MASQUE (französisch für „Maske") ist eine Protokollfamilie der IETF zum Tunneln von UDP- und IP-Datenverkehr über HTTP/3. Der Name steht für „Multiplexed Application Substrate over QUIC Encryption" und beschreibt das Ziel: beliebige Protokolle sicher und unauffällig über die QUIC-Verbindung eines normalen HTTPS-Ports zu transportieren.
Die Bausteine: CONNECT-UDP und CONNECT-IP
Die Grundlage bildet die Extended-CONNECT-Methode (RFC 8441), mit der ein Client über HTTP/3 nicht nur TCP-, sondern auch UDP-Datenverkehr durch einen Proxy schicken kann.
- CONNECT-UDP (RFC 9298): Der Client bittet einen HTTP/3-Proxy, UDP-Datagramme an ein benanntes Ziel weiterzuleiten. Die Datagramme reisen als QUIC-Datagramme durch die bestehende Verbindung.
- CONNECT-IP (RFC 9484): Der Proxy tunnelt komplette IP-Pakete. Damit wird aus einem MASQUE-Proxy ein VPN-Konzentrator, der beliebige Protokolle transportieren kann.
Einsatzgebiete
- Datenschutz-Proxies wie iCloud Private Relay und Cloudflare WARP nutzen MASQUE im Produktivbetrieb.
- MASQUE läuft über Port 443 und ist von normalem HTTPS-Traffic kaum unterscheidbar — das erschwert das Blockieren von VPN-Tunneln.
- WebTransport nutzt dieselbe Datagramm-Infrastruktur und ist eng mit MASQUE verwandt.
- Typische Szenarien sind Remote-Access-VPN, Site-to-Site-VPN und sichere Punkt-zu-Punkt-Verbindungen.
Verwandte Grundlagen: Alt-Svc und PCP (Port Control Protocol).