Restrição de UDP e inspeção de pacotes por país ou operadora UDP blocking, throttling and inspection by networks
ID da causa isp-udp-block · Responsável principal Externo (Externo) · Também envolvidos Desenvolvimento do cliente (Equipe de desenvolvimento), Desenvolvimento do servidor (Equipe de desenvolvimento), Infraestrutura de rede (Equipe de infraestrutura)
Algumas redes bloqueiam endereços e portas UDP específicos ou limitam a velocidade do UDP, e equipamentos de inspeção de pacotes filtram protocolos que não reconhecem. Jogos que se comunicam por UDP não conectam nessas redes ou caem com frequência.
Por quê Conexão a partir de redes de operadoras que limitam a velocidade do UDP ou de redes com equipamentos de inspeção de tráfego (censura) em nível de país ou operadora → Efeito Endereços e portas UDP específicos são bloqueados, o UDP é limitado nos horários de pico, portas ou protocolos fora de uma lista de permissões são filtrados, ou só os primeiros pacotes passam antes do bloqueio → Na tela Só jogadores de certos países ou operadoras: não conecta ou fica em loading infinito, desconexão logo depois de conectar, teleporte por perda de pacotes nos horários de pico
Logo após login ou manutenção, Sempre, Horário de pico à noite
Responsável
Responsável principal Externo (Externo) · Também envolvidos Desenvolvimento do cliente (Equipe de desenvolvimento), Desenvolvimento do servidor (Equipe de desenvolvimento), Infraestrutura de rede (Equipe de infraestrutura)
O que fazer (Equipe de desenvolvimento)
Cliente: mudar automaticamente para um caminho alternativo por TCP/TLS 443 se o UDP não conectar em alguns segundos, detectar também conexões que caem logo depois de conectar e tentar de novo pelo caminho alternativo, registrar no log por qual caminho conectou. Servidor: aceitar o mesmo protocolo do jogo também por TCP 443 (TLS), ajustar os timeouts porque o caminho alternativo pode ter mais latência.
O que fazer (Equipe de infraestrutura)
Antes de lançar em um novo país, medir nas redes das operadoras locais se o UDP chega e qual é a perda no horário de pico, colocar perto da região relays ou gateways que aceitem o caminho alternativo por TCP 443, monitorar as taxas de sucesso de conexão UDP e TCP por país e ASN, reunir evidências e acionar as operadoras em que a limitação de UDP for confirmada.
O que fazer (Externo)
Perguntar à operadora ou ao órgão responsável quais são os critérios de restrição de UDP e se é possível flexibilizar, orientar os jogadores a conectar de outra rede para comparar.
Números de referência
Segundo medições citadas em um documento do IETF, 3–5% das redes bloqueiam todo o UDP. Quando o Google analisou o uso do QUIC (baseado em UDP) em 2016, 4,4% dos clientes não conseguiam usá-lo porque o UDP ou o QUIC estava bloqueado ou o MTU do caminho era pequeno; a maioria estava atrás de firewalls corporativos, e não se viu nenhum caso de uma operadora inteira bloqueando. Outros 0,3% estavam em redes em que a perda aumentava muito no horário de pico, aparentemente por limitação de UDP; o Google reduziu esse número de 1% em 2015 com pedidos às operadoras.
No gráfico
Alto só em alguns · Taxa de sucesso de conexão UDP (por país/ASN)
Onde olhar
Separar por país e ASN a taxa de sucesso de conexão UDP e a do caminho alternativo por TCP 443. A partir de uma VM de nuvem ou do PC de um jogador na rede dessa operadora, testar a conexão na porta UDP do jogo e no TCP 443 separadamente, e comparar mtr -u -P (porta do jogo) com mtr -T -P 443 para ver a partir de qual trecho as respostas somem
Confirma se
Só em um país ou ASN específico, o UDP não recebe a primeira resposta ou cai em poucos segundos, enquanto o TCP 443 funciona do mesmo lugar. Se for limitação de velocidade, a perda de UDP sobe claramente só no horário de pico, e o TCP é menos afetado
Descarta se
O TCP também falha: aponta para falha de rota, bloqueio de IP ou “Falha ou lentidão no DNS”. Igual em todos os países: configuração do nosso servidor ou firewall. Perda só em momentos de muito volume, tanto em UDP quanto em TCP: “Descarte do excedente pelo policer”
Como verificar
Ferramentas de infra (sem precisar do código do jogo)
Saiba mais
Segundo um documento de levantamento do IRTF, equipamentos de inspeção de pacotes podem selecionar fluxos UDP por endereço, porta e protocolo e bloqueá-los, ou bloquear tudo menos os protocolos permitidos (lista de permissões). Se o equipamento decide olhando só alguns campos do pacote, uma pequena mudança no protocolo já pode causar bloqueio. No início do QUIC, um firewall deixava passar os primeiros pacotes depois que 1 bit do cabeçalho mudou e bloqueava os seguintes, e a lógica do cliente de voltar para o TCP nunca chegou a ser acionada. Ao lançar em um novo país, isso pode aparecer em reports como “na Coreia funciona, mas em algumas operadoras daquele país não conecta”. Se o bloqueio acontece só na rede de um local, como um café ou um escritório, veja o verbete “Restrições em Wi-Fi público e rede corporativa”.
Fontes
RFC 9308: Applicability of the QUIC Transport ProtocolIETF Estudos de medição mostram que 3–5% das redes bloqueiam todo o UDP, então apps baseados em UDP precisam aceitar falhas de conexão ou ter um caminho alternativo por TCP (TLS); firewalls podem bloquear portas não associadas a um serviço registrado
The QUIC Transport Protocol: Design and Internet-Scale Deployment (SIGCOMM 2017)ACM 2016: 4,4% dos clientes não conseguiam usar QUIC sobre UDP (UDP/QUIC bloqueado ou MTU do caminho pequeno, principalmente atrás de firewalls corporativos; nenhum bloqueio de uma operadora inteira foi observado), 0,3% estavam em redes que pareciam limitar o UDP (mais perda no horário de pico; caiu de 1% em 2015 depois de pedidos às operadoras), e um firewall que deixava passar só os primeiros pacotes depois da mudança de 1 bit do cabeçalho e bloqueava o resto, anulando a lógica de voltar para o TCP
RFC 9505: A Survey of Worldwide Censorship TechniquesIRTF Equipamentos de inspeção na rede podem selecionar e bloquear fluxos TCP e UDP por endereço, porta e protocolo (já se observou bloqueio de endpoints UDP no QUIC); permitir só os protocolos aprovados leva a bloqueio excessivo, e a limitação de velocidade de tráfegos específicos também é usada
mtr(8) manual page sourcemtr Envia UDP com -u ou TCP SYN com -T e define a porta de destino com -P, para medir a rota com o mesmo protocolo e a mesma porta do jogo