Firewall und NAT, einfach erklärt.

Die meisten Nutzer müssen für Remio nie eine Firewall-Einstellung anfassen. Die App basiert auf derselben Verbindungstechnologie, die dafür sorgt, dass Videoanruf-Apps hinter Heimroutern, Hotel-WLAN und Firmen-VPNs funktionieren – sie findet den Weg von allein. Für die kleine Zahl von Nutzern in streng abgeriegelten Netzwerken, in denen der Standard einfach hängt, ist diese Seite die zentrale Anlaufstelle: was Remio tatsächlich über die Leitung schickt, was Sie in der Firewall freigeben sollten, wie Sie die Diagnose in der Sitzung lesen und was Sie Ihrer IT sagen sollten.

Überblick

Remio nutzt einen mehrstufigen Ansatz, um einen Client mit einem Host zu verbinden. Es versucht zuerst den schnellsten Weg und weicht bei Bedarf elegant aus. Es gibt drei mögliche Wege, in dieser Rangfolge:

1. Direkt im selben Netzwerk – Client und Host im selben WLAN oder LAN. Frames reisen von Punkt zu Punkt. Etwa 8 ms Verarbeitungslatenz; der Rest ist der eigene Aktualisierungstakt Ihres Displays. So ist es zu Hause, in einem Netzwerk mit einem einzigen Büro oder über Tailscale/WireGuard.
2. Direkt über das Internet (Peer-to-Peer) – Client und Host in verschiedenen Netzwerken, die aber jeweils eine ausgehende UDP-Verbindung aufbauen können. Beide Seiten tauschen ihre öffentlichen Adressen über Remios Verbindungsserver aus und senden Medien dann direkt aneinander. 10 bis 40 ms zusätzliche Latenz, je nach Geografie.
3. Relay-Fallback – wenn UDP blockiert oder NAT für einen direkten Weg zu restriktiv ist, verbinden sich beide Seiten ausgehend mit einem Relay-Server (dem globalen Netzwerk von Cloudflare, turn.cloudflare.com) – über UDP, wenn es geht, über TCP oder TLS auf Port 443, wenn UDP blockiert ist – und das Relay leitet verschlüsselte Medien zwischen ihnen weiter. 30 bis 80 ms zusätzliche Latenz. Funktioniert überall dort, wo HTTPS funktioniert.

Sie wählen den Weg nicht manuell. Remio prüft zu Beginn jeder Sitzung alle drei gleichzeitig und nutzt den schnellsten, der gelingt. Ändert sich das Netzwerk mitten in der Sitzung (Sie gehen vom Büro-WLAN ins LTE-Netz), prüft Remio erneut und wechselt den Weg, ohne die Sitzung zu verlieren.

Wie eine Remio-Sitzung eine Firewall überwindet

Von dem Moment an, in dem Sie im Client auf Verbinden tippen, läuft folgende Abfolge ab:

1. Ausgehendes TLS zum Verbindungsserver. Client und Host öffnen jeweils einen langlebigen WebSocket zu relay.remio.net auf Port 443. Darüber laufen die Kopplungs-Handshakes, der Offer/Answer-Austausch und ein kleiner Anteil Steuerungsverkehr für die Dauer der Sitzung. Bildschirm- oder Eingabedaten laufen nie darüber. Es ist normales HTTPS – jede Unternehmens-Firewall lässt es durch.
2. Netzwerkprüfung. Jede Seite nutzt den öffentlichen STUN-Dienst, um ihre eigene öffentliche Adresse zu ermitteln (die Adresse, die der Rest des Internets sieht). Dann fragt sie den Verbindungsserver nach kurzlebigen Zugangsdaten für das Relay (turn.cloudflare.com), falls die Prüfung scheitert.
3. Wettlauf der Wege. Beide Seiten versuchen gleichzeitig direktes UDP, direktes UDP über per STUN ermittelte Adressen und TLS-Relay. Die Kombination, die zuerst gelingt und antwortet, gewinnt. Die meisten Heimnetzwerke wählen innerhalb von 200 ms direktes UDP; restriktive Netzwerke fallen innerhalb von etwa 2 Sekunden auf das TLS-Relay zurück.
4. Verschlüsselter Medienfluss. Sobald der Weg gewählt ist, wird jeder Videoframe, jeder Tastenanschlag, jedes Audio-Sample Ende-zu-Ende-verschlüsselt und über den gewählten Weg gesendet. Selbst auf dem Relay-Weg sieht der Relay-Knoten nur Chiffretext.

Dieser gesamte Vorgang ist für Sie unsichtbar – der Client zeigt einfach „Verbunden“. Aber wenn Sie die Abfolge verstehen, leuchten die Firewall-Regeln im nächsten Abschnitt ein.

Was Sie in der Firewall freigeben sollten

Für IT-Teams, die eine Firewall-Richtlinie schreiben, hier die vollständige Liste des ausgehenden Datenverkehrs, den Remio erzeugt. Es sind nie eingehende Regeln nötig.

# Outbound rules — Remio Client and Remio Host

# Required — connection setup (signaling only, no media)
ALLOW  TCP/443    ->  relay.remio.net           (TLS WebSocket)

# Required — relay fallback (media when no direct path exists)
ALLOW  TCP/443    ->  turn.cloudflare.com       (TURN over TLS — works when UDP is blocked)
ALLOW  UDP/3478   ->  turn.cloudflare.com       (TURN over UDP — optional, preferred)
ALLOW  UDP/443    ->  turn.cloudflare.com       (TURN over UDP — optional)

# Strongly recommended — enables direct peer-to-peer (lower latency)
ALLOW  UDP        ->  any (high ports 32768-65535)

# Optional — used during initial address discovery only
ALLOW  UDP/3478   ->  stun.cloudflare.com
ALLOW  UDP/19302  ->  stun.l.google.com

# Not required, never used
DENY   any inbound                              (nothing inbound is ever needed)

Wenn Sie nur das Minimum freigeben können, erlauben Sie ausgehenden TCP-Port 443 zu relay.remio.net und zu turn.cloudflare.com – diese beiden Regeln genügen, damit Remio durchgängig funktioniert, nur eben über den Relay-Weg statt direkt. Sitzungen werden weiterhin verschlüsselt und in voller Qualität gestreamt; die Latenz ist der einzige Preis.

Typische Szenarien in Unternehmensnetzwerken

Reale Firewall-Konfigurationen decken ein breites Spektrum ab. Das ist in jedem Fall zu erwarten.

Ausgehend standardmäßig erlaubt (die meisten kleinen Büros, Heimnetzwerke)

Die Firewall lässt jeden ausgehenden TCP- und UDP-Verkehr hinaus und blockiert nur bestimmte Adressbereiche von Schädlingen. Remio findet innerhalb einer Sekunde einen direkten UDP-Weg und bleibt dabei. Die Latenz ist die Round-Trip-Zeit Ihres Internets plus 3 bis 5 ms Remio-Overhead. Im Verbindungstyp-Indikator sehen Sie Direkt.

Ausgehendes UDP blockiert (mittelgroße Unternehmen, Schulen)

Die Firewall erlaubt TLS und eine Handvoll bekannter Protokolle, blockiert aber ausgehendes UDP pauschal, um Missbrauch durch Peer-to-Peer zu verhindern. Remios direkte UDP-Prüfung scheitert, die TLS-443-Relay-Prüfung gelingt, und die Sitzung kommt innerhalb von etwa 2 Sekunden über den Relay-Weg zustande. Der Verbindungstyp-Indikator zeigt Relay. Die Latenz erhöht sich um 30 bis 80 ms, je nach Entfernung zum nächsten Relay-Knoten. Streaming, Ton, Tastatur und Eingabe funktionieren alle gleich.

TLS-prüfender Proxy (große Unternehmen, Finanzwesen, Gesundheitswesen)

Die Firewall entschlüsselt jede ausgehende TLS-Verbindung, prüft den Inhalt und verschlüsselt ihn vor der Weiterleitung neu. Das ist der kniffligste Fall. Zwei Dinge können schiefgehen:

• Der Proxy erkennt den langlebigen, medienartigen Datenfluss nicht, den Remio nutzt, und kappt ihn entweder nach kurzem Timeout oder drosselt ihn bis zur Unbrauchbarkeit.
• Der Proxy entfernt Teile des Verbindungs-Handshakes, die er nicht versteht, und lässt Remio damit hängen.

Die Lösung ist, relay.remio.net und turn.cloudflare.com in die Ausnahmeliste für die TLS-Prüfung des Proxys aufzunehmen. Jeder große Unternehmens-Proxy (Zscaler, Palo Alto, Cisco Umbrella, Check Point, Forcepoint) unterstützt Ausnahmen pro Domain. Der Verkehr läuft weiterhin durch die Unternehmens-Firewall – er wird nur unterwegs nicht entschlüsselt. IT-Teams tragen aus demselben Grund üblicherweise Ausnahmen für Videokonferenz-Apps (Zoom, Teams) ein; Remio passt in dasselbe Muster.

Captive Portal / Hotel-WLAN

Viele Hotels und Flughäfen nutzen ein Captive Portal, das jeden ausgehenden Verkehr blockiert, bis Sie Bedingungen akzeptieren. Nach der Authentifizierung erlauben die meisten normales HTTPS, wodurch Remios Relay-Weg funktioniert. Bei UDP ist es Glückssache – manche Portale blockieren UDP auch nach der Anmeldung weiter. Fühlt sich eine Sitzung im Hotel-WLAN träge an, prüfen Sie den Indikator – er zeigt fast immer Relay. Es gibt nichts zu beheben; das ist der erwartete Modus für diese Netzwerke.

Carrier-Grade NAT in Mobilfunknetzen

4G-/5G-Verbindungen liegen oft hinter mehreren vom Netzbetreiber betriebenen NAT-Schichten, was direktes Peer-to-Peer schwierig macht. Remio regelt das transparent – direktes UDP funktioniert meist in eine Richtung (der mobile Client erreicht den Host), und der Relay-Weg steht immer als Fallback zur Verfügung. Die Leistung über LTE/5G ist in der Regel ausgezeichnet.

Den Verbindungsweg überprüfen

Jeder Remio-Client zeigt den gewählten Verbindungsweg in der Statistik-Einblendung in der Sitzung. Öffnen Sie sie über die Symbolleiste – das Symbol ist ein kleines Balkendiagramm-Zeichen. Sie sehen:

• Verbindung – Direkt bedeutet Peer-to-Peer über UDP. Niedrigste Latenz. Frames reisen direkt vom Host zum Client, ohne Zwischenstationen.
• Verbindung – Relay bedeutet, dass der Verkehr über das Relay (turn.cloudflare.com) geleitet wird. Fügt 30 bis 80 ms Latenz hinzu. Weiterhin Ende-zu-Ende-verschlüsselt – das Relay sieht nur Chiffretext.
• Verbindung – LAN erscheint, wenn beide Endpunkte im selben lokalen Netzwerk sind. Etwa 8 ms Verarbeitungslatenz (der Rest ist der eigene Aktualisierungstakt Ihres Displays), keine Round-Trip-Zeit über das Internet.

Erwarten Sie Direkt, sehen aber Relay, blockiert das Netzwerk, in dem Sie sich befinden, irgendwo auf dem Weg UDP. Die Sitzung funktioniert trotzdem, nur mit zusätzlicher Latenz. In einem Netzwerk, das Sie selbst kontrollieren (Ihr Heimrouter), prüfen Sie die QoS-Einstellungen und alle „Gaming-Modus“-Schalter, die manchmal die UDP-Weiterleitung stören.

Was das Relay sehen kann und was nicht

Eine häufige Sorge beim Relay-Weg betrifft den Datenschutz: Wenn mein Bildschirm über einen Relay-Server läuft, kann ihn dort jemand sehen? Nein. Das ist der Grund:

• Ende-zu-Ende-Verschlüsselung. Jeder Frame, jeder Tastenanschlag, jedes Audio-Sample wird mit einem Sitzungsschlüssel verschlüsselt, der während des Handshakes abgeleitet wird. Nur Client und Host besitzen den Schlüssel. Das Relay leitet Chiffretext weiter.
• Keine Schlüsselhinterlegung. Remios Server sehen oder speichern Sitzungsschlüssel nie. Selbst mit vollem Zugriff auf die Relay-Protokolle und physischer Kontrolle über die Relay-Server kann Remio keine Nutzersitzung entschlüsseln – weder vergangene, gegenwärtige noch künftige.
• Nichts Lesbares, das protokolliert werden könnte. Das Relay verarbeitet immer nur verschlüsselte Pakete, und Remios eigener Verbindungsserver (relay.remio.net) transportiert ausschließlich Einrichtungsnachrichten – nie Bildschirm, Audio oder Eingaben.
• Die Ausnahme von der Unternehmens-TLS-Prüfung funktioniert ebenfalls. Da die Medien auf einer Schicht oberhalb von TLS verschlüsselt werden (die Verschlüsselung findet statt, bevor TLS das Paket für das Relay umhüllt), sieht ein Unternehmens-TLS-Proxy, der das äußere TLS entschlüsselt, immer noch nur die innere verschlüsselte Nutzlast. Keine Zwischenstation kann Ihren Bildschirm lesen.

Die ganze Verschlüsselungsgeschichte finden Sie unter Sicherheit & Verschlüsselung.

Fehlerbehebung bei Verbindungsproblemen

• „Die Verbindung scheitert im Firmen-WLAN, funktioniert aber zu Hause“ – UDP ist ausgehend blockiert, und der TLS-Relay-Weg wird ebenfalls blockiert oder verstümmelt. Bitten Sie die IT, ausgehenden TCP-Port 443 zu relay.remio.net und turn.cloudflare.com zu erlauben, und tragen Sie, falls es einen TLS-prüfenden Proxy gibt, dieselben beiden Hostnamen in dessen Ausnahmeliste ein. Das gibt den Relay-Weg frei; Sitzungen funktionieren dann durchgängig.
• „Die Latenz ist im Büronetzwerk viel höher als erwartet“ – die Verbindung läuft vermutlich über das Relay (prüfen Sie den Indikator in der Sitzung). Relay-Wege fügen 30 bis 80 ms hinzu. Kann die IT ausgehendes UDP öffnen, wechselt Remio automatisch auf den direkten Weg, und die Latenz sinkt.
• „Die Verbindung kommt zustande, aber der Stream friert nach ein paar Sekunden ein“ – typisch für einen TLS-prüfenden Proxy, der den ersten Handshake zulässt, aber langlebige Datenflüsse kappt. Prüfen Sie in den IT-Protokollen, ob der Proxy relay.remio.net oder turn.cloudflare.com unterbricht, und tragen Sie für beide Ausnahmen ein.
• „Andere Video-Apps funktionieren, nur Remio scheitert“ – fast immer verstümmelt eine TLS-Prüfung oder Deep Packet Inspection den Handshake. Die Lösung ist dieselbe: Bitten Sie die IT, relay.remio.net und turn.cloudflare.com in die Ausnahmeliste der Prüfung aufzunehmen.
• „Manchmal funktioniert es, manchmal hängt es bei ‚Verbindet‘“ – unzuverlässige DNS-Auflösung für relay.remio.net oder ein Unternehmens-DNS-Filter, der den Verbindungsserver blockiert. Versuchen Sie nslookup relay.remio.net von demselben Rechner aus – es sollte innerhalb einer Sekunde eine IP zurückgeben. Läuft es in ein Timeout oder schlägt fehl, ist DNS der Engpass.
• „Die Schaltfläche Verbinden tut nichts – keine Fehler, kein Fortschritt“ – ausgehender Port 443 wird komplett blockiert. Das ist ungewöhnlich, kommt aber in stark eingeschränkten Netzwerken vor. Testen Sie es, indem Sie https://relay.remio.net/health in einem Browser laden; es sollte eine kurze Statusantwort liefern. Erreicht auch der Browser es nicht, blockiert die Firewall ausgehendes HTTPS zu diesem Host vollständig.
• „Der VPN-Client stört Remio, sobald er sich verbindet“ – manche VPN-Agenten erfassen den gesamten Verkehr einschließlich der Medien, was zu Rucklern führt. Versuchen Sie, relay.remio.net und turn.cloudflare.com vom Tunnel auszuschließen, falls Ihr VPN Split-Tunneling unterstützt.

Fortgeschritten – noch weiter absichern

Wenn Ihr Sicherheitsteam die engstmögliche Zulassungsliste braucht, ist das Folgende das Minimum, mit dem Remio noch durchgängig funktioniert:

# Minimum-viable firewall allowlist
# Allows relay-mode operation only (~30-80 ms latency)

OUTBOUND TCP/443   ->  relay.remio.net          # connection setup
OUTBOUND TCP/443   ->  turn.cloudflare.com      # relay (TURN over TLS)

# Adding these unlocks direct peer-to-peer (3-5 ms LAN, 10-40 ms WAN)
OUTBOUND UDP/3478  ->  stun.cloudflare.com      # public address discovery
OUTBOUND UDP/19302 ->  stun.l.google.com        # public address discovery (redundancy)
OUTBOUND UDP       ->  any (32768-65535)        # direct media path

Allein die ersten beiden Zeilen genügen, damit die App funktioniert – jede weitere Zeile ist eine Latenzoptimierung. Wenn Sie sowohl maximale Sicherheit als auch niedrigste Latenz wollen, erlauben Sie alle fünf.

Fragen zu Firewall und NAT

Muss ich für Remio eingehende Ports in meiner Firewall öffnen?

Nein. Remio Client und Remio Host bauen nur ausgehende Verbindungen auf. An Ihrem Router oder in den Eingangsregeln Ihrer Firewall ist nichts zu öffnen. Erlaubt Ihr Netzwerk normalen ausgehenden Web-Verkehr – Websites laden, eine Messaging-App nutzen –, funktioniert Remio.

Welche Ports nutzt Remio?

Ausgehendes TCP 443 zu relay.remio.net für den Verbindungsaufbau und ausgehender Verkehr zum Relay (turn.cloudflare.com), wenn kein direkter Weg existiert: UDP 3478 oder 443, wenn es geht, TCP oder TLS auf Port 443, wenn UDP blockiert ist. Direkte Peer-to-Peer-Medien nutzen ausgehendes UDP auf zufälligen hohen Ports; die Ermittlung der öffentlichen Adresse nutzt UDP 3478 (stun.cloudflare.com) und UDP 19302 (stun.l.google.com). Auf keiner Seite sind eingehende Ports erforderlich.

Funktioniert Remio in Unternehmensnetzwerken, die UDP blockieren?

Ja. Ist UDP blockiert, weicht Remio automatisch darauf aus, Medien über TLS auf Port 443 zu relayen – dem Port, den auch Ihr Browser für HTTPS nutzt. Verbindungen brauchen einen Bruchteil einer Sekunde länger zum Aufbau und fügen etwa 30 bis 80 ms Latenz hinzu, aber die Sitzung funktioniert durchgängig. Es gibt keinen Schalter, den Sie umlegen müssten – der Fallback geschieht transparent.

Kann meine IT den Remio-Verkehr einsehen?

Nein. Alle Sitzungsmedien sind Ende-zu-Ende-verschlüsselt – Ihr Bildschirm berührt nie unsere Server, und selbst das Relay sieht immer nur Chiffretext. Auch wenn der Verkehr über das Relay auf Port 443 läuft, leitet das Relay nur verschlüsselte Pakete weiter – es kann weder Bildschirminhalte noch Tastenanschläge noch andere Daten lesen. Auch Unternehmens-TLS-Prüf-Proxys können nicht in den Stream hineinsehen, weil die Medien auf einer Schicht oberhalb von TLS verschlüsselt sind.

Warum funktioniert meine Verbindung zu Hause, scheitert aber im Büro?

Unternehmensnetzwerke blockieren häufig UDP vollständig und können auch ausgehendes TLS zu nicht freigegebenen Hosts blockieren. Bitten Sie die IT, ausgehenden TCP-Port 443 zu relay.remio.net (Verbindungsaufbau) und zu turn.cloudflare.com (das Relay, das Medien transportiert, wenn UDP geschlossen ist) zu erlauben. Diese beiden Einträge genügen, damit Remio bei vollständig blockiertem UDP funktioniert.

Wie prüfe ich, ob meine Sitzung direkt oder über ein Relay läuft?

Öffnen Sie die Statistik-Einblendung in der Sitzung über die Symbolleiste. Jeder Remio-Client zeigt einen Verbindungstyp-Indikator – Direkt, LAN oder Relay – neben Latenz und Bitrate. Direkte Verbindungen fühlen sich flotter an; Verbindungen über ein Relay fügen grob 30 bis 80 ms Latenz hinzu, je nach Entfernung zum nächsten Relay-Knoten.

Funktioniert Remio hinter einem VPN oder Zero-Trust-Agenten?

Ja, in fast jedem Fall. Sowohl der Peer-to-Peer- als auch der Relay-Weg nutzen normales ausgehendes HTTPS, das Unternehmens-VPNs und Zero-Trust-Agenten (Zscaler, Cloudflare WARP, Tailscale, Twingate) sauber durchlassen. Manche aggressiven Deep-Packet-Inspection-Zwischenstationen können den Stream verstümmeln – Umgehungen finden Sie im Abschnitt zur Fehlerbehebung oben.

Stört die TLS-Interception meines Unternehmens Remio?

Das kann sein. Deep-Packet-Inspection-Proxys, die alle TLS-Verbindungen entschlüsseln und neu verschlüsseln, entfernen manchmal Teile des Verbindungs-Handshakes oder blockieren die Langlebigkeit von Medienflüssen. Scheitert Remio nur in Ihrem Firmennetzwerk, bitten Sie die IT, relay.remio.net und turn.cloudflare.com in die Ausnahmeliste der TLS-Prüfung aufzunehmen – die meisten Unternehmens-Proxys (Zscaler, Palo Alto, Cisco Umbrella, Check Point) unterstützen Ausnahmen pro Domain.

Weiterführende Anleitungen

• Mac mit Mac einrichten – Grundeinrichtung, bevor Sie den Netzwerkweg optimieren.
• Mac mit iPad einrichten – dieselbe Netzwerklogik, iPad-Client.
• Windows-PC auf den Mac streamen – dieselbe Netzwerklogik, Windows-Host.
• Direkte LAN-Verbindung – wenn Sie garantiertes Peer-to-Peer im eigenen Netzwerk wollen.
• Fehlerbehebung – die umfassendere Sammelstelle für Verbindungsprobleme.
• Sicherheit & Verschlüsselung – alle Details zur Ende-zu-Ende-Verschlüsselung.