CONNECT-UDP: UDP-Proxying über HTTP/3 (RFC 9298)

CONNECT-UDP ist ein in RFC 9298 („Proxying UDP in HTTP", August 2022) definiertes Verfahren, UDP-Datenverkehr über HTTP/3 zu tunneln. Es nutzt die Extended-CONNECT-Methode: Der Client sendet eine CONNECT-Anfrage mit dem Pseud-Header :protocol = connect-udp und der Ziel-Adresse als URI. Nach erfolgreicher Antwort werden die UDP-Datagramme als HTTP-Datagrams über die QUIC-Verbindung ausgetauscht.

Warum UDP über HTTP proxien?

Klassische Proxys verstehen nur TCP. Viele moderne Anwendungen setzen jedoch auf UDP: DNS, QUIC selbst, WebRTC, VPNs oder Echtzeit-Spiele. CONNECT-UDP schließt diese Lücke und erlaubt es, beliebigen UDP-Datenverkehr durch einen einzigen HTTPS-Port (443) zu schleusen — kaum von normalem Web-Traffic unterscheidbar. Ein wichtiger Nebeneffekt: Netzwerke, die UDP blockieren, können so umgangen werden, was CONNECT-UDP auch für datenschutzfreundliche Dienste interessant macht.

Ablauf im Detail

  • Der Client sendet CONNECT mit :protocol = connect-udp und der Ziel-URI (z. B. dns.example.com:53).
  • Der Server antwortet mit 2xx und aktiviert damit das Capsule-Protokoll (Header Capsule-Protocol: ?1).
  • Beide Seiten tauschen UDP-Payloads als Datagram-Capsules aus; zusätzlich definiert RFC 9298 einen Adress-Registrierungs-Mechanismus für wechselnde Ziel-Adressen.

Praxis-Einsatz

CONNECT-UDP ist die Grundlage von MASQUE: Dienste wie iCloud Private Relay oder Cloudflare WARP setzen auf diese Technik. Ergänzend definiert RFC 9484 mit CONNECT-IP das Tunneln ganzer IP-Pakete, während CONNECT-UDP auf einzelne UDP-Flows spezialisiert ist.

Verwandte Grundlagen: Capsule-Protokoll, HTTP-Datagrams.