die Email kommt. Somit können Leute die einen Email Provider haben der darauf prüft sich nicht einmal Registrieren.
Ganz ehrlich wer seine Infrastruktur so verkommen lässt hat verdient das sein Spiel von niemanden mehr gespielt wird und die dafür verantwortlichen ihren Job verlieren.
Der Client lädt dann auch noch 3310 Dateien einzeln Nacheinander runter, das ist natürlich sehr förderlich für die Performance der Installation Dieses Spiel ist auf technischer Ebene durchweg 10 von 10 Scheiße.

Am ende kommt dann raus das die account Registrierung von denen im Arsch ist. Ja danke für nichts, was ein Drecksladen.

 

[Joerg123]

- mein PC sendet ein Paket (Anfrage) von einem beliebigen Port (Quellport, z.B. 9000) an einen Server, z.B. auf port 443 (Zielport) für eine https Anwendung (z.B. dieses Forum)
- der Server sendet das Antwort Paket (auf die vorige Anfrage) von seinem Port (443, oder einem anderen port?) an meinen PC, wieder auf port 9000 (im Idealfall), oder eben auf einen anderen Port aus der Range 9000 bis 9010 (z.B. 9001)

der Server antwortet (ich denke) von Port 443, aber an den Port, von welchem das Paket gekommen ist - nur damit ist es deinem Router auch möglich, die Herkunft des Paketes zu erkennen und an das passende Lan-Gerät/deinen PC zu schicken.
Ich denke die Sache wird verständlicher, sobald man sich 2 PCs im Lan vorstellt: woher soll der eigene Router wissen, an welchen Client er ein Paket zu schicken hat ? OK, mit einer Freigabe/Portweiterleitung würde das gehen, dann hätte aber immer nur dieser eine PC im Lan die Möglichkeit HTTPS (also in diesem Beispiel) zu nutzen und das will doch keiner.
Im Prinzip hat man das Problem ja schon auf einem einzigen PC, sobald man mehrere Webseiten-Karteikarte, oder verschiedene Browser öffnet, oder auch noch ein Emailprogramm usw: der PC schickt die Daten raus, da hat jeder Prozess seine eigene Portnummer über welche die Daten raus geschickt werden, damit die auf diesem Port zurückkommenden Daten eben den passenden Prozess erreichen und dort zu einer Webseite, oder zu einer Email, oder einem Video zusammengesetzt werden. Der Absender-Port ist völlig unabhäng von der Portnummer zu sehen, welche man anspricht.
Von daher schickt der Server zurück an die Portnummer von der das eingehende Paket gekommen ist und dazu weiss der Router eben auch, von welchem Lan-Gerät das Paket gekommen ist, sprich wohin die Antwort geschickt werden muss und über den Port,über den der PC die Daten erhält (das ist ja ebenfalls nicht 443 oder 9000), weiss der PC dann auch, welcher Anwendung, welchem Webbrowser oder welcher Karteikarte im Webbrowser, oder welchem Onlinespiel der PC dieses kleine für sich ja wertlose Paket Daten zuordnen soll (eine Webseite oder ein gestreamter Film kommt ja nicht in einem Datenpaket daher), damit in diesem Prozess zusammen mit ein paar tausend weiteren Datenpaketen die da vom Server kommen, eine Webseite dargestellt wird, oder eine Email nebst Anhang im Posteingang liegen.

 

[PhilG]

Ich hab das jetzt einfach mal selbst ausprobiert und ich muss sagen, was ein Ranz von der Ops Abteilung von lotro.
TLS Zertifikat ist fürs Signup abgelaufen seit über einem halben Jahr. Der Spielclient wird per HTTP statt HTTPS verteilt, der Spielclient lädt auch alles per HTTP. Die Account Bestätigungsemail kommt ohne Transport Verschlüsselung, die SPF Einträge inkludieren nicht die IP von der die Email kommt. Somit können Leute die einen Email Provider haben der darauf prüft sich nicht einmal Registrieren.
Ganz ehrlich wer seine Infrastruktur so verkommen lässt hat verdient das sein Spiel von niemanden mehr gespielt wird und die dafür verantwortlichen ihren Job verlieren.
Der Client lädt dann auch noch 3310 Dateien einzeln Nacheinander runter, das ist natürlich sehr förderlich für die Performance der Installation Dieses Spiel ist auf technischer Ebene durchweg 10 von 10 Scheiße.

Am ende kommt dann raus das die account Registrierung von denen im Arsch ist. Ja danke für nichts, was ein Drecksladen.

Da ich mich in den Details zu wenig auskenne, kann ich das nicht beurteilen, aber du hast ja schon einige Problemstellen aufgeführt. Meine Gedanken dazu sind, dass der Post hier allerdings leider niemand weiterbringt, sondern höchstens destruktiv bzw. im besten Fall unprofessionell wirkt. Natürlich sind Foren im Allgemeinen und auch das unitymedia Forum hier auch für "Meinungsaustausche" gut, aber die Leute (wie ich in diesem Fall) erhoffen sich auch "Hilfe".

Eine bessere Idee wäre, dass Du dem Support von StandingStoneGames deine Ideen zur Verbesserung des Spiele-Clients bzw -Technik - möglichst professionell - mitteilst, das könnte evtl. zur Verbesserung des technischen Designs führen. Ich würde das auch selber machen, kenne ja aber die Details nicht.

Das Studio Turbine hat die Spiele im Rahmen einer Umstrukturierung Richtung Online-Games für Mobile Devices abgegeben:
mein-mmo.de/der-herr-der-ringe-online-entwickler-mobile/

Das StandingStone Games Studio (Publisher ist Daybreak Games) ist offensichtlich ein neues Studio, es bleibt abzuwarten, ob es da in Zukunft bergab oder bergauf geht.
buffed.de/Der-Herr-der-Ringe-Online-Die-Schatten-von-Angmar-Spiel-21221/News/Standing-Stone-Games-Daybreak-Games-1218277/

 

[PhilG]

Bald kann dann auch ich endlich Links posten...

 

[why_]

Wieso sollte ich daran interessiert sein möglichst Professionell hier irgendwas zu machen? Ich schreibe hier Privat und die Entwickler von dem Spiel haben ja auch offensichtlich kein Interesse irgendwas Professionell zu machen, da wurde an allen Ecken und Kanten geschlampt und falls die tatsächlich Interesse haben ihr Grundgerüst zu verbessern dann können die mich bezahlen, dann gibt es auch einen Professionellen Bericht.

Aber zu deinem Problem, das hat immer noch nichts mit irgendwelchen Firewalls zu tun und ich verstehe auch nicht wie man überhaupt auf die Idee kommen kann das es an der Firewall liegen könnte wenn man offensichtlich schon durch die Firewall durch ist und mit dem HTTP Server spricht.
Ich tippe darauf das irgendwer im auf dem gleichen AFTR versucht da accounts zu hacken und die haben deine IP geblacklisted, da die natürlich passend zum Rest der Infrastruktur kein IPv6 unterstützen kannst DU auch nichts dagegen machen.
Das ist ein Problem das der Support von denen Lösen muss!

Aber meine Persönliche Empfehlung ist deinstallier das Spiel und vergesse das es existiert.

 

[y0r]

Aber zu deinem Problem, das hat immer noch nichts mit irgendwelchen Firewalls zu tun und ich verstehe auch nicht wie man überhaupt auf die Idee kommen kann das es an der Firewall liegen könnte wenn man offensichtlich schon durch die Firewall durch ist und mit dem HTTP Server spricht.

Weil für manche Menschen die IT eben ein Wunschdenken ist und die sich lieber vorstellen wie etwas funktionieren könnte, statt es nachzulesen.

Ich könnte jetzt allerdings gemein sein und eine WAF ins Spiel bringen. Da könnte man sogar mit der Firewall den 403 erzeugen.
Ansonsten hat ein http Statuscode NADA NULL NICHTS mit einer L3/4 Firewall zu tun.

 

[PhilG]

Aber zu deinem Problem, das hat immer noch nichts mit irgendwelchen Firewalls zu tun und ich verstehe auch nicht wie man überhaupt auf die Idee kommen kann das es an der Firewall liegen könnte wenn man offensichtlich schon durch die Firewall durch ist und mit dem HTTP Server spricht.
Ich tippe darauf das irgendwer im auf dem gleichen AFTR versucht da accounts zu hacken und die haben deine IP geblacklisted, da die natürlich passend zum Rest der Infrastruktur kein IPv6 unterstützen kannst DU auch nichts dagegen machen.
Das ist ein Problem das der Support von denen Lösen muss!

Was bedeutet "AFTR"?
Von ferne betrachtet leuchtet mir das ein, der Empfang der HTTP 403 Fehlermeldung bedeutet ja, dass man in beide Richtungen durch die Firewall durch ist.

Ich hab danach gefragt, weil das Thema Portfreigabe der einzige Hinweis auf den Support-Seiten von StandingStoneGames war (neben dem Thema Windows-Firewall), und mir das Thema Ports / Portfreigabe bisher komplett schleierhaft war, mich aber genauso wie das Menu der ConenctBox interessiert hat. Ich habe schon einiges über IP und HTTP-Fehler nachgelesen, das hat mich aber in Bezug auf das Thema Ports nicht weitergebracht. Die Posts hier haben dann schon einiges erklärt, also danke dafür.

Jetzt hab ich immer noch eine Frage aus Interesse - wird nicht umgesetzt, keine Sorge:
In der ConnectBox kann man Regeln zur Portfreigabe sowohl für "Eingehend" (Standard) als auch für "Ausgehend" erstellen. Wenn ich eine neue Regel für "Eingehend" erstelle, ist die Quelle = Server, und Ziel = mein Router bzw. PC? Dreht sich das dann bei der "Ausgehend" Regel um?
Oder ist die Quelle immer = mein PC, das Ziel immer = Server?

(10. Post -> )

 

[Torsten1973]

AFTR = Address Family Transition Router, wird von Providern eingesetzt, um rare IPv4-Adressen zu sparen. Die Kundenanschlüsse werden per IPv6 only angebunden, der IPv4-Traffic läuft über den DS-lite-Tunnel zum AFTR. Der AFTR-Server leitet die IPv4-Pakete in den IPv4-Bereich des Internet weiter und empfängt die Antworten, verpackt sie in IPv6 und leitet sie zum Kunden zurück.