Firewall en NAT, eenvoudig uitgelegd.

De meeste gebruikers hoeven nooit een firewallinstelling aan te raken om Remio te gebruiken. De app is gebouwd op dezelfde verbindingstechnologie waarmee videobel-apps werken achter thuisrouters, hotelwifi en bedrijfs-VPN's: hij zoekt zelf de route uit. Maar voor de kleine groep gebruikers op afgeschermde netwerken waar de standaard blijft hangen, is deze pagina het naslagwerk: wat Remio echt over de lijn stuurt, wat je op de firewall moet toestaan, hoe je de diagnostiek tijdens een sessie leest en wat je tegen IT kunt zeggen.

Overzicht

Remio gebruikt een gelaagde aanpak om een client met een host te verbinden. Het probeert eerst de snelste route en valt dan netjes terug als dat nodig is. Er zijn drie mogelijke routes, in deze volgorde van voorkeur:

1. Direct op hetzelfde netwerk — client en host op hetzelfde wifi of lan. Frames reizen punt-naar-punt. Ongeveer 8 ms verwerkingslatentie; de rest is de eigen verversingssnelheid van je scherm. Dit krijg je thuis of in een netwerk met één kantoor. Gebruik je Tailscale? Zet onderaan Instellingen → Geavanceerd → Netwerk Via Tailscale gaan als beide apparaten op hetzelfde Tailscale-netwerk zitten aan.
2. Direct via internet (peer-to-peer) — client en host op verschillende netwerken die elk een uitgaande UDP-verbinding kunnen maken. Beide kanten wisselen hun publieke adressen uit via de verbindingsserver van Remio en sturen media dan rechtstreeks naar elkaar. 10 tot 40 ms extra latentie, afhankelijk van de geografie.
3. Terugval op een relay — als UDP is geblokkeerd of NAT te beperkend is voor een directe route, maken beide kanten een uitgaande verbinding met een relayserver (het wereldwijde netwerk van Cloudflare, turn.cloudflare.com): via UDP als dat kan, via TCP of TLS op poort 443 als UDP is geblokkeerd. De relay stuurt versleutelde media tussen beide door. 30 tot 80 ms extra latentie. Werkt overal waar HTTPS werkt.

Je kiest de route niet handmatig. Remio probeert alle drie tegelijk aan het begin van elke sessie en gebruikt de snelste die slaagt. Verandert het netwerk tijdens de sessie (je loopt van kantoorwifi naar LTE), dan test Remio opnieuw en wisselt van route zonder de sessie te verbreken.

Hoe een Remio-sessie een firewall passeert

Vanaf het moment dat je in de client op Verbind tikt, gaat het zo:

1. Uitgaande TLS naar de verbindingsserver. Client en host openen allebei een langlevende WebSocket naar relay.remio.net op poort 443. Die draagt de koppelhandshakes, de offer/answer-uitwisseling en een beetje besturingsverkeer zolang de sessie duurt. Er gaan nooit scherm- of invoerdata doorheen. Het is standaard HTTPS: elke bedrijfsfirewall laat het door.
2. Netwerk testen. Elke kant gebruikt de publieke STUN-dienst om zijn eigen publieke adres te ontdekken (het adres dat de rest van het internet ziet). Daarna vraagt hij de verbindingsserver om kortlevende inloggegevens voor de relay (turn.cloudflare.com), voor het geval het testen mislukt.
3. Routewedstrijd. Beide kanten proberen tegelijk directe UDP, directe UDP via door STUN ontdekte adressen en TLS-relay. De combinatie die slaagt en als eerste terugpingt wint. De meeste thuisnetwerken kiezen binnen 200 ms directe UDP; beperkte netwerken vallen binnen ongeveer 2 seconden terug op TLS-relay.
4. Versleutelde mediastroom. Zodra de route is gekozen, wordt elk videoframe, elke toetsaanslag en elk audiosample end-to-end versleuteld en over de gekozen route verstuurd. Zelfs via de relay ziet het relaypunt alleen versleutelde data.

Dit hele proces is onzichtbaar voor jou: de client toont gewoon "Verbonden". Maar als je de volgorde begrijpt, zijn de firewallregels in het volgende onderdeel logisch.

Wat je op de firewall moet toestaan

Voor IT-teams die een firewallbeleid schrijven, hier de complete lijst met uitgaand verkeer dat Remio genereert. Er zijn nooit inkomende regels nodig.

# Outbound rules — Remio Client and Remio Host

# Required — connection setup (signaling only, no media)
ALLOW  TCP/443    ->  relay.remio.net           (TLS WebSocket)

# Required — relay fallback (media when no direct path exists)
ALLOW  TCP/443    ->  turn.cloudflare.com       (TURN over TLS — works when UDP is blocked)
ALLOW  UDP/3478   ->  turn.cloudflare.com       (TURN over UDP — optional, preferred)
ALLOW  UDP/443    ->  turn.cloudflare.com       (TURN over UDP — optional)

# Strongly recommended — enables direct peer-to-peer (lower latency)
ALLOW  UDP        ->  any (high ports 32768-65535)

# Optional — used during initial address discovery only
ALLOW  UDP/3478   ->  stun.cloudflare.com
ALLOW  UDP/19302  ->  stun.l.google.com

# Not required, never used
DENY   any inbound                              (nothing inbound is ever needed)

Kun je maar het minimum toestaan, sta dan uitgaande TCP-poort 443 toe naar relay.remio.net en naar turn.cloudflare.com: die twee regels volstaan om Remio end-to-end te laten werken, alleen via de relay in plaats van direct. Sessies worden nog steeds versleuteld en in volle kwaliteit gestreamd; latentie is de enige prijs.

Veelvoorkomende bedrijfsnetwerken

Firewallconfiguraties in de praktijk lopen sterk uiteen. Dit kun je in elk geval verwachten.

Uitgaand standaard toegestaan (de meeste kleine kantoren, thuisnetwerken)

De firewall laat al het uitgaande TCP- en UDP-verkeer door en blokkeert alleen specifieke reeksen van kwaadwillenden. Remio vindt binnen een seconde een directe UDP-route en blijft daarop. De latentie is je internet-roundtrip plus 3 tot 5 ms Remio-overhead. In de indicator voor het verbindingstype zie je Direct.

Uitgaande UDP geblokkeerd (middelgrote bedrijven, scholen)

De firewall staat TLS en een handvol bekende protocollen toe, maar blokkeert uitgaande UDP in zijn geheel om peer-to-peer-misbruik te voorkomen. De directe UDP-test van Remio mislukt, de TLS-443-relaytest slaagt en de sessie komt binnen ongeveer 2 seconden tot stand via de relay. De indicator voor het verbindingstype toont Relay. De latentie neemt met 30 tot 80 ms toe, afhankelijk van je afstand tot het dichtstbijzijnde relaypunt. Streamen, audio, toetsenbord en invoer werken allemaal hetzelfde.

TLS-inspecterende proxy (grote bedrijven, financiële sector, zorg)

De firewall ontsleutelt elke uitgaande TLS-verbinding, inspecteert de inhoud en versleutelt opnieuw voordat hij doorstuurt. Dit is het lastigste geval. Er kunnen twee dingen misgaan:

• De proxy herkent de langlevende, mediastijl-stroom van Remio niet en laat hem na een korte time-out vallen of beperkt hem zo sterk dat hij onbruikbaar wordt.
• De proxy haalt delen van de verbindingshandshake weg die hij niet begrijpt, waardoor Remio vastloopt.

De oplossing is om relay.remio.net en turn.cloudflare.com toe te voegen aan de uitzonderingslijst voor TLS-inspectie van de proxy. Elke grote bedrijfsproxy (Zscaler, Palo Alto, Cisco Umbrella, Check Point, Forcepoint) ondersteunt uitzonderingen per domein. Het verkeer loopt nog steeds door de bedrijfsfirewall, het wordt alleen onderweg niet ontsleuteld. IT-teams voegen om dezelfde reden meestal uitzonderingen toe voor videovergaderapps (Zoom, Teams); Remio past in hetzelfde patroon.

Captive portal / hotelwifi

Veel hotels en luchthavens gebruiken een captive portal dat al het uitgaande verkeer blokkeert tot je de voorwaarden accepteert. Zodra je bent geverifieerd, staan de meeste gewoon HTTPS toe, wat betekent dat het relaypad van Remio werkt. UDP is wisselend: sommige portals blijven UDP blokkeren, ook na het inloggen. Voelt een sessie traag op hotelwifi, kijk dan naar de indicator: die toont bijna altijd Relay. Er valt niets te herstellen; dat is de verwachte modus voor deze netwerken.

Carrier-grade NAT op mobiele netwerken

4G/5G-verbindingen zitten vaak achter meerdere lagen NAT van de provider, waardoor directe peer-to-peer lastig is. Remio handelt dit vanzelf af: directe UDP werkt meestal in één richting (de mobiele client die de host bereikt) en het relaypad is altijd beschikbaar als terugval. De prestaties via LTE/5G zijn doorgaans uitstekend.

De verbindingsroute controleren

Elke Remio-client toont de gekozen verbindingsroute in de statistiekenoverlay tijdens de sessie. Open die via de werkbalk: het pictogram is een klein staafdiagram. Je ziet:

• Verbinding — Direct betekent peer-to-peer via UDP. Laagste latentie. Frames reizen rechtstreeks van host naar client zonder tussenstops.
• Verbinding — Relay betekent dat verkeer via de relay (turn.cloudflare.com) loopt. Voegt 30 tot 80 ms latentie toe. Nog steeds end-to-end versleuteld: de relay ziet alleen versleutelde data.
• Verbinding — LAN verschijnt als beide eindpunten op hetzelfde lokale netwerk zitten. Ongeveer 8 ms verwerkingslatentie (de rest is de eigen verversingssnelheid van je scherm), geen internet-roundtrip.

Verwacht je Direct maar zie je Relay, dan blokkeert het netwerk waarop je zit ergens onderweg UDP. De sessie werkt nog steeds, alleen met extra latentie. Controleer op een netwerk dat je zelf beheert (je thuisrouter) de QoS-instellingen en alle "gamingmodus"-schakelaars, die UDP-doorsturing soms verstoren.

Wat de relay wel en niet kan zien

Een veelgehoorde zorg bij het relaypad is privacy: als mijn scherm via een relayserver loopt, kan iemand daar het dan zien? Nee. Zo zit het:

• End-to-end-versleuteling. Elk frame, elke toetsaanslag en elk audiosample wordt versleuteld met een sessiesleutel die tijdens de handshake is afgeleid. Alleen de client en de host hebben de sleutel. De relay stuurt versleutelde data door.
• Geen sleuteldeposito. De servers van Remio zien of bewaren nooit sessiesleutels. Zelfs met volledige toegang tot relaylogs en fysieke controle over de relayservers kan Remio geen enkele gebruikerssessie ontsleutelen: niet in het verleden, heden of de toekomst.
• Niets leesbaars om te loggen. De relay verwerkt alleen versleutelde pakketten en de eigen verbindingsserver van Remio (relay.remio.net) draagt alleen installatieberichten, nooit scherm, audio of invoer.
• Ook een uitzondering voor bedrijfs-TLS-inspectie werkt. Omdat de media op een laag boven TLS zijn versleuteld (de versleuteling gebeurt voordat TLS het pakket voor de relay inpakt), ziet een bedrijfs-TLS-proxy die de buitenste TLS ontsleutelt nog steeds alleen de binnenste versleutelde inhoud. Geen enkele tussenbox kan je scherm lezen.

Het volledige verhaal over versleuteling vind je bij Beveiliging & versleuteling.

Verbindingsproblemen oplossen

• "Verbinding mislukt op bedrijfswifi maar werkt thuis" — UDP is uitgaand geblokkeerd en ook het TLS-relaypad wordt geblokkeerd of aangetast. Vraag IT om uitgaande TCP-poort 443 toe te staan naar relay.remio.net en turn.cloudflare.com, en als er een TLS-inspectieproxy is, dezelfde twee hostnamen aan de uitzonderingslijst toe te voegen. Dat opent het relaypad; sessies werken dan end-to-end.
• "Latentie is veel hoger dan verwacht op het kantoornetwerk" — de verbinding loopt waarschijnlijk via de relay (controleer de indicator tijdens de sessie). Relaypaden voegen 30 tot 80 ms toe. Kan IT uitgaande UDP openen, dan schakelt Remio automatisch over naar het directe pad en daalt de latentie.
• "Verbinding komt tot stand maar de stream bevriest na een paar seconden" — typisch voor een TLS-inspectieproxy die de eerste handshake toestaat maar langlevende stromen afbreekt. Controleer in de IT-logs of de proxy relay.remio.net of turn.cloudflare.com onderbreekt en voeg voor beide uitzonderingen toe.
• "Andere video-apps werken, alleen Remio faalt" — bijna altijd TLS-inspectie of deep packet inspection die de handshake verminkt. De oplossing is dezelfde: vraag IT om relay.remio.net en turn.cloudflare.com aan de uitzonderingslijst voor inspectie toe te voegen.
• "Soms werkt het, soms blijft het hangen op 'Verbinden'" — onbetrouwbare DNS-resolutie voor relay.remio.net, of een bedrijfs-DNS-filter dat de verbindingsserver blokkeert. Probeer nslookup relay.remio.net vanaf dezelfde machine: dat hoort binnen een seconde een IP-adres terug te geven. Als het een time-out geeft of mislukt, is DNS het knelpunt.
• "De knop Verbind doet niets — geen fouten, geen voortgang" — uitgaande poort 443 wordt helemaal geblokkeerd. Dat is ongebruikelijk maar komt voor op sterk beperkte netwerken. Test door https://relay.remio.net/health in een browser te laden; die hoort een korte statusreactie terug te geven. Kan ook de browser hem niet bereiken, dan blokkeert de firewall uitgaande HTTPS naar die host volledig.
• "VPN-client verstoort Remio zodra die verbindt" — sommige VPN-agents vangen al het verkeer af, ook media, wat haperingen veroorzaakt. Probeer relay.remio.net en turn.cloudflare.com uit de tunnel te sluiten als je VPN split tunnelling ondersteunt.

Geavanceerd — nog strenger afschermen

Heeft je beveiligingsteam de strakst mogelijke toegestane lijst nodig, dan is dit het minimum waarmee Remio nog end-to-end werkt:

# Minimum-viable firewall allowlist
# Allows relay-mode operation only (~30-80 ms latency)

OUTBOUND TCP/443   ->  relay.remio.net          # connection setup
OUTBOUND TCP/443   ->  turn.cloudflare.com      # relay (TURN over TLS)

# Adding these unlocks direct peer-to-peer (3-5 ms LAN, 10-40 ms WAN)
OUTBOUND UDP/3478  ->  stun.cloudflare.com      # public address discovery
OUTBOUND UDP/19302 ->  stun.l.google.com        # public address discovery (redundancy)
OUTBOUND UDP       ->  any (32768-65535)        # direct media path

De eerste twee regels alleen volstaan om de app te laten werken; elke andere regel is een latentieoptimalisatie. Wil je zowel maximale beveiliging als de laagste latentie, sta dan alle vijf toe.

Vragen over firewall en NAT

Moet ik inkomende poorten op mijn firewall openen voor Remio?

Nee. Zowel de Remio Client als Remio Host maken alleen uitgaande verbindingen. Er hoeft niets te worden geopend op je router of in de inkomende regels van je firewall. Staat je netwerk normaal uitgaand webverkeer toe (websites laden, een berichtenapp gebruiken), dan werkt Remio.

Welke poorten gebruikt Remio?

Uitgaande TCP 443 naar relay.remio.net voor het opzetten van de verbinding, en uitgaand verkeer naar de relay (turn.cloudflare.com) als er geen directe route is: UDP 3478 of 443 als dat kan, TCP of TLS op poort 443 als UDP is geblokkeerd. Directe peer-to-peer-media gebruikt uitgaande UDP op willekeurige hoge poorten; ontdekking van het publieke adres gebruikt UDP 3478 (stun.cloudflare.com) en UDP 19302 (stun.l.google.com). Aan geen van beide kanten zijn inkomende poorten nodig.

Werkt Remio op bedrijfsnetwerken die UDP blokkeren?

Ja. Als UDP is geblokkeerd, valt Remio automatisch terug op het doorsturen van media via TLS op poort 443, dezelfde poort die je browser voor HTTPS gebruikt. Verbindingen duren een fractie van een seconde langer om tot stand te komen en voegen ongeveer 30 tot 80 ms latentie toe, maar de sessie werkt end-to-end. Er is geen instelling om om te zetten: de terugval gebeurt vanzelf.

Kan mijn IT-team het Remio-verkeer inspecteren?

Nee. Alle sessiemedia zijn end-to-end versleuteld: je scherm komt nooit op onze servers en zelfs de relay ziet alleen versleutelde data. Ook als verkeer via de relay op poort 443 gaat, stuurt de relay alleen versleutelde pakketten door: hij kan geen schermcontent, toetsaanslagen of andere data lezen. Bedrijfsproxy's voor TLS-inspectie kunnen ook niet in de stream kijken, omdat de media op een laag boven TLS zijn versleuteld.

Waarom werkt mijn verbinding thuis maar niet op kantoor?

Bedrijfsnetwerken blokkeren vaak UDP volledig en kunnen ook uitgaande TLS naar niet-toegestane hosts blokkeren. Vraag IT om uitgaande TCP-poort 443 toe te staan naar relay.remio.net (verbinding opzetten) en naar turn.cloudflare.com (de relay die media draagt als UDP dicht is). Die twee regels volstaan om Remio met volledig geblokkeerde UDP te laten werken.

Hoe controleer ik of mijn sessie direct of via een relay loopt?

Open de statistiekenoverlay tijdens de sessie via de werkbalk. Elke Remio-client toont een indicator voor het verbindingstype (Direct, LAN of Relay) naast latentie en bitrate. Directe verbindingen voelen vlotter; verbindingen via een relay voegen ruwweg 30 tot 80 ms latentie toe, afhankelijk van je afstand tot het dichtstbijzijnde relaypunt.

Werkt Remio achter een VPN of zero-trust-agent?

Ja, in vrijwel alle gevallen. Zowel peer-to-peer- als relaypaden gebruiken standaard uitgaande HTTPS, die bedrijfs-VPN's en zero-trust-agents (Zscaler, Cloudflare WARP, Tailscale, Twingate) probleemloos doorlaten. Sommige agressieve deep-packet-inspection-tussenboxen kunnen de stream verminken; zie het onderdeel over problemen oplossen hierboven voor oplossingen.

Verstoort TLS-onderschepping door mijn bedrijf Remio?

Dat kan. Deep-packet-inspection-proxy's die alle TLS-verbindingen ontsleutelen en opnieuw versleutelen, halen soms delen van de verbindingshandshake weg of blokkeren het langlevende karakter van mediastromen. Zie je Remio alleen op je bedrijfsnetwerk falen, vraag IT dan om relay.remio.net en turn.cloudflare.com aan de uitzonderingslijst voor TLS-inspectie toe te voegen: de meeste bedrijfsproxy's (Zscaler, Palo Alto, Cisco Umbrella, Check Point) ondersteunen uitzonderingen per domein.

Gerelateerde gidsen

• Mac naar Mac instellen — basisinstallatie voordat je het netwerkpad afstemt.
• Mac naar iPad instellen — dezelfde netwerklogica, iPad-client.
• Windows-pc naar Mac streamen — dezelfde netwerklogica, Windows-host.
• Directe lan-verbinding — als je gegarandeerd peer-to-peer op je eigen netwerk wilt.
• Problemen oplossen — bredere verzamelgids voor verbindingsproblemen.
• Beveiliging & versleuteling — alle details over end-to-end-versleuteling.