Firewall y NAT, sin complicaciones.

La mayoría de los usuarios nunca toca un ajuste de firewall para usar Remio. La app se basa en la misma tecnología de conexión que permite que las apps de videollamadas funcionen detrás de routers domésticos, Wi-Fi de hoteles y VPN corporativas: encuentra la ruta por sí sola. Pero para el pequeño número de usuarios en redes muy restringidas donde lo predeterminado se queda colgado, esta página es la referencia completa: qué envía realmente Remio por la red, qué permitir en el firewall, cómo leer los diagnósticos de la sesión y qué decirle al equipo de TI.

Resumen

Remio usa un enfoque por capas para conectar un cliente con un host. Prueba primero la ruta más rápida y luego recurre a las demás según haga falta. Hay tres rutas posibles, en este orden de preferencia:

1. Directa en la misma red: cliente y host en el mismo Wi-Fi o LAN. Los fotogramas viajan de punto a punto. Unos 8 ms de latencia de procesamiento; el resto es la cadencia de actualización de tu propia pantalla. Es lo que obtienes en casa o en la red de una sola oficina. ¿Usas Tailscale? Al final de Configuración → Avanzado → Red, activa Usar Tailscale cuando ambos dispositivos estén en la misma red de Tailscale.
2. Directa a través de internet (punto a punto): cliente y host en redes distintas, pero cada uno con capacidad de establecer una conexión UDP saliente. Ambos extremos intercambian sus direcciones públicas a través del servidor de conexión de Remio y luego se envían el contenido directamente. De 10 a 40 ms adicionales de latencia según la geografía.
3. Relay de respaldo: cuando UDP está bloqueado o el NAT es demasiado restrictivo para una ruta directa, ambos extremos se conectan hacia afuera a un servidor relay (la red global de Cloudflare, turn.cloudflare.com), por UDP cuando se puede y por TCP o TLS en el puerto 443 cuando UDP está bloqueado, y el relay reenvía el contenido cifrado entre ellos. De 30 a 80 ms adicionales de latencia. Funciona dondequiera que funcione HTTPS.

No eliges la ruta manualmente. Remio prueba las tres a la vez al inicio de cada sesión y usa la más rápida que tenga éxito. Si la red cambia a mitad de la sesión (pasas del Wi-Fi de la oficina a LTE), Remio vuelve a probar y cambia de ruta sin interrumpir la sesión.

Cómo atraviesa una sesión de Remio un firewall

Desde el momento en que tocas Conectar en el cliente, esta es la secuencia:

1. TLS saliente al servidor de conexión. Cliente y host abren un WebSocket de larga duración hacia relay.remio.net en el puerto 443. Este transporta los pasos de vinculación, el intercambio de oferta y respuesta, y una pequeña cantidad de tráfico de control durante toda la sesión. Por aquí nunca pasan datos de pantalla ni de entrada. Es HTTPS estándar: todo firewall corporativo lo deja pasar.
2. Sondeo de red. Cada extremo usa el servicio STUN público para descubrir su propia dirección pública (la dirección que ve el resto de internet). Luego pide al servidor de conexión credenciales de corta duración para el relay (turn.cloudflare.com), por si el sondeo falla.
3. Carrera de rutas. Ambos extremos prueban a la vez UDP directo, UDP directo mediante las direcciones descubiertas por STUN y relay TLS. Gana la combinación que tenga éxito y responda primero. La mayoría de las redes domésticas eligen UDP directo en menos de 200 ms; las redes restringidas pasan al relay TLS en unos 2 segundos.
4. Flujo multimedia cifrado. Una vez elegida la ruta, cada fotograma de video, cada pulsación de tecla y cada muestra de audio se cifra de extremo a extremo y se envía por la ruta elegida. Incluso por el relay, el nodo solo ve texto cifrado.

Todo este proceso es invisible para ti: el cliente simplemente muestra «Conectado». Pero entender la secuencia hace que las reglas de firewall de la siguiente sección cobren sentido.

Qué permitir en el firewall

Para los equipos de TI que redactan una política de firewall, esta es la lista completa del tráfico saliente que genera Remio. Nunca se necesitan reglas de entrada.

# Outbound rules — Remio Client and Remio Host

# Required — connection setup (signaling only, no media)
ALLOW  TCP/443    ->  relay.remio.net           (TLS WebSocket)

# Required — relay fallback (media when no direct path exists)
ALLOW  TCP/443    ->  turn.cloudflare.com       (TURN over TLS — works when UDP is blocked)
ALLOW  UDP/3478   ->  turn.cloudflare.com       (TURN over UDP — optional, preferred)
ALLOW  UDP/443    ->  turn.cloudflare.com       (TURN over UDP — optional)

# Strongly recommended — enables direct peer-to-peer (lower latency)
ALLOW  UDP        ->  any (high ports 32768-65535)

# Optional — used during initial address discovery only
ALLOW  UDP/3478   ->  stun.cloudflare.com
ALLOW  UDP/19302  ->  stun.l.google.com

# Not required, never used
DENY   any inbound                              (nothing inbound is ever needed)

Si solo puedes permitir lo mínimo, permite el puerto TCP 443 saliente hacia relay.remio.net y hacia turn.cloudflare.com: esas dos reglas bastan para que Remio funcione de extremo a extremo, solo que por la ruta del relay en lugar de la directa. Las sesiones siguen cifrándose y transmitiéndose a calidad completa; la latencia es el único costo.

Escenarios comunes en redes corporativas

Las configuraciones de firewall del mundo real abarcan un rango muy amplio. Esto es lo que puedes esperar en cada una.

Salida permitida por defecto (la mayoría de las oficinas pequeñas y redes domésticas)

El firewall deja salir cualquier TCP y UDP, bloqueando solo rangos concretos de actores maliciosos. Remio encuentra una ruta UDP directa en un segundo y se queda ahí. La latencia es la de tu ida y vuelta por internet, más 3 a 5 ms de sobrecarga de Remio. Verás Directa en el indicador de tipo de conexión.

UDP saliente bloqueado (empresas medianas, escuelas)

El firewall permite TLS y unos cuantos protocolos conocidos, pero bloquea todo el UDP saliente para evitar abusos de punto a punto. El sondeo de UDP directo de Remio falla, el sondeo del relay TLS en el 443 tiene éxito y la sesión se establece por el relay en unos 2 segundos. El indicador de tipo de conexión muestra Relay. La latencia aumenta de 30 a 80 ms según tu distancia al nodo relay más cercano. La transmisión, el audio, el teclado y la entrada funcionan igual.

Proxy que inspecciona TLS (grandes empresas, finanzas, salud)

El firewall descifra cada conexión TLS saliente, inspecciona el contenido y lo vuelve a cifrar antes de reenviarlo. Es el caso más complicado. Pueden pasar dos cosas:

• El proxy no reconoce el flujo de larga duración tipo multimedia que usa Remio y lo descarta tras un breve tiempo de espera, o lo limita hasta volverlo inutilizable.
• El proxy elimina partes del protocolo de conexión que no entiende, dejando a Remio atascado.

La solución es agregar relay.remio.net y turn.cloudflare.com a la lista de exclusión de inspección TLS del proxy. Todos los proxies empresariales importantes (Zscaler, Palo Alto, Cisco Umbrella, Check Point, Forcepoint) admiten exclusiones por dominio. El tráfico sigue pasando por el firewall corporativo; simplemente no se descifra al atravesarlo. Los equipos de TI suelen agregar exclusiones para apps de videoconferencia (Zoom, Teams) por el mismo motivo; Remio encaja en el mismo patrón.

Portal cautivo / Wi-Fi de hotel

Muchos hoteles y aeropuertos usan un portal cautivo que bloquea todo el tráfico saliente hasta que aceptas los términos. Una vez autenticado, la mayoría permite HTTPS normal, lo que significa que la ruta de relay de Remio funciona. UDP es impredecible: algunos portales siguen bloqueándolo incluso después de iniciar sesión. Si una sesión se siente lenta en el Wi-Fi de un hotel, revisa el indicador: casi siempre muestra Relay. No hay nada que arreglar; es el modo esperado en estas redes.

NAT de nivel de operador en redes móviles

Las conexiones 4G/5G suelen estar detrás de varias capas de NAT operadas por el proveedor, lo que dificulta la conexión directa de punto a punto. Remio lo gestiona de forma transparente: el UDP directo suele funcionar en un sentido (el cliente móvil que llega al host) y la ruta de relay siempre está disponible como respaldo. El rendimiento por LTE/5G suele ser excelente.

Cómo verificar la ruta de conexión

Todos los clientes de Remio muestran la ruta de conexión elegida en la superposición de estadísticas de la sesión. Ábrela desde la barra de herramientas: el ícono es un pequeño gráfico de barras. Verás:

• Conexión — Directa significa punto a punto por UDP. La latencia más baja. Los fotogramas viajan directo del host al cliente sin saltos intermedios.
• Conexión — Relay significa que el tráfico se enruta por el relay (turn.cloudflare.com). Agrega de 30 a 80 ms de latencia. Sigue cifrado de extremo a extremo: el relay solo ve texto cifrado.
• Conexión — LAN aparece cuando ambos extremos están en la misma red local. Unos 8 ms de latencia de procesamiento (el resto es la cadencia de actualización de tu pantalla), sin ida y vuelta por internet.

Si esperas Directa pero ves Relay, la red en la que estás bloquea UDP en algún punto del camino. La sesión funciona igual, solo con latencia adicional. En una red que controlas (tu router doméstico), revisa los ajustes de QoS y cualquier interruptor de «modo juego» que a veces rompe el reenvío de UDP.

Qué puede y qué no puede ver el relay

Una inquietud común en la ruta del relay es la privacidad: si mi pantalla pasa por un servidor relay, ¿alguien ahí puede verla? No. Este es el motivo:

• Cifrado de extremo a extremo. Cada fotograma, cada pulsación de tecla y cada muestra de audio se cifra con una clave de sesión derivada durante el intercambio inicial. Solo el cliente y el host tienen la clave. El relay reenvía texto cifrado.
• Sin custodia de claves. Los servidores de Remio nunca ven ni guardan claves de sesión. Incluso con acceso total a los registros del relay y control físico de los servidores, Remio no puede descifrar ninguna sesión de usuario: pasada, presente ni futura.
• Nada legible que registrar. El relay solo maneja paquetes cifrados, y el propio servidor de conexión de Remio (relay.remio.net) transporta únicamente mensajes de configuración: nunca pantalla, audio ni entrada.
• La exclusión de inspección TLS corporativa también funciona. Como el contenido se cifra en una capa por encima de TLS (el cifrado ocurre antes de que TLS envuelva el paquete para el relay), un proxy TLS corporativo que descifra el TLS exterior sigue viendo solo la carga interna cifrada. Ningún intermediario puede leer tu pantalla.

Para conocer toda la historia del cifrado, consulta Seguridad y cifrado.

Solución de problemas de conexión

• «La conexión falla en el Wi-Fi corporativo pero funciona en casa»: UDP está bloqueado hacia afuera y la ruta de relay TLS también se bloquea o se altera. Pide a TI que permita el puerto TCP 443 saliente hacia relay.remio.net y turn.cloudflare.com y, si hay un proxy de inspección TLS, que agregue esos mismos dos nombres de host a su lista de exclusión. Eso desbloquea la ruta del relay y las sesiones funcionan de extremo a extremo.
• «La latencia es mucho mayor de lo esperado en la red de la oficina»: lo más probable es que la conexión pase por el relay (revisa el indicador de la sesión). Las rutas de relay agregan de 30 a 80 ms. Si TI puede abrir UDP saliente, Remio cambiará a la ruta directa automáticamente y la latencia bajará.
• «La conexión se establece pero la transmisión se congela tras unos segundos»: típico de un proxy de inspección TLS que permite el intercambio inicial pero corta los flujos de larga duración. Confirma en los registros de TI si el proxy interrumpe relay.remio.net o turn.cloudflare.com y agrega exclusiones para ambos.
• «Otras apps de video funcionan, solo Remio falla»: casi siempre es una inspección TLS o una inspección profunda de paquetes que altera el intercambio inicial. La solución es la misma: pide a TI que agregue relay.remio.net y turn.cloudflare.com a la lista de exclusión de inspección.
• «A veces funciona, a veces se queda en “Conectando”»: resolución DNS inestable de relay.remio.net o un filtro DNS corporativo que bloquea el servidor de conexión. Prueba nslookup relay.remio.net desde la misma máquina: debería devolver una IP en un segundo. Si agota el tiempo o falla, el cuello de botella es el DNS.
• «El botón Conectar no hace nada: sin errores ni progreso»: el puerto 443 saliente está completamente bloqueado. Es poco común, pero ocurre en redes muy restringidas. Prueba cargando https://relay.remio.net/health en un navegador; debería devolver una breve respuesta de estado. Si el navegador tampoco puede acceder, el firewall bloquea por completo el HTTPS saliente hacia ese host.
• «El cliente VPN rompe Remio al conectarse»: algunos agentes de VPN capturan todo el tráfico, incluido el multimedia, lo que provoca tirones. Prueba a excluir relay.remio.net y turn.cloudflare.com del túnel si tu VPN admite túnel dividido.

Avanzado: restringirlo aún más

Si tu equipo de seguridad necesita la lista de permitidos más estricta posible, esto es lo mínimo que aún permite que Remio funcione de extremo a extremo:

# Minimum-viable firewall allowlist
# Allows relay-mode operation only (~30-80 ms latency)

OUTBOUND TCP/443   ->  relay.remio.net          # connection setup
OUTBOUND TCP/443   ->  turn.cloudflare.com      # relay (TURN over TLS)

# Adding these unlocks direct peer-to-peer (3-5 ms LAN, 10-40 ms WAN)
OUTBOUND UDP/3478  ->  stun.cloudflare.com      # public address discovery
OUTBOUND UDP/19302 ->  stun.l.google.com        # public address discovery (redundancy)
OUTBOUND UDP       ->  any (32768-65535)        # direct media path

Las dos primeras líneas bastan para que la app funcione; todas las demás son optimizaciones de latencia. Si quieres máxima seguridad y la menor latencia, permite las cinco.

Preguntas sobre firewall y NAT

¿Remio requiere abrir puertos de entrada en mi firewall?

No. Tanto Remio Client como Remio Host solo hacen conexiones salientes. No hay nada que abrir en tu router ni en las reglas de entrada de tu firewall. Si tu red permite el tráfico web saliente normal (cargar sitios web, usar una app de mensajería), Remio funciona.

¿Qué puertos usa Remio?

TCP 443 saliente hacia relay.remio.net para la configuración de la conexión, y tráfico saliente hacia el relay (turn.cloudflare.com) cuando no existe una ruta directa: UDP 3478 o 443 cuando se puede, TCP o TLS en el puerto 443 cuando UDP está bloqueado. El contenido multimedia directo de punto a punto usa UDP saliente en puertos altos aleatorios; el descubrimiento de la dirección pública usa UDP 3478 (stun.cloudflare.com) y UDP 19302 (stun.l.google.com). No se requieren puertos de entrada en ninguno de los dos lados.

¿Funciona Remio en redes corporativas que bloquean UDP?

Sí. Cuando UDP está bloqueado, Remio recurre automáticamente a retransmitir el contenido por TLS en el puerto 443, el mismo que usa tu navegador para HTTPS. Las conexiones tardan una fracción de segundo más en establecerse y agregan unos 30 a 80 ms de latencia, pero la sesión funciona de extremo a extremo. No hay ningún ajuste que cambiar: el respaldo ocurre de forma transparente.

¿Puede mi equipo de TI inspeccionar el tráfico de Remio?

No. Todo el contenido de la sesión está cifrado de extremo a extremo: tu pantalla nunca pasa por nuestros servidores, e incluso el relay solo ve texto cifrado. Aunque el tráfico pase por el relay en el puerto 443, el relay solo reenvía paquetes cifrados: no puede leer el contenido de la pantalla, las pulsaciones de teclas ni ningún otro dato. Los proxies corporativos de inspección TLS tampoco pueden ver dentro de la transmisión porque el contenido se cifra en una capa por encima de TLS.

¿Por qué mi conexión funciona en casa pero falla en la oficina?

Las redes corporativas suelen bloquear UDP por completo y también pueden bloquear TLS saliente hacia hosts que no están en la lista de permitidos. Pide a TI que permita el puerto TCP 443 saliente hacia relay.remio.net (configuración de la conexión) y hacia turn.cloudflare.com (el relay que transporta el contenido cuando UDP está cerrado). Esas dos entradas bastan para que Remio funcione con UDP totalmente bloqueado.

¿Cómo compruebo si mi sesión es directa o por relay?

Abre la superposición de estadísticas de la sesión desde la barra de herramientas. Todos los clientes de Remio muestran un indicador de tipo de conexión (Directa, LAN o Relay) junto con la latencia y la tasa de bits. Las conexiones directas se sienten más ágiles; las conexiones por relay agregan aproximadamente de 30 a 80 ms de latencia según tu distancia al nodo relay más cercano.

¿Funciona Remio detrás de una VPN o un agente de confianza cero?

Sí, en casi todos los casos. Tanto la ruta de punto a punto como la de relay usan HTTPS saliente estándar, que las VPN corporativas y los agentes de confianza cero (Zscaler, Cloudflare WARP, Tailscale, Twingate) dejan pasar sin problema. Algunos intermediarios agresivos de inspección profunda de paquetes pueden alterar la transmisión; consulta la sección de solución de problemas más arriba para ver alternativas.

¿La interceptación TLS de mi empresa romperá Remio?

Puede. Los proxies de inspección profunda de paquetes que descifran y vuelven a cifrar todas las conexiones TLS a veces eliminan partes del intercambio inicial de la conexión o bloquean la naturaleza de larga duración de los flujos multimedia. Si ves que Remio falla solo en tu red corporativa, pide a TI que agregue relay.remio.net y turn.cloudflare.com a la lista de exclusión de inspección TLS: la mayoría de los proxies empresariales (Zscaler, Palo Alto, Cisco Umbrella, Check Point) admiten exclusiones por dominio.

Guías relacionadas

• Configurar de Mac a Mac: configuración base antes de ajustar la ruta de red.
• Configurar de Mac a iPad: la misma lógica de red, con cliente iPad.
• Transmitir una PC con Windows a una Mac: la misma lógica de red, con host Windows.
• Conexión directa por LAN: cuando quieres garantizar la conexión de punto a punto en tu propia red.
• Solución de problemas: una guía más amplia para problemas de conexión.
• Seguridad y cifrado: todos los detalles del cifrado de extremo a extremo.