방화벽과 NAT, 쉽게 정리했어요.

대부분의 사용자는 Remio를 쓰기 위해 방화벽 설정을 건드릴 일이 없습니다. 이 앱은 화상 통화 앱이 가정용 공유기, 호텔 Wi-Fi, 회사 VPN 뒤에서도 작동하게 해 주는 것과 같은 연결 기술로 만들어져 스스로 경로를 찾습니다. 하지만 기본 설정으로는 연결이 멈추는 제한적인 네트워크를 쓰는 소수의 사용자를 위해, 이 페이지에서 Remio가 실제로 네트워크로 보내는 것, 방화벽에서 허용할 것, 세션 중 진단 정보 읽는 법, IT 팀에 전달할 내용을 한곳에 정리했습니다.

개요

Remio는 단계적인 방식으로 클라이언트와 호스트를 연결합니다. 가장 빠른 경로를 먼저 시도하고, 필요하면 차례로 대체 경로로 넘어갑니다. 우선순위 순서로 가능한 경로는 세 가지입니다.

1. 같은 네트워크에서 직접 연결 — 클라이언트와 호스트가 같은 Wi-Fi 또는 LAN에 있습니다. 프레임이 지점 간으로 전달되며 처리 지연은 약 8ms이고 나머지는 디스플레이 자체의 주사율에 따릅니다. 집이나 단일 사무실 네트워크에서 얻는 방식입니다. Tailscale을 사용 중인가요? 설정 → 고급 → 네트워크 맨 아래에서 두 기기가 같은 Tailscale 네트워크에 있을 때 Tailscale 경유를 켜세요.
2. 인터넷을 통한 직접 연결(피어 투 피어) — 클라이언트와 호스트가 서로 다른 네트워크에 있지만 각자 외부로 나가는 UDP 연결을 만들 수 있는 경우입니다. 양쪽이 Remio의 연결 서버를 통해 공인 주소를 교환한 뒤 서로에게 직접 미디어를 보냅니다. 지역에 따라 10~40ms의 추가 지연이 생깁니다.
3. 릴레이 대체 연결 — UDP가 차단되었거나 NAT가 너무 제한적이어서 직접 경로를 만들 수 없을 때, 양쪽이 릴레이 서버(Cloudflare 글로벌 네트워크, turn.cloudflare.com)로 외부 연결을 만들고, 릴레이가 암호화된 미디어를 둘 사이에서 전달합니다. 가능하면 UDP로, UDP가 차단되면 443 포트의 TCP 또는 TLS로 연결합니다. 30~80ms의 추가 지연이 생깁니다. HTTPS가 되는 곳이면 어디서나 작동합니다.

경로는 직접 고르지 않습니다. Remio는 세션을 시작할 때마다 세 경로를 동시에 시도해 성공한 가장 빠른 경로를 사용합니다. 세션 중에 네트워크가 바뀌면(사무실 Wi-Fi에서 LTE로 이동 등) 다시 탐색해 세션을 끊지 않고 경로를 전환합니다.

Remio 세션이 방화벽을 통과하는 방법

클라이언트에서 연결을 탭한 순간부터의 순서는 다음과 같습니다.

1. 연결 서버로의 아웃바운드 TLS. 클라이언트와 호스트가 모두 443 포트로 relay.remio.net에 오래 유지되는 WebSocket을 엽니다. 이 연결은 세션이 유지되는 동안 페어링 핸드셰이크, 오퍼/앤서 교환, 소량의 제어 트래픽을 전달합니다. 화면이나 입력 데이터는 절대 지나가지 않습니다. 표준 HTTPS이므로 모든 기업 방화벽이 통과시킵니다.
2. 네트워크 탐색. 양쪽은 공용 STUN 서비스로 자신의 공인 주소(인터넷의 다른 곳에서 보이는 주소)를 알아냅니다. 탐색이 실패할 경우를 대비해 연결 서버에 릴레이(turn.cloudflare.com)용 단기 자격 증명도 요청합니다.
3. 경로 경쟁. 양쪽이 직접 UDP, STUN으로 찾은 주소를 이용한 직접 UDP, TLS 릴레이를 동시에 시도합니다. 성공하고 가장 먼저 응답하는 조합이 선택됩니다. 대부분의 가정용 네트워크는 200ms 안에 직접 UDP를 선택하고, 제한된 네트워크는 약 2초 안에 TLS 릴레이로 넘어갑니다.
4. 암호화된 미디어 전송. 경로가 정해지면 모든 영상 프레임, 키 입력, 오디오 샘플이 종단 간 암호화되어 선택된 경로로 전송됩니다. 릴레이 경로에서도 릴레이 노드는 암호문만 볼 수 있습니다.

이 모든 과정은 보이지 않으며 클라이언트에는 "연결됨"만 표시됩니다. 하지만 이 순서를 알면 다음 섹션의 방화벽 규칙이 이해됩니다.

방화벽에서 허용할 항목

방화벽 정책을 작성하는 IT 팀을 위해 Remio가 만드는 아웃바운드 트래픽의 전체 목록을 정리했습니다. 인바운드 규칙은 전혀 필요하지 않습니다.

# Outbound rules — Remio Client and Remio Host

# Required — connection setup (signaling only, no media)
ALLOW  TCP/443    ->  relay.remio.net           (TLS WebSocket)

# Required — relay fallback (media when no direct path exists)
ALLOW  TCP/443    ->  turn.cloudflare.com       (TURN over TLS — works when UDP is blocked)
ALLOW  UDP/3478   ->  turn.cloudflare.com       (TURN over UDP — optional, preferred)
ALLOW  UDP/443    ->  turn.cloudflare.com       (TURN over UDP — optional)

# Strongly recommended — enables direct peer-to-peer (lower latency)
ALLOW  UDP        ->  any (high ports 32768-65535)

# Optional — used during initial address discovery only
ALLOW  UDP/3478   ->  stun.cloudflare.com
ALLOW  UDP/19302  ->  stun.l.google.com

# Not required, never used
DENY   any inbound                              (nothing inbound is ever needed)

최소한만 허용할 수 있다면 relay.remio.net과 turn.cloudflare.com으로 나가는 TCP 443 포트를 허용하세요. 이 두 규칙만으로 Remio는 직접 경로 대신 릴레이 경로로 처음부터 끝까지 작동합니다. 세션은 여전히 암호화되고 최고 화질로 스트리밍되며, 지연 시간만 늘어납니다.

자주 만나는 기업 네트워크 상황

실제 방화벽 구성은 매우 다양합니다. 각 경우에 예상되는 동작은 다음과 같습니다.

아웃바운드 기본 허용(대부분의 소규모 사무실, 가정용 네트워크)

방화벽이 특정 악성 대역만 막고 나가는 TCP와 UDP는 모두 허용합니다. Remio는 1초 안에 직접 UDP 경로를 찾아 유지합니다. 지연 시간은 인터넷 왕복 시간에 Remio 오버헤드 3~5ms를 더한 값입니다. 연결 유형 표시기에 직접으로 표시됩니다.

아웃바운드 UDP 차단(중견 기업, 학교)

방화벽이 TLS와 몇 가지 잘 알려진 프로토콜은 허용하지만 피어 투 피어 악용을 막기 위해 나가는 UDP를 전부 차단합니다. Remio의 직접 UDP 시도는 실패하고 TLS-443 릴레이 시도는 성공해, 약 2초 안에 릴레이 경로로 세션이 만들어집니다. 연결 유형 표시기에 릴레이로 표시됩니다. 가장 가까운 릴레이 노드까지의 거리에 따라 지연 시간이 30~80ms 늘어납니다. 스트리밍, 오디오, 키보드, 입력은 모두 똑같이 작동합니다.

TLS 검사 프록시(대기업, 금융, 의료)

방화벽이 나가는 모든 TLS 연결을 복호화해 내용을 검사한 뒤 다시 암호화해서 전달합니다. 가장 까다로운 경우로, 두 가지 문제가 생길 수 있습니다.

• 프록시가 Remio가 쓰는 오래 유지되는 미디어 형태의 흐름을 인식하지 못해 짧은 시간 뒤에 끊거나 쓸 수 없을 정도로 속도를 제한합니다.
• 프록시가 이해하지 못하는 연결 핸드셰이크 일부를 제거해 Remio가 멈춥니다.

해결 방법은 프록시의 TLS 검사 예외 목록에 relay.remio.net과 turn.cloudflare.com을 추가하는 것입니다. 주요 기업용 프록시(Zscaler, Palo Alto, Cisco Umbrella, Check Point, Forcepoint)는 모두 도메인별 예외를 지원합니다. 트래픽은 여전히 기업 방화벽을 지나가며, 지나가는 동안 복호화되지 않을 뿐입니다. IT 팀은 같은 이유로 화상 회의 앱(Zoom, Teams)에도 예외 항목을 추가하며, Remio도 같은 패턴에 해당합니다.

캡티브 포털 / 호텔 Wi-Fi

많은 호텔과 공항이 약관에 동의하기 전까지 모든 아웃바운드 트래픽을 차단하는 캡티브 포털을 사용합니다. 인증을 마치면 대부분 일반 HTTPS를 허용하므로 Remio의 릴레이 경로가 작동합니다. UDP는 경우에 따라 다르며, 로그인 후에도 UDP를 계속 차단하는 포털이 있습니다. 호텔 Wi-Fi에서 세션이 느리게 느껴진다면 표시기를 확인해 보세요. 거의 항상 릴레이로 표시됩니다. 고칠 것은 없으며 이런 네트워크에서는 정상적인 모드입니다.

모바일 네트워크의 통신사급 NAT

4G/5G 연결은 통신사가 운영하는 여러 겹의 NAT 뒤에 있는 경우가 많아 직접 피어 투 피어가 어렵습니다. Remio는 이를 자동으로 처리합니다. 보통 한 방향(모바일 클라이언트가 호스트에 접속)으로는 직접 UDP가 작동하며, 릴레이 경로는 언제든 대체 수단으로 쓸 수 있습니다. LTE/5G에서의 성능은 대체로 훌륭합니다.

연결 경로 확인하기

모든 Remio 클라이언트는 세션 중 통계 오버레이에 선택된 연결 경로를 표시합니다. 도구 막대에서 작은 막대 차트 모양 아이콘으로 열 수 있습니다. 다음과 같이 표시됩니다.

• 연결 — 직접은 UDP 기반 피어 투 피어를 뜻합니다. 지연 시간이 가장 낮으며, 프레임이 중간 경유지 없이 호스트에서 클라이언트로 곧장 전달됩니다.
• 연결 — 릴레이는 트래픽이 릴레이(turn.cloudflare.com)를 거친다는 뜻입니다. 30~80ms의 지연이 추가됩니다. 여전히 종단 간 암호화되어 릴레이는 암호문만 볼 수 있습니다.
• 연결 — LAN은 양쪽 끝이 같은 로컬 네트워크에 있을 때 표시됩니다. 처리 지연은 약 8ms(나머지는 디스플레이 자체의 주사율)이며 인터넷 왕복이 없습니다.

직접을 기대했는데 릴레이로 표시된다면, 사용 중인 네트워크가 경로 어딘가에서 UDP를 차단하고 있다는 뜻입니다. 세션은 그대로 작동하며 지연이 조금 늘어날 뿐입니다. 내가 관리하는 네트워크(집 공유기)라면 QoS 설정과, 가끔 UDP 전달을 방해하는 "게임 모드" 토글을 확인해 보세요.

릴레이가 볼 수 있는 것과 볼 수 없는 것

릴레이 경로에서 흔한 걱정은 개인정보입니다. 내 화면이 릴레이 서버를 거친다면 그곳에서 누군가 볼 수 있을까요? 아니요. 이유는 다음과 같습니다.

• 종단 간 암호화. 모든 프레임, 키 입력, 오디오 샘플은 핸드셰이크 중에 만들어진 세션 키로 암호화됩니다. 키는 클라이언트와 호스트만 가지고 있으며 릴레이는 암호문만 전달합니다.
• 키 보관 없음. Remio 서버는 세션 키를 보거나 저장하지 않습니다. 릴레이 로그에 완전히 접근하고 릴레이 서버를 물리적으로 통제하더라도 Remio는 과거, 현재, 미래의 어떤 사용자 세션도 복호화할 수 없습니다.
• 기록할 만한 읽을 수 있는 내용 없음. 릴레이는 암호화된 패킷만 다루며, Remio의 연결 서버(relay.remio.net)는 설정 메시지만 전달할 뿐 화면, 오디오, 입력은 전달하지 않습니다.
• 기업 TLS 검사 예외도 안전합니다. 미디어는 TLS보다 위 계층에서 암호화되므로(릴레이용으로 TLS가 패킷을 감싸기 전에 암호화가 이루어짐), 바깥쪽 TLS를 복호화하는 기업 TLS 프록시도 안쪽의 암호화된 페이로드만 볼 수 있습니다. 어떤 중간 장비도 내 화면을 읽을 수 없습니다.

암호화에 대한 자세한 내용은 보안 & 암호화를 참고하세요.

연결 문제 해결

• "회사 Wi-Fi에서는 연결이 안 되는데 집에서는 돼요" — 아웃바운드 UDP가 차단되어 있고 TLS 릴레이 경로도 차단되거나 변형되고 있는 경우입니다. IT 팀에 relay.remio.net과 turn.cloudflare.com으로 나가는 TCP 443 포트를 허용해 달라고 요청하고, TLS 검사 프록시가 있다면 같은 두 호스트 이름을 예외 목록에 추가해 달라고 하세요. 그러면 릴레이 경로가 열려 세션이 처음부터 끝까지 작동합니다.
• "사무실 네트워크에서 지연 시간이 예상보다 훨씬 높아요" — 연결이 릴레이를 거치고 있을 가능성이 큽니다(세션 중 표시기를 확인하세요). 릴레이 경로는 30~80ms를 추가합니다. IT 팀이 아웃바운드 UDP를 열어 주면 Remio가 자동으로 직접 경로로 전환해 지연이 줄어듭니다.
• "연결은 되는데 몇 초 뒤에 스트림이 멈춰요" — 초기 핸드셰이크는 허용하지만 오래 유지되는 흐름은 끊는 TLS 검사 프록시에서 흔한 증상입니다. IT 로그에서 프록시가 relay.remio.net 또는 turn.cloudflare.com을 중단시키는지 확인하고 두 곳 모두 예외 항목을 추가하세요.
• "다른 영상 앱은 되는데 Remio만 안 돼요" — 거의 항상 TLS 검사나 심층 패킷 검사가 핸드셰이크를 망가뜨리는 경우입니다. 해결 방법은 같습니다. IT 팀에 relay.remio.net과 turn.cloudflare.com을 검사 예외 목록에 추가해 달라고 요청하세요.
• "될 때도 있고 '연결 중'에서 멈출 때도 있어요" — relay.remio.net의 DNS 조회가 불안정하거나 기업 DNS 필터가 연결 서버를 막고 있는 경우입니다. 같은 컴퓨터에서 nslookup relay.remio.net을 실행해 보세요. 1초 안에 IP가 반환되어야 합니다. 시간이 초과되거나 실패하면 DNS가 병목입니다.
• "연결 버튼을 눌러도 아무 반응이 없어요 — 오류도 진행도 없음" — 아웃바운드 443 포트가 완전히 차단된 경우입니다. 흔하지는 않지만 매우 제한된 네트워크에서 발생합니다. 브라우저에서 https://relay.remio.net/health를 열어 보세요. 짧은 상태 응답이 나와야 합니다. 브라우저에서도 접속되지 않는다면 방화벽이 해당 호스트로의 아웃바운드 HTTPS를 완전히 차단하고 있습니다.
• "VPN 클라이언트가 연결되면 Remio가 안 돼요" — 일부 VPN 에이전트가 미디어를 포함한 모든 트래픽을 가로채 끊김을 일으킵니다. VPN이 분할 터널링을 지원한다면 relay.remio.net과 turn.cloudflare.com을 터널에서 제외해 보세요.

고급 — 더 엄격하게 제한하기

보안팀이 가능한 한 엄격한 허용 목록을 원한다면, 다음이 Remio가 처음부터 끝까지 작동하기 위한 최소 목록입니다.

# Minimum-viable firewall allowlist
# Allows relay-mode operation only (~30-80 ms latency)

OUTBOUND TCP/443   ->  relay.remio.net          # connection setup
OUTBOUND TCP/443   ->  turn.cloudflare.com      # relay (TURN over TLS)

# Adding these unlocks direct peer-to-peer (3-5 ms LAN, 10-40 ms WAN)
OUTBOUND UDP/3478  ->  stun.cloudflare.com      # public address discovery
OUTBOUND UDP/19302 ->  stun.l.google.com        # public address discovery (redundancy)
OUTBOUND UDP       ->  any (32768-65535)        # direct media path

처음 두 줄만으로도 앱은 작동하며 나머지 줄은 모두 지연 시간 최적화를 위한 것입니다. 최대한의 보안과 최저 지연 시간을 모두 원한다면 다섯 줄을 모두 허용하세요.

방화벽과 NAT 자주 묻는 질문

Remio를 쓰려면 방화벽의 인바운드 포트를 열어야 하나요?

아니요. Remio Client와 Remio Host는 모두 아웃바운드 연결만 만듭니다. 공유기나 방화벽의 인바운드 규칙에서 열 것은 없습니다. 웹사이트 열기, 메신저 앱 사용 같은 일반적인 아웃바운드 웹 트래픽이 허용되는 네트워크라면 Remio가 작동합니다.

Remio는 어떤 포트를 사용하나요?

연결 설정을 위해 relay.remio.net으로 나가는 TCP 443을 사용하고, 직접 경로가 없을 때는 릴레이(turn.cloudflare.com)로 나가는 트래픽을 사용합니다. 가능하면 UDP 3478 또는 443, UDP가 차단되면 443 포트의 TCP 또는 TLS입니다. 직접 피어 투 피어 미디어는 임의의 높은 포트로 나가는 UDP를 사용하며, 공인 주소 탐색에는 UDP 3478(stun.cloudflare.com)과 UDP 19302(stun.l.google.com)를 사용합니다. 어느 쪽에서도 인바운드 포트는 필요하지 않습니다.

UDP를 차단하는 기업 네트워크에서도 Remio가 작동하나요?

네. UDP가 차단되면 Remio는 자동으로 브라우저가 HTTPS에 쓰는 것과 같은 443 포트의 TLS로 미디어를 중계하는 방식으로 전환합니다. 연결을 만드는 데 조금 더 걸리고 30~80ms 정도 지연이 추가되지만 세션은 처음부터 끝까지 작동합니다. 바꿔야 할 설정은 없으며 전환은 자동으로 이루어집니다.

IT 팀이 Remio 트래픽을 검사할 수 있나요?

아니요. 모든 세션 미디어는 종단 간 암호화되어 화면이 Remio 서버를 거치지 않으며, 릴레이도 암호문만 볼 수 있습니다. 443 포트의 릴레이를 거치는 경우에도 릴레이는 암호화된 패킷만 전달하므로 화면 내용, 키 입력 등 어떤 데이터도 읽을 수 없습니다. 미디어가 TLS보다 위 계층에서 암호화되므로 기업 TLS 검사 프록시도 스트림 내부를 볼 수 없습니다.

집에서는 연결이 되는데 사무실에서는 안 되는 이유는 무엇인가요?

기업 네트워크는 UDP를 완전히 차단하는 경우가 많고, 허용 목록에 없는 호스트로의 아웃바운드 TLS도 막을 수 있습니다. IT 팀에 relay.remio.net(연결 설정)과 turn.cloudflare.com(UDP가 막혔을 때 미디어를 전달하는 릴레이)으로 나가는 TCP 443 포트를 허용해 달라고 요청하세요. 이 두 항목만으로 UDP가 완전히 차단된 상태에서도 Remio가 작동합니다.

세션이 직접 연결인지 릴레이인지 어떻게 확인하나요?

도구 막대에서 세션 중 통계 오버레이를 여세요. 모든 Remio 클라이언트는 지연 시간과 비트레이트 옆에 연결 유형 표시기(직접, LAN 또는 릴레이)를 보여 줍니다. 직접 연결이 더 빠릿하게 느껴지고, 릴레이 연결은 가장 가까운 릴레이 노드까지의 거리에 따라 약 30~80ms의 지연이 추가됩니다.

VPN이나 제로 트러스트 에이전트 뒤에서도 Remio가 작동하나요?

네, 거의 모든 경우에 작동합니다. 피어 투 피어 경로와 릴레이 경로 모두 표준 아웃바운드 HTTPS를 사용하며, 기업 VPN과 제로 트러스트 에이전트(Zscaler, Cloudflare WARP, Tailscale, Twingate)는 이를 문제없이 통과시킵니다. 일부 공격적인 심층 패킷 검사 중간 장비가 스트림을 망가뜨릴 수 있으니, 해결 방법은 위의 문제 해결 섹션을 참고하세요.

회사의 TLS 가로채기 때문에 Remio가 안 될 수 있나요?

그럴 수 있습니다. 모든 TLS 연결을 복호화했다가 다시 암호화하는 심층 패킷 검사 프록시는 때때로 연결 핸드셰이크 일부를 제거하거나 미디어 흐름의 오래 유지되는 특성을 차단합니다. 회사 네트워크에서만 Remio가 실패한다면 IT 팀에 relay.remio.net과 turn.cloudflare.com을 TLS 검사 예외 목록에 추가해 달라고 요청하세요. 대부분의 기업용 프록시(Zscaler, Palo Alto, Cisco Umbrella, Check Point)는 도메인별 예외를 지원합니다.

관련 가이드

• Mac에서 Mac 설정하기 — 네트워크 경로를 조정하기 전의 기본 설정.
• Mac에서 iPad 설정하기 — 같은 네트워크 원리, iPad 클라이언트.
• Windows PC를 Mac으로 스트리밍하기 — 같은 네트워크 원리, Windows 호스트.
• 직접 LAN 연결 — 내 네트워크에서 확실하게 피어 투 피어를 원할 때.
• 문제 해결 — 연결 문제를 폭넓게 다루는 종합 가이드.
• 보안 & 암호화 — 종단 간 암호화에 대한 자세한 설명.