لا يحتاج معظم المستخدمين إلى لمس أي إعداد في جدار الحماية لاستخدام Remio. فالتطبيق مبني على تقنية الاتصال نفسها التي تتيح لتطبيقات مكالمات الفيديو العمل خلف راوترات المنازل وشبكات Wi-Fi في الفنادق وشبكات VPN في الشركات — يكتشف المسار بنفسه. لكن لعدد قليل من المستخدمين على شبكات مقيَّدة يتعلق فيها الوضع الافتراضي، تمثل هذه الصفحة المرجع الشامل: ما الذي يرسله Remio فعلًا عبر الشبكة، وما الذي يجب السماح به في جدار الحماية، وكيف تقرأ التشخيصات داخل الجلسة، وماذا تقول لقسم تقنية المعلومات.
نظرة عامة
يستخدم Remio نهجًا متعدد الطبقات لوصل العميل بالمضيف. يجرّب أسرع مسار أولًا، ثم يتراجع بسلاسة عند الحاجة. هناك ثلاثة مسارات ممكنة، بترتيب الأفضلية:
- مباشر على الشبكة نفسها — العميل والمضيف على شبكة Wi-Fi أو LAN واحدة. تنتقل الإطارات من نقطة إلى نقطة. نحو 8 ميلي ثانية من زمن المعالجة؛ والباقي هو إيقاع تحديث شاشتك نفسها. هذا ما تحصل عليه في المنزل أو في شبكة مكتب واحد. هل تستخدم Tailscale؟ في نهاية الإعدادات ← متقدم ← الشبكة، شغّل المرور عبر Tailscale حين يكون الجهازان على شبكة Tailscale نفسها.
- مباشر عبر الإنترنت (نظير إلى نظير) — العميل والمضيف على شبكتين مختلفتين لكن كلًّا منهما قادر على إقامة اتصال UDP صادر. يتبادل الطرفان عنوانيهما العامين عبر خادم الاتصال في Remio، ثم يرسلان الوسائط مباشرة إلى بعضهما. زمن استجابة إضافي من 10 إلى 40 ميلي ثانية بحسب الجغرافيا.
- الرجوع إلى المُرحِّل — حين يكون UDP محجوبًا أو NAT مقيِّدًا أكثر من اللازم لمسار مباشر، يتصل الطرفان خارجيًا بخادم مُرحِّل (شبكة Cloudflare العالمية،
turn.cloudflare.com) — عبر UDP حين يمكن، وعبر TCP أو TLS على المنفذ 443 حين يُحجب UDP — ويمرر المُرحِّل الوسائط المشفّرة بينهما. زمن استجابة إضافي من 30 إلى 80 ميلي ثانية. يعمل أينما يعمل HTTPS.
لا تختار المسار يدويًا. يجرّب Remio المسارات الثلاثة في وقت واحد عند بداية كل جلسة ويستخدم أسرع مسار ينجح. وإذا تغيرت الشبكة أثناء الجلسة (انتقلت من Wi-Fi المكتب إلى LTE)، يعيد Remio الفحص ويبدّل المسار دون إسقاط الجلسة.
لا تحتاج أبدًا إلى فتح منافذ واردة في راوتر أو جدار حماية لتشغيل Remio. العميل والمضيف كلاهما يقيمان اتصالات صادرة فقط. إذا كانت شبكتك تتيح لك تحميل https://remio.net في متصفح، فخادم الاتصال في Remio قابل للوصول. وإذا كانت تحمّل YouTube أو Zoom، فمسار الوسائط في Remio يعمل على الأرجح أيضًا.
كيف تعبر جلسة Remio جدار الحماية
منذ لحظة النقر على اتصال في العميل، هذا هو التسلسل:
- TLS صادر إلى خادم الاتصال. يفتح العميل والمضيف كلاهما WebSocket طويل الأمد إلى
relay.remio.netعلى المنفذ 443. يحمل هذا مصافحات الاقتران وتبادل العرض/الجواب وقدرًا صغيرًا من حركة التحكم طوال عمر الجلسة. لا تمر عبره أي بيانات شاشة أو إدخال إطلاقًا. هو HTTPS قياسي — يمرره كل جدار حماية في الشركات. - فحص الشبكة. يستخدم كل طرف خدمة STUN العامة لاكتشاف عنوانه العام (العنوان الذي يراه بقية الإنترنت). ثم يطلب من خادم الاتصال بيانات اعتماد قصيرة الأمد للمُرحِّل (
turn.cloudflare.com)، تحسبًا لفشل الفحص. - سباق المسارات. يجرّب الطرفان في وقت واحد UDP مباشرًا، وUDP مباشرًا عبر العناوين التي اكتشفها STUN، ومُرحِّل TLS. أي توليفة تنجح وتستجيب أولًا تفوز. تختار معظم الشبكات المنزلية UDP مباشرًا خلال 200 ميلي ثانية؛ وتتراجع الشبكات المقيَّدة إلى مُرحِّل TLS خلال نحو ثانيتين.
- تدفق الوسائط المشفّر. بعد اختيار المسار، يُشفَّر كل إطار فيديو وكل ضغطة مفتاح وكل عينة صوت من طرف إلى طرف ويُرسَل عبر المسار المختار. وحتى على مسار المُرحِّل، لا يرى عقدة المُرحِّل سوى نص مشفّر.
هذه العملية بأكملها غير مرئية لك — يعرض العميل فقط «متصل». لكن فهم التسلسل يجعل قواعد جدار الحماية في القسم التالي منطقية.
ما الذي يجب السماح به في جدار الحماية
لفرق تقنية المعلومات التي تكتب سياسة جدار الحماية، هذه هي القائمة الكاملة للحركة الصادرة التي يولّدها Remio. لا حاجة إلى أي قواعد واردة إطلاقًا.
# Outbound rules — Remio Client and Remio Host
# Required — connection setup (signaling only, no media)
ALLOW TCP/443 -> relay.remio.net (TLS WebSocket)
# Required — relay fallback (media when no direct path exists)
ALLOW TCP/443 -> turn.cloudflare.com (TURN over TLS — works when UDP is blocked)
ALLOW UDP/3478 -> turn.cloudflare.com (TURN over UDP — optional, preferred)
ALLOW UDP/443 -> turn.cloudflare.com (TURN over UDP — optional)
# Strongly recommended — enables direct peer-to-peer (lower latency)
ALLOW UDP -> any (high ports 32768-65535)
# Optional — used during initial address discovery only
ALLOW UDP/3478 -> stun.cloudflare.com
ALLOW UDP/19302 -> stun.l.google.com
# Not required, never used
DENY any inbound (nothing inbound is ever needed)إذا كان بإمكانك السماح بالحد الأدنى فقط، فاسمح بالمنفذ الصادر TCP 443 إلى relay.remio.net وإلى turn.cloudflare.com — هاتان القاعدتان كافيتان ليعمل Remio من طرف إلى طرف، لكن عبر مسار المُرحِّل بدلًا من المباشر. تبقى الجلسات مشفّرة وتُبثّ بالجودة الكاملة؛ والثمن الوحيد هو زمن الاستجابة.
سيناريوهات شائعة في شبكات الشركات
تغطي إعدادات جدران الحماية في الواقع طيفًا واسعًا. إليك ما تتوقعه في كل حالة.
السماح الافتراضي للحركة الصادرة (معظم المكاتب الصغيرة والشبكات المنزلية)
يسمح جدار الحماية بخروج أي حركة TCP وUDP، ويحجب نطاقات سيئة محددة فقط. يجد Remio مسار UDP مباشرًا خلال ثانية ويبقى عليه. زمن الاستجابة هو زمن الرحلة ذهابًا وإيابًا على الإنترنت لديك، مضافًا إليه 3 إلى 5 ميلي ثانية من حمل Remio. ترى مباشر في مؤشر نوع الاتصال.
حجب UDP الصادر (المؤسسات المتوسطة والمدارس)
يسمح جدار الحماية بـ TLS وعدد قليل من البروتوكولات المعروفة، لكنه يحجب UDP الصادر بالجملة لمنع إساءة استخدام الاتصال نظير إلى نظير. يفشل فحص UDP المباشر في Remio، وينجح فحص مُرحِّل TLS-443، وتُقام الجلسة عبر مسار المُرحِّل خلال نحو ثانيتين. يعرض مؤشر نوع الاتصال مُرحِّل. يضيف زمن الاستجابة من 30 إلى 80 ميلي ثانية بحسب بُعدك عن أقرب عقدة مُرحِّل. يعمل البث والصوت ولوحة المفاتيح والإدخال كلها بالشكل نفسه.
وكيل يفحص TLS (المؤسسات الكبرى والمالية والرعاية الصحية)
يفك جدار الحماية تشفير كل اتصال TLS صادر، ويفحص المحتوى، ثم يعيد تشفيره قبل التمرير. هذه أصعب حالة. قد يحدث خطآن:
- لا يتعرف الوكيل على تدفق الوسائط طويل الأمد الذي يستخدمه Remio، فيقطعه بعد مهلة قصيرة أو يحدّ سرعته إلى درجة تجعله غير قابل للاستخدام.
- يزيل الوكيل أجزاءً من مصافحة الاتصال لا يفهمها، فيترك Remio عالقًا.
الحل هو إضافة relay.remio.net وturn.cloudflare.com إلى قائمة استثناء فحص TLS في الوكيل. يدعم كل وكيل مؤسسي كبير (Zscaler وPalo Alto وCisco Umbrella وCheck Point وForcepoint) الاستثناء لكل نطاق. تظل الحركة تمر عبر جدار حماية الشركة — فقط لا يُفك تشفيرها في الطريق. تضيف فرق تقنية المعلومات عادةً استثناءات لتطبيقات مؤتمرات الفيديو (Zoom وTeams) للسبب نفسه؛ ويندرج Remio ضمن النمط ذاته.
البوابة المقيِّدة / Wi-Fi الفنادق
تستخدم كثير من الفنادق والمطارات بوابة مقيِّدة تحجب كل الحركة الصادرة حتى تقبل الشروط. وبعد المصادقة، يسمح معظمها بـ HTTPS العادي، ما يعني أن مسار المُرحِّل في Remio يعمل. أما UDP فمتفاوت — بعض البوابات تواصل حجب UDP حتى بعد تسجيل الدخول. إذا بدت الجلسة بطيئة على Wi-Fi الفندق، فتحقق من المؤشر — يعرض في الغالب مُرحِّل. لا شيء لإصلاحه؛ هذا هو الوضع المتوقع لهذه الشبكات.
NAT على مستوى المشغّل في شبكات الجوال
تقع اتصالات 4G/5G غالبًا خلف طبقات متعددة من NAT يديرها المشغّل، ما يصعّب الاتصال المباشر نظير إلى نظير. يتعامل Remio مع ذلك بشفافية — يعمل UDP المباشر عادةً في اتجاه واحد (العميل المحمول يصل إلى المضيف)، ويبقى مسار المُرحِّل متاحًا دائمًا كخيار احتياطي. والأداء عبر LTE/5G ممتاز عادةً.
التحقق من مسار الاتصال
يعرض كل عميل Remio مسار الاتصال المختار في طبقة الإحصاءات داخل الجلسة. افتحها من شريط الأدوات — الأيقونة رمز صغير بشكل مخطط شريطي. سترى:
- الاتصال — مباشر يعني نظير إلى نظير عبر UDP. أقل زمن استجابة. تنتقل الإطارات من المضيف إلى العميل مباشرة دون قفزات وسيطة.
- الاتصال — مُرحِّل يعني أن الحركة تُوجَّه عبر المُرحِّل (
turn.cloudflare.com). يضيف من 30 إلى 80 ميلي ثانية. ويبقى مشفّرًا من طرف إلى طرف — لا يرى المُرحِّل سوى نص مشفّر. - الاتصال — LAN يظهر حين يكون الطرفان على الشبكة المحلية نفسها. نحو 8 ميلي ثانية من زمن المعالجة (والباقي إيقاع تحديث شاشتك)، ودون رحلة عبر الإنترنت.
إذا كنت تتوقع مباشر لكنك ترى مُرحِّل، فالشبكة التي تستخدمها تحجب UDP في مكان ما على المسار. تعمل الجلسة مع ذلك، لكن بزمن استجابة إضافي. وعلى شبكة تتحكم بها (راوتر منزلك)، افحص إعدادات QoS وأي مفاتيح «وضع الألعاب» التي تعطّل أحيانًا تمرير UDP.
انقر مؤشر مسار الاتصال لرؤية تشخيصات إضافية — العنوان العام لكل طرف، وزمن الرحلة الحالي ذهابًا وإيابًا، وأي منطقة مُرحِّل (إن وُجدت) قيد الاستخدام. هذا أول ما يجب فحصه عند إبلاغ الدعم بمشكلة في الاتصال.
ما الذي يستطيع المُرحِّل رؤيته وما لا يستطيع
من المخاوف الشائعة على مسار المُرحِّل الخصوصية: إذا كانت شاشتي تمر عبر خادم مُرحِّل، فهل يستطيع أحد هناك رؤيتها؟ لا. إليك السبب:
- تشفير من طرف إلى طرف. يُشفَّر كل إطار وكل ضغطة مفتاح وكل عينة صوت بمفتاح جلسة يُشتق أثناء المصافحة. لا يملك المفتاح سوى العميل والمضيف. يمرر المُرحِّل نصًا مشفّرًا.
- لا إيداع للمفاتيح. لا ترى خوادم Remio مفاتيح الجلسات ولا تخزّنها أبدًا. وحتى مع وصول كامل إلى سجلات المُرحِّل وسيطرة مادية على خوادمه، لا يستطيع Remio فك تشفير أي جلسة مستخدم — ماضية أو حاضرة أو مستقبلية.
- لا شيء مقروء ليُسجَّل. لا يتعامل المُرحِّل إلا مع حزم مشفّرة، ويحمل خادم الاتصال الخاص بـ Remio (
relay.remio.net) رسائل الإعداد فقط — لا شاشة ولا صوت ولا إدخال أبدًا. - يعمل استثناء فحص TLS في الشركات أيضًا. لأن الوسائط تُشفَّر في طبقة أعلى من TLS (يحدث التشفير قبل أن يغلّف TLS الحزمة للمُرحِّل)، فإن وكيل TLS في الشركة الذي يفك TLS الخارجي لا يرى سوى الحمولة الداخلية المشفّرة. لا توجد طريقة لأي وسيط لقراءة شاشتك.
للاطلاع على قصة التشفير الكاملة راجع الأمان والتشفير.
استكشاف مشكلات الاتصال
- «يفشل الاتصال على Wi-Fi الشركة لكنه يعمل في المنزل» — UDP محجوب صادرًا ومسار مُرحِّل TLS محجوب أو مجرّد أيضًا. اطلب من تقنية المعلومات السماح بالمنفذ الصادر TCP 443 إلى
relay.remio.netوturn.cloudflare.com، وإذا وُجد وكيل لفحص TLS فأضف اسمي المضيفين نفسيهما إلى قائمة استثنائه. هذا يفتح مسار المُرحِّل؛ وعندها تعمل الجلسات من طرف إلى طرف. - «زمن الاستجابة أعلى بكثير من المتوقع على شبكة المكتب» — الاتصال غالبًا يمر عبر المُرحِّل (افحص المؤشر داخل الجلسة). تضيف مسارات المُرحِّل من 30 إلى 80 ميلي ثانية. إذا استطاعت تقنية المعلومات فتح UDP الصادر، فسيتحول Remio إلى المسار المباشر تلقائيًا وينخفض زمن الاستجابة.
- «يُقام الاتصال لكن البث يتجمد بعد ثوانٍ» — نموذجي لوكيل فحص TLS يسمح بالمصافحة الأولية لكنه يقتل التدفقات طويلة الأمد. تأكد من سجلات تقنية المعلومات ما إذا كان الوكيل يقاطع
relay.remio.netأوturn.cloudflare.com، وأضف استثناءات لكليهما. - «تطبيقات الفيديو الأخرى تعمل، وRemio وحده يفشل» — في الغالب فحص TLS أو الفحص العميق للحزم يشوّه المصافحة. الحل نفسه: اطلب من تقنية المعلومات إضافة
relay.remio.netوturn.cloudflare.comإلى قائمة استثناء الفحص. - «أحيانًا يعمل وأحيانًا يتعلق عند "جارٍ الاتصال"» — تحليل DNS غير مستقر لـ
relay.remio.net، أو مرشّح DNS في الشركة يحجب خادم الاتصال. جرّبnslookup relay.remio.netمن الجهاز نفسه — يجب أن يعيد عنوان IP خلال ثانية. وإن انتهت المهلة أو فشل، فالمشكلة في DNS. - «زر الاتصال لا يفعل شيئًا — بلا أخطاء ولا تقدم» — المنفذ الصادر 443 محجوب بالكامل. أمر غير معتاد لكنه يحدث في الشبكات شديدة التقييد. اختبر بتحميل
https://relay.remio.net/healthفي متصفح؛ يجب أن يعيد استجابة حالة قصيرة. وإذا لم يستطع المتصفح الوصول إليه أيضًا، فجدار الحماية يحجب HTTPS الصادر إلى ذلك المضيف تمامًا. - «عميل VPN يعطّل Remio عند اتصاله» — تلتقط بعض عملاء VPN كل الحركة بما فيها الوسائط، ما يسبب تقطعًا. جرّب استثناء
relay.remio.netوturn.cloudflare.comمن النفق إن كان VPN لديك يدعم النفق المقسّم.
متقدم — تشديد الإغلاق أكثر
إذا احتاج فريق الأمان لديك إلى أضيق قائمة سماح ممكنة، فهذا هو الحد الأدنى الذي لا يزال يتيح لـ Remio العمل من طرف إلى طرف:
# Minimum-viable firewall allowlist
# Allows relay-mode operation only (~30-80 ms latency)
OUTBOUND TCP/443 -> relay.remio.net # connection setup
OUTBOUND TCP/443 -> turn.cloudflare.com # relay (TURN over TLS)
# Adding these unlocks direct peer-to-peer (3-5 ms LAN, 10-40 ms WAN)
OUTBOUND UDP/3478 -> stun.cloudflare.com # public address discovery
OUTBOUND UDP/19302 -> stun.l.google.com # public address discovery (redundancy)
OUTBOUND UDP -> any (32768-65535) # direct media pathالسطران الأولان وحدهما كافيان لعمل التطبيق — كل سطر آخر هو تحسين لزمن الاستجابة. وإذا أردت أقصى أمان وأقل زمن استجابة معًا، فاسمح بالخمسة جميعًا.
أسئلة عن جدار الحماية وNAT
هل يتطلب Remio فتح منافذ واردة في جدار الحماية لدي؟
لا. يقيم كل من Remio Client وRemio Host اتصالات صادرة فقط. لا شيء لفتحه في الراوتر أو في القواعد الواردة لجدار الحماية. إذا كانت شبكتك تسمح بحركة الويب الصادرة العادية — تحميل المواقع واستخدام تطبيق مراسلة — فإن Remio يعمل.
ما المنافذ التي يستخدمها Remio؟
TCP صادر 443 إلى relay.remio.net لإعداد الاتصال، وحركة صادرة إلى المُرحِّل (turn.cloudflare.com) حين لا يوجد مسار مباشر: UDP 3478 أو 443 حين يمكن، وTCP أو TLS على المنفذ 443 حين يُحجب UDP. تستخدم الوسائط المباشرة نظير إلى نظير UDP صادرًا على منافذ عالية عشوائية؛ ويستخدم اكتشاف العنوان العام UDP 3478 (stun.cloudflare.com) وUDP 19302 (stun.l.google.com). لا حاجة إلى منافذ واردة في أي من الطرفين.
هل يعمل Remio على شبكات الشركات التي تحجب UDP؟
نعم. حين يُحجب UDP، يتراجع Remio تلقائيًا إلى تمرير الوسائط عبر TLS على المنفذ 443 — المنفذ نفسه الذي يستخدمه متصفحك لـ HTTPS. يستغرق إقامة الاتصال جزءًا من الثانية أطول ويضيف نحو 30 إلى 80 ميلي ثانية من زمن الاستجابة، لكن الجلسة تعمل من طرف إلى طرف. لا يوجد إعداد لتبديله — يحدث الرجوع بشفافية.
هل يستطيع قسم تقنية المعلومات لدي فحص حركة Remio؟
لا. كل وسائط الجلسة مشفّرة من طرف إلى طرف — لا تمر شاشتك بخوادمنا، وحتى المُرحِّل لا يرى سوى نص مشفّر. وحتى حين تمر الحركة عبر المُرحِّل على المنفذ 443، لا يمرر المُرحِّل سوى حزم مشفّرة — لا يستطيع قراءة محتوى الشاشة ولا ضغطات المفاتيح ولا أي بيانات أخرى. ولا تستطيع وكلاء فحص TLS في الشركات رؤية داخل البث أيضًا لأن الوسائط مشفّرة في طبقة أعلى من TLS.
لماذا يعمل اتصالي في المنزل لكنه يفشل في المكتب؟
كثيرًا ما تحجب شبكات الشركات UDP تمامًا، وقد تحجب أيضًا TLS الصادر إلى المضيفين غير المدرجين في قائمة السماح. اطلب من تقنية المعلومات السماح بالمنفذ الصادر TCP 443 إلى relay.remio.net (إعداد الاتصال) وإلى turn.cloudflare.com (المُرحِّل الذي يحمل الوسائط حين يكون UDP مغلقًا). هذان المدخلان كافيان ليعمل Remio مع حجب UDP بالكامل.
كيف أعرف إن كانت جلستي مباشرة أم عبر مُرحِّل؟
افتح طبقة الإحصاءات داخل الجلسة من شريط الأدوات. يعرض كل عميل Remio مؤشر نوع الاتصال — مباشر أو LAN أو مُرحِّل — إلى جانب زمن الاستجابة ومعدل البتات. تبدو الاتصالات المباشرة أسرع استجابة؛ وتضيف الاتصالات عبر المُرحِّل نحو 30 إلى 80 ميلي ثانية من زمن الاستجابة بحسب بُعدك عن أقرب عقدة مُرحِّل.
هل يعمل Remio خلف VPN أو وكيل انعدام الثقة؟
نعم، في كل الحالات تقريبًا. يستخدم مساراً نظير إلى نظير والمُرحِّل HTTPS الصادر القياسي، الذي تمرره VPN الشركات ووكلاء انعدام الثقة (Zscaler وCloudflare WARP وTailscale وTwingate) بسلاسة. قد تشوّه بعض الوسائط المتشددة في الفحص العميق للحزم البث — راجع قسم استكشاف الأخطاء أعلاه لحلول بديلة.
هل سيعطّل اعتراض TLS في شركتي Remio؟
قد يفعل. وكلاء الفحص العميق للحزم التي تفك تشفير كل اتصالات TLS وتعيد تشفيرها تزيل أحيانًا أجزاءً من مصافحة الاتصال أو تحجب الطبيعة طويلة الأمد لتدفقات الوسائط. إذا رأيت Remio يفشل على شبكة شركتك فقط، فاطلب من تقنية المعلومات إضافة relay.remio.net وturn.cloudflare.com إلى قائمة استثناء فحص TLS — يدعم معظم الوكلاء المؤسسيين (Zscaler وPalo Alto وCisco Umbrella وCheck Point) الاستثناء لكل نطاق.
أدلة ذات صلة
- إعداد Mac إلى Mac — الإعداد الأساسي قبل ضبط مسار الشبكة.
- إعداد Mac إلى iPad — منطق الشبكة نفسه، مع عميل iPad.
- بث حاسوب Windows إلى Mac — منطق الشبكة نفسه، مع مضيف Windows.
- اتصال LAN مباشر — حين تريد اتصالًا نظير إلى نظير مضمونًا على شبكتك.
- استكشاف الأخطاء وإصلاحها — مرجع أشمل لمشكلات الاتصال.
- الأمان والتشفير — تفاصيل كاملة عن التشفير من طرف إلى طرف.
