ファイアウォールとNATを、シンプルに。

ほとんどのユーザーは、Remioを使うのに、ファイアウォールの設定に触れることはありません。このアプリは、ビデオ通話アプリが家庭のルーター、ホテルのWi-Fi、企業のVPNの内側でも動作するのと同じ接続の技術の上に作られており、経路は自分で見つけます。ただし、デフォルトのままではフリーズしてしまう、厳しく制限されたネットワークを使う、ごく少数のユーザーのために、このページは、一箇所で完結するリファレンスです。Remioが実際に通信上に送るもの、ファイアウォールで許可するもの、セッション中の診断の読み方、そしてIT部門に何を伝えればよいか。

概要

Remioは、クライアントをホストに接続するのに、層になった方法をとります。まず最も速い経路を試し、必要に応じて、うまくフォールバックします。経路は3つあり、優先順は次のとおりです。

1. 同じネットワーク内での直接接続 — クライアントとホストが、同じWi-FiまたはLANにあります。フレームは、点から点へ届きます。処理遅延は約8 msで、残りはディスプレイ自体のリフレッシュ周期です。自宅、単一のオフィスのネットワーク、あるいはTailscale/WireGuard経由なら、これになります。
2. インターネット越しの直接接続（ピアツーピア） — クライアントとホストが別のネットワークにあり、それぞれが外向きのUDP接続を作れます。両端がRemioの接続サーバーを介して、互いのグローバルなアドレスを交換し、それからメディアを互いに直接送ります。地理的な位置に応じて、10〜40 msの遅延が加わります。
3. 中継へのフォールバック — UDPがブロックされている、あるいはNATが厳しすぎて直接の経路が使えないときは、両端が外向きに中継サーバー（Cloudflareのグローバルネットワーク、turn.cloudflare.com）に接続します。可能ならUDPで、UDPがブロックされていれば、ポート443のTCPまたはTLSで接続し、中継が暗号化されたメディアを2台の間で転送します。30〜80 msの遅延が加わります。HTTPSが動く場所なら、どこでも動作します。

経路を手動で選ぶ必要はありません。Remioは、すべてのセッションの始めに、3つすべてを同時に探り、成功した中で最も速いものを使います。セッション中にネットワークが変わった場合（オフィスのWi-FiからLTEへ移動するなど）も、Remioは再び探り直し、セッションを切らずに経路を切り替えます。

Remioのセッションが、ファイアウォールを越えるしくみ

クライアントで接続をタップした瞬間から、流れは次のとおりです。

1. 接続サーバーへの外向きのTLS。クライアントとホストの両方が、ポート443でrelay.remio.netへの長く続くWebSocketを開きます。これは、ペアリングのハンドシェイク、オファーとアンサーのやり取り、そしてセッションの間ずっと、少量の制御用の通信を運びます。画面や入力のデータが、これを通ることは一切ありません。標準的なHTTPSで、どの企業のファイアウォールも通します。
2. ネットワークの探索。各端は、公開のSTUNサービスを使って、自分のグローバルなアドレス（インターネットの残りから見えるアドレス）を調べます。それから、探索が失敗した場合に備えて、接続サーバーに、中継（turn.cloudflare.com）への短期間の認証情報を求めます。
3. 経路のレース。両端が同時に、直接のUDP、STUNで調べたアドレス経由の直接のUDP、そしてTLSの中継を試します。成功して、最初に応答が返った組み合わせが勝ちます。ほとんどの家庭のネットワークは、200 ms以内に直接のUDPを選び、制限されたネットワークは、約2秒以内にTLSの中継に落ち着きます。
4. 暗号化されたメディアの流れ。経路が決まると、すべての映像フレーム、すべてのキー入力、すべての音声のサンプルが、エンドツーエンドで暗号化されて、選ばれた経路で送られます。中継の経路でも、中継のノードに見えるのは暗号文だけです。

このプロセス全体は、あなたには見えません。クライアントは、ただ「接続済み」と表示するだけです。しかし、この流れを理解しておくと、次の節のファイアウォールの規則の意味が分かります。

ファイアウォールで許可するもの

ファイアウォールのポリシーを書くIT部門のために、Remioが生成する外向きの通信の完全なリストを示します。外から入る規則は、まったく必要ありません。

# Outbound rules — Remio Client and Remio Host

# Required — connection setup (signaling only, no media)
ALLOW  TCP/443    ->  relay.remio.net           (TLS WebSocket)

# Required — relay fallback (media when no direct path exists)
ALLOW  TCP/443    ->  turn.cloudflare.com       (TURN over TLS — works when UDP is blocked)
ALLOW  UDP/3478   ->  turn.cloudflare.com       (TURN over UDP — optional, preferred)
ALLOW  UDP/443    ->  turn.cloudflare.com       (TURN over UDP — optional)

# Strongly recommended — enables direct peer-to-peer (lower latency)
ALLOW  UDP        ->  any (high ports 32768-65535)

# Optional — used during initial address discovery only
ALLOW  UDP/3478   ->  stun.cloudflare.com
ALLOW  UDP/19302  ->  stun.l.google.com

# Not required, never used
DENY   any inbound                              (nothing inbound is ever needed)

最小限しか許可できない場合は、relay.remio.netとturn.cloudflare.comへの、外向きのTCPポート443を許可してください。この2つの規則だけで、Remioはエンドツーエンドで機能します。ただし、直接ではなく、中継の経路を通ります。セッションは今までどおり暗号化され、フル品質でストリーミングされ、遅延だけが代償です。

よくある企業ネットワークのシナリオ

現実のファイアウォールの構成は、さまざまです。それぞれで何が起こるかを紹介します。

外向きはデフォルトで許可（ほとんどの小規模なオフィス、家庭のネットワーク）

ファイアウォールは、特定の悪質な範囲だけをブロックし、外向きのTCPとUDPはすべて通します。Remioは1秒以内に直接のUDPの経路を見つけ、そこにとどまります。遅延は、インターネットのラウンドトリップに、Remioのオーバーヘッド3〜5 msを加えたものです。接続タイプの表示には、直接と出ます。

外向きのUDPをブロック（中規模の企業、学校）

ファイアウォールはTLSといくつかのよく知られたプロトコルを許可しますが、ピアツーピアの悪用を防ぐため、外向きのUDPを一括でブロックします。Remioの直接のUDPの探索は失敗し、TLS-443の中継の探索は成功して、セッションは約2秒以内に中継の経路で確立されます。接続タイプの表示には、リレーと出ます。最も近い中継ノードまでの距離に応じて、30〜80 msの遅延が加わります。ストリーミング、音声、キーボード、入力は、すべて同じように動作します。

TLSを検査するプロキシ（大企業、金融、医療）

ファイアウォールが、外向きのすべてのTLS接続を復号して内容を検査し、転送する前に再暗号化します。これが、最も厄介なケースです。うまくいかなくなる原因は2つあります。

• プロキシが、Remioが使う、長く続くメディアのような流れを認識せず、短いタイムアウトの後に破棄するか、使い物にならないほどにレートを制限する。
• プロキシが、理解できない接続のハンドシェイクの一部を取り除き、Remioが行き詰まる。

対処法は、relay.remio.netとturn.cloudflare.comを、プロキシのTLS検査の除外リストに追加することです。主要な企業向けプロキシ（Zscaler、Palo Alto、Cisco Umbrella、Check Point、Forcepoint）はすべて、ドメインごとの除外に対応しています。通信は引き続き企業のファイアウォールを通りますが、途中で復号されないだけです。IT部門は通常、同じ理由で、ビデオ会議のアプリ（Zoom、Teams）に除外のエントリを追加しており、Remioも同じパターンに当てはまります。

キャプティブポータル / ホテルのWi-Fi

多くのホテルや空港は、利用規約に同意するまで、外向きの通信をすべてブロックするキャプティブポータルを使っています。認証が済めば、ほとんどは通常のHTTPSを許可するので、Remioの中継の経路は動作します。UDPは運次第で、サインイン後もUDPをブロックし続けるポータルもあります。ホテルのWi-Fiで、セッションがもたつくと感じたら、表示を確認してください。ほぼ間違いなく、リレーと出ています。直すものはありません。こうしたネットワークでは、それが想定されるモードです。

モバイルネットワークのキャリアグレードNAT

4G/5Gの接続は、通信事業者が運用する何層ものNATの内側にあることが多く、直接のピアツーピアが難しくなります。Remioはこれを透過的に処理します。直接のUDPは、通常、片方向（モバイルのクライアントからホストへ）で動作し、中継の経路は、フォールバックとして常に使えます。LTE/5G越しのパフォーマンスは、通常、非常に優れています。

接続の経路を確認する

すべてのRemioクライアントは、セッション中の統計のオーバーレイに、選ばれた接続の経路を表示します。ツールバーから開いてください。アイコンは、小さな棒グラフの形です。次のように表示されます。

• 接続 — 直接は、UDPでのピアツーピアを意味します。遅延は最小で、フレームは、途中のホップなしに、ホストからクライアントへまっすぐ届きます。
• 接続 — リレーは、通信が中継（turn.cloudflare.com）を経由していることを意味します。30〜80 msの遅延が加わります。それでもエンドツーエンドで暗号化されており、中継に見えるのは暗号文だけです。
• 接続 — LANは、両方のエンドポイントが同じローカルネットワークにあるときに表示されます。処理遅延は約8 ms（残りはディスプレイ自体のリフレッシュ周期）で、インターネットのラウンドトリップはありません。

直接を期待しているのにリレーと出る場合は、使っているネットワークが、経路のどこかでUDPをブロックしています。セッションは動きますが、遅延が増えます。自分で管理するネットワーク（自宅のルーター）では、QoSの設定と、UDPの転送を壊すことのある「ゲームモード」の切り替えを確認してください。

中継に見えるもの、見えないもの

中継の経路でよくある心配は、プライバシーです。画面が中継サーバーを通るなら、そこにいる誰かに見えてしまうのでは？ いいえ。その理由は次のとおりです。

• エンドツーエンドの暗号化。すべてのフレーム、すべてのキー入力、すべての音声のサンプルは、ハンドシェイクの間に導出されたセッションキーで暗号化されます。鍵を持つのは、クライアントとホストだけです。中継が転送するのは暗号文です。
• 鍵の預託なし。Remioのサーバーは、セッションキーを見ることも、保存することもありません。中継のログへの完全なアクセスと、中継サーバーの物理的な管理があっても、Remioは、過去、現在、未来のどのユーザーのセッションも復号できません。
• 記録できる読めるものがない。中継が扱うのは暗号化されたパケットだけで、Remio自身の接続サーバー（relay.remio.net）が運ぶのは、セットアップのメッセージだけです。画面、音声、入力は決して運びません。
• 企業のTLS検査の除外でも成り立つ。メディアはTLSより上の層で暗号化されている（暗号化は、TLSが中継向けにパケットを包む前に行われる）ため、外側のTLSを復号する企業のTLSプロキシにも、見えるのは内側の暗号化されたペイロードだけです。どの中間装置にも、あなたの画面を読む方法はありません。

暗号化の全体像は、セキュリティと暗号化をご覧ください。

接続の問題のトラブルシューティング

• 「企業のWi-Fiでは接続に失敗するが、自宅では動く」 — 外向きのUDPがブロックされており、TLSの中継の経路もブロックされているか、取り除かれています。IT部門に、relay.remio.netとturn.cloudflare.comへの、外向きのTCPポート443を許可してもらい、TLS検査のプロキシがある場合は、同じ2つのホスト名を除外リストに追加してもらってください。これで中継の経路が開通し、セッションはエンドツーエンドで動作します。
• 「オフィスのネットワークで、遅延が想定よりずっと大きい」 — 接続はおそらく中継を通っています（セッション中の表示を確認してください）。中継の経路では、30〜80 msが加わります。IT部門が外向きのUDPを開けられれば、Remioは自動で直接の経路に切り替わり、遅延は下がります。
• 「接続は確立するが、数秒後にストリームがフリーズする」 — 最初のハンドシェイクは通すものの、長く続く流れを切断する、TLS検査のプロキシによくある症状です。プロキシがrelay.remio.netやturn.cloudflare.comを中断していないかをITのログで確認し、両方に除外のエントリを追加してください。
• 「他のビデオアプリは動くのに、Remioだけ失敗する」 — ほぼ間違いなく、TLS検査かディープパケットインスペクションが、ハンドシェイクを壊しています。対処法は同じで、IT部門に、relay.remio.netとturn.cloudflare.comを、検査の除外リストに追加してもらってください。
• 「動くときもあれば、『接続中』のままフリーズすることもある」 — relay.remio.netのDNSの名前解決が不安定か、企業のDNSフィルターが接続サーバーをブロックしています。同じマシンからnslookup relay.remio.netを試してください。1秒以内にIPが返るはずです。タイムアウトしたり失敗したりするなら、DNSがボトルネックです。
• 「接続ボタンを押しても何も起きない。エラーも、進行もない」 — 外向きのポート443が、完全にブロックされています。珍しいことですが、厳しく制限されたネットワークでは起こります。ブラウザでhttps://relay.remio.net/healthを読み込んで試してください。短いステータスの応答が返るはずです。ブラウザからも届かないなら、ファイアウォールが、そのホストへの外向きのHTTPSを完全にブロックしています。
• 「VPNクライアントが接続すると、Remioが壊れる」 — VPNのエージェントによっては、メディアを含むすべての通信を取り込み、それがカクつきの原因になります。VPNがスプリットトンネリングに対応しているなら、relay.remio.netとturn.cloudflare.comをトンネルから除外してみてください。

応用 — さらに厳しく制限する

セキュリティチームが、可能な限り厳しい許可リストを必要とする場合は、Remioがエンドツーエンドで動作できる最小限のものは、次のとおりです。

# Minimum-viable firewall allowlist
# Allows relay-mode operation only (~30-80 ms latency)

OUTBOUND TCP/443   ->  relay.remio.net          # connection setup
OUTBOUND TCP/443   ->  turn.cloudflare.com      # relay (TURN over TLS)

# Adding these unlocks direct peer-to-peer (3-5 ms LAN, 10-40 ms WAN)
OUTBOUND UDP/3478  ->  stun.cloudflare.com      # public address discovery
OUTBOUND UDP/19302 ->  stun.l.google.com        # public address discovery (redundancy)
OUTBOUND UDP       ->  any (32768-65535)        # direct media path

最初の2行だけで、アプリは動作します。ほかのすべての行は、遅延の最適化です。最大限のセキュリティと、最も低い遅延の両方がほしいなら、5つすべてを許可してください。

ファイアウォールとNATについての質問

Remioは、ファイアウォールで外から入るポートを開ける必要がありますか？

いいえ。RemioクライアントもRemio Hostも、外向きの接続しか行いません。ルーターでも、ファイアウォールの外から入る規則でも、開けるものは何もありません。ネットワークが通常の外向きのWeb通信（Webサイトの読み込み、メッセージアプリの利用）を許可しているなら、Remioは動作します。

Remioは、どのポートを使いますか？

接続のセットアップには、relay.remio.netへの外向きのTCP 443、直接の経路がないときは、中継（turn.cloudflare.com）への外向きの通信です。可能ならUDP 3478または443、UDPがブロックされていれば、ポート443のTCPまたはTLSを使います。直接のピアツーピアのメディアは、ランダムな高いポートの外向きのUDPを使い、グローバルなアドレスの探索には、UDP 3478（stun.cloudflare.com）とUDP 19302（stun.l.google.com）を使います。どちら側でも、外から入るポートは不要です。

UDPをブロックする企業ネットワークでも、Remioは動作しますか？

はい。UDPがブロックされているとき、Remioは自動で、ブラウザがHTTPSに使うのと同じポート443のTLSで、メディアを中継するようフォールバックします。接続の確立にかかる時間は、コンマ数秒長くなり、30〜80 ms程度の遅延が加わりますが、セッションはエンドツーエンドで動作します。切り替える設定はなく、フォールバックは透過的に行われます。

IT部門は、Remioの通信を検査できますか？

いいえ。セッションのメディアはすべてエンドツーエンドで暗号化されており、画面が私たちのサーバーに触れることはなく、中継でさえ暗号文しか見えません。通信がポート443の中継を通る場合でも、中継が転送するのは暗号化されたパケットだけで、画面の内容、キー入力、その他のデータは読めません。メディアはTLSより上の層で暗号化されているため、企業のTLS検査のプロキシも、ストリームの中身は見られません。

自宅では接続できるのに、オフィスでは失敗するのはなぜですか？

企業のネットワークは、UDPを完全にブロックしていることが多く、許可リストにないホストへの外向きのTLSもブロックしている場合があります。IT部門に、relay.remio.net（接続のセットアップ）とturn.cloudflare.com（UDPが閉じているときにメディアを運ぶ中継）への、外向きのTCPポート443を許可してもらってください。この2つのエントリがあれば、UDPが完全にブロックされていても、Remioは動作します。

セッションが直接か中継かを確認するには？

ツールバーから、セッション中の統計のオーバーレイを開きます。すべてのRemioクライアントは、遅延とビットレートと並べて、接続タイプの表示（直接、LAN、リレー）を示します。直接の接続は軽快に感じられ、中継の接続では、最も近い中継ノードまでの距離に応じて、およそ30〜80 msの遅延が加わります。

VPNやゼロトラストのエージェントの内側でも、Remioは動作しますか？

はい、ほとんどの場合。ピアツーピアも中継の経路も、標準的な外向きのHTTPSを使うため、企業のVPNやゼロトラストのエージェント（Zscaler、Cloudflare WARP、Tailscale、Twingate）は、問題なく通します。積極的なディープパケットインスペクションの中間装置の中には、ストリームを壊すものもあります。回避策は、上のトラブルシューティングの節をご覧ください。

会社のTLSの傍受は、Remioを壊しますか？

壊すことがあります。すべてのTLS接続を復号して再暗号化する、ディープパケットインスペクションのプロキシは、接続のハンドシェイクの一部を取り除いたり、メディアの流れが長く続く性質を妨げたりすることがあります。会社のネットワークでのみ、Remioが失敗するなら、IT部門に、relay.remio.netとturn.cloudflare.comを、TLS検査の除外リストに追加してもらってください。ほとんどの企業向けプロキシ（Zscaler、Palo Alto、Cisco Umbrella、Check Point）は、ドメインごとの除外に対応しています。

関連するガイド

• MacからMacへのセットアップ — ネットワークの経路を調整する前の、基本のセットアップ。
• MacからiPadへのセットアップ — 同じネットワークの考え方で、iPadのクライアント。
• WindowsのPCをMacにストリーミング — 同じネットワークの考え方で、Windowsのホスト。
• LAN直接接続 — 自分のネットワークで、ピアツーピアを確実にしたいとき。
• トラブルシューティング — 接続の問題を幅広く扱う総合ガイド。
• セキュリティと暗号化 — エンドツーエンドの暗号化の詳細。