Firewall e NAT, sem complicação.

A maioria dos usuários nunca mexe em nenhuma configuração de firewall para usar o Remio. O app foi construído sobre a mesma tecnologia de conexão que faz os apps de chamada de vídeo funcionarem atrás de roteadores domésticos, Wi-Fi de hotel e VPNs corporativas — ele descobre o caminho sozinho. Mas, para o pequeno número de usuários em redes fechadas em que o padrão simplesmente trava, esta página é a referência completa: o que o Remio de fato envia pela rede, o que liberar no firewall, como ler os diagnósticos da sessão e o que dizer à TI.

Visão geral

O Remio usa uma abordagem em camadas para conectar um cliente a um host. Ele tenta primeiro o caminho mais rápido e depois recorre aos outros com elegância, conforme necessário. Há três caminhos possíveis, nesta ordem de preferência:

1. Direto na mesma rede — cliente e host no mesmo Wi-Fi ou rede local. Os quadros viajam ponto a ponto. Cerca de 8 ms de latência de processamento; o resto é o ritmo de atualização da própria tela. É isso que você tem em casa, em uma rede de escritório único ou por Tailscale/WireGuard.
2. Direto pela internet (ponto a ponto) — cliente e host em redes diferentes, mas cada um capaz de fazer uma conexão UDP de saída. As duas pontas trocam os seus endereços públicos pelo servidor de conexão do Remio e depois enviam a mídia diretamente uma à outra. De 10 a 40 ms de latência adicional, conforme a geografia.
3. Relay como reserva — quando o UDP está bloqueado ou o NAT é restritivo demais para um caminho direto, as duas pontas se conectam, de saída, a um servidor de relay (a rede global da Cloudflare, turn.cloudflare.com) — por UDP quando possível, por TCP ou TLS na porta 443 quando o UDP está bloqueado — e o relay encaminha a mídia criptografada entre elas. De 30 a 80 ms de latência adicional. Funciona onde o HTTPS funciona.

Você não escolhe o caminho manualmente. O Remio sonda os três ao mesmo tempo no início de cada sessão e usa o mais rápido que der certo. Se a rede mudar no meio da sessão (você sai do Wi-Fi do escritório para o LTE), o Remio sonda de novo e troca de caminho sem derrubar a sessão.

Como uma sessão do Remio atravessa um firewall

A partir do momento em que você toca em Conectar no cliente, esta é a sequência:

1. TLS de saída para o servidor de conexão. Cliente e host abrem um WebSocket de longa duração para relay.remio.net na porta 443. Ele carrega os handshakes de pareamento, a troca de offer/answer e uma pequena quantidade de tráfego de controle durante toda a sessão. Nenhum dado de tela ou de entrada passa por ele. É HTTPS padrão — todo firewall corporativo o deixa passar.
2. Sondagem de rede. Cada ponta usa o serviço STUN público para descobrir o seu próprio endereço público (o endereço que o resto da internet enxerga). Em seguida, pede ao servidor de conexão credenciais de curta duração para o relay (turn.cloudflare.com), caso a sondagem falhe.
3. Corrida de caminhos. As duas pontas tentam ao mesmo tempo UDP direto, UDP direto por endereços descobertos via STUN e relay TLS. Vence a combinação que der certo e responder primeiro. A maioria das redes domésticas escolhe UDP direto em até 200 ms; redes restritas caem para o relay TLS em cerca de 2 segundos.
4. Fluxo de mídia criptografado. Escolhido o caminho, cada quadro de vídeo, cada tecla, cada amostra de áudio é criptografado de ponta a ponta e enviado pelo caminho escolhido. Mesmo no caminho por relay, o nó do relay só vê texto cifrado.

Todo esse processo é invisível para você — o cliente só mostra “Conectado”. Mas entender a sequência faz as regras de firewall da próxima seção fazerem sentido.

O que liberar no firewall

Para equipes de TI que escrevem uma política de firewall, esta é a lista completa do tráfego de saída que o Remio gera. Nenhuma regra de entrada é necessária.

# Regras de saída — Remio Client e Remio Host

# Obrigatório — configuração da conexão (só sinalização, sem mídia)
ALLOW  TCP/443    ->  relay.remio.net           (WebSocket TLS)

# Obrigatório — relay como reserva (mídia quando não há caminho direto)
ALLOW  TCP/443    ->  turn.cloudflare.com       (TURN sobre TLS — funciona quando o UDP está bloqueado)
ALLOW  UDP/3478   ->  turn.cloudflare.com       (TURN sobre UDP — opcional, preferido)
ALLOW  UDP/443    ->  turn.cloudflare.com       (TURN sobre UDP — opcional)

# Fortemente recomendado — habilita o ponto a ponto direto (menor latência)
ALLOW  UDP        ->  any (high ports 32768-65535)

# Opcional — usado só na descoberta inicial de endereços
ALLOW  UDP/3478   ->  stun.cloudflare.com
ALLOW  UDP/19302  ->  stun.l.google.com

# Não é necessário, nunca é usado
DENY   any inbound                              (nunca é necessária nenhuma entrada)

Se você só puder liberar o mínimo, libere a porta TCP 443 de saída para relay.remio.net e para turn.cloudflare.com — essas duas regras bastam para o Remio funcionar de ponta a ponta, só que pelo caminho por relay em vez do direto. As sessões continuam criptografadas e transmitem em qualidade total; a latência é o único custo.

Cenários comuns em redes corporativas

As configurações de firewall do mundo real cobrem uma ampla gama. Eis o que esperar em cada uma.

Saída liberada por padrão (a maioria dos pequenos escritórios e redes domésticas)

O firewall deixa sair qualquer TCP e UDP de saída, bloqueando apenas faixas específicas de agentes mal-intencionados. O Remio encontra um caminho UDP direto em um segundo e fica nele. A latência é a do tempo de ida e volta da sua internet, mais 3 a 5 ms de sobrecarga do Remio. Você vê Direta no indicador de tipo de conexão.

Saída com UDP bloqueado (empresas de médio porte, escolas)

O firewall permite TLS e um punhado de protocolos conhecidos, mas bloqueia por atacado o UDP de saída para evitar abusos ponto a ponto. A sondagem de UDP direto do Remio falha, a sondagem do relay TLS na 443 dá certo, e a sessão se estabelece pelo caminho por relay em cerca de 2 segundos. O indicador de tipo de conexão mostra Relay. A latência soma de 30 a 80 ms, conforme a sua distância até o nó de relay mais próximo. Transmissão, áudio, teclado e entrada funcionam do mesmo jeito.

Proxy com inspeção de TLS (grandes empresas, setor financeiro, saúde)

O firewall decifra toda conexão TLS de saída, inspeciona o conteúdo e recriptografa antes de encaminhar. Este é o caso mais complicado. Duas coisas podem dar errado:

• O proxy não reconhece o fluxo longo, no estilo de mídia, que o Remio usa, e o derruba após um breve tempo limite ou o limita a ponto de se tornar inutilizável.
• O proxy remove partes do handshake da conexão que não entende, deixando o Remio travado.

A solução é adicionar relay.remio.net e turn.cloudflare.com à lista de exceções de inspeção de TLS do proxy. Todo grande proxy corporativo (Zscaler, Palo Alto, Cisco Umbrella, Check Point, Forcepoint) aceita exceção por domínio. O tráfego continua passando pelo firewall corporativo — só não é decifrado no caminho. As equipes de TI costumam adicionar exceções para apps de videoconferência (Zoom, Teams) pelo mesmo motivo; o Remio segue o mesmo padrão.

Portal cativo / Wi-Fi de hotel

Muitos hotéis e aeroportos usam um portal cativo que bloqueia todo o tráfego de saída até você aceitar os termos. Depois de autenticado, a maioria libera o HTTPS normal, o que significa que o caminho por relay do Remio funciona. O UDP é incerto — alguns portais continuam bloqueando o UDP mesmo depois do login. Se uma sessão parecer lenta no Wi-Fi do hotel, confira o indicador — ele quase sempre mostra Relay. Não há nada a consertar; esse é o modo esperado para essas redes.

NAT de nível de operadora em redes móveis

As conexões 4G/5G costumam ficar atrás de várias camadas de NAT operadas pela operadora, o que dificulta o ponto a ponto direto. O Remio lida com isso de forma transparente — o UDP direto geralmente funciona em um sentido (o cliente móvel alcançando o host), e o caminho por relay está sempre disponível como reserva. O desempenho em LTE/5G costuma ser excelente.

Verificando o caminho da conexão

Todo cliente do Remio mostra o caminho de conexão escolhido na sobreposição de métricas da sessão. Abra-a pela barra de ferramentas — o ícone é um pequeno glifo de gráfico de barras. Você verá:

• Conexão — Direta significa ponto a ponto por UDP. Menor latência. Os quadros viajam direto do host para o cliente, sem saltos intermediários.
• Conexão — Relay significa que o tráfego é roteado pelo relay (turn.cloudflare.com). Soma de 30 a 80 ms de latência. Ainda criptografado de ponta a ponta — o relay só vê texto cifrado.
• Conexão — LAN aparece quando as duas pontas estão na mesma rede local. Cerca de 8 ms de latência de processamento (o resto é o ritmo de atualização da própria tela), sem ida e volta pela internet.

Se você espera Direta mas vê Relay, a rede em que você está bloqueia o UDP em algum ponto do caminho. A sessão continua funcionando, só com latência extra. Em uma rede que você controla (o roteador de casa), confira as configurações de QoS e quaisquer chaves de “modo gamer” que às vezes quebram o encaminhamento de UDP.

O que o relay pode e não pode ver

Uma preocupação comum no caminho por relay é a privacidade: se a minha tela passa por um servidor de relay, alguém ali consegue vê-la? Não. Veja por quê:

• Criptografia de ponta a ponta. Cada quadro, cada tecla, cada amostra de áudio é criptografado com uma chave de sessão derivada durante o handshake. Só o cliente e o host têm a chave. O relay encaminha texto cifrado.
• Sem custódia de chaves. Os servidores do Remio nunca veem nem guardam chaves de sessão. Mesmo com acesso total aos logs do relay e controle físico dos servidores de relay, o Remio não consegue decifrar nenhuma sessão de usuário — passada, presente ou futura.
• Nada legível para registrar. O relay só lida com pacotes criptografados, e o próprio servidor de conexão do Remio (relay.remio.net) carrega apenas mensagens de configuração — nunca tela, áudio ou entrada.
• A exceção de inspeção de TLS corporativa também funciona. Como a mídia é criptografada em uma camada acima do TLS (a criptografia acontece antes de o TLS embrulhar o pacote para o relay), um proxy TLS corporativo que decifra o TLS externo ainda vê apenas a carga interna criptografada. Não há como nenhum intermediário ler a sua tela.

Para a história completa da criptografia, veja Segurança & criptografia.

Solução de problemas de conexão

• “A conexão falha no Wi-Fi corporativo, mas funciona em casa” — o UDP de saída está bloqueado e o caminho por relay TLS também está sendo bloqueado ou desfigurado. Peça à TI para liberar a porta TCP 443 de saída para relay.remio.net e turn.cloudflare.com e, se houver um proxy de inspeção de TLS, adicione os mesmos dois nomes de host à lista de exceções dele. Isso desbloqueia o caminho por relay; as sessões passam a funcionar de ponta a ponta.
• “A latência está muito mais alta que o esperado na rede do escritório” — a conexão provavelmente está passando pelo relay (confira o indicador da sessão). Os caminhos por relay somam de 30 a 80 ms. Se a TI puder abrir o UDP de saída, o Remio muda para o caminho direto automaticamente e a latência cai.
• “A conexão se estabelece, mas a transmissão congela após alguns segundos” — típico de um proxy de inspeção de TLS que permite o handshake inicial, mas derruba fluxos longos. Confirme nos logs da TI se o proxy está interrompendo relay.remio.net ou turn.cloudflare.com e adicione exceções para os dois.
• “Outros apps de vídeo funcionam, só o Remio falha” — quase sempre a inspeção de TLS ou a inspeção profunda de pacotes estragando o handshake. A solução é a mesma: peça à TI para adicionar relay.remio.net e turn.cloudflare.com à lista de exceções da inspeção.
• “Às vezes funciona, às vezes trava em ‘Conectando’” — resolução de DNS instável para relay.remio.net ou um filtro de DNS corporativo bloqueando o servidor de conexão. Tente nslookup relay.remio.net na mesma máquina — ele deve devolver um IP em um segundo. Se expirar ou falhar, o DNS é o gargalo.
• “O botão Conectar não faz nada — sem erros, sem progresso” — a porta 443 de saída está sendo totalmente bloqueada. Isso é incomum, mas acontece em redes muito restritas. Teste carregando https://relay.remio.net/health em um navegador; ele deve devolver uma resposta curta de status. Se o navegador também não conseguir alcançá-lo, o firewall está bloqueando por completo o HTTPS de saída para esse host.
• “O cliente de VPN quebra o Remio quando conecta” — alguns agentes de VPN capturam todo o tráfego, inclusive a mídia, o que causa engasgos. Tente excluir relay.remio.net e turn.cloudflare.com do túnel, se a sua VPN aceitar split tunneling.

Avançado — restringindo ainda mais

Se a sua equipe de segurança precisa da lista de permissões mais restrita possível, o seguinte é o mínimo que ainda deixa o Remio operar de ponta a ponta:

# Lista de permissões mínima viável do firewall
# Permite apenas a operação em modo relay (~30-80 ms de latência)

OUTBOUND TCP/443   ->  relay.remio.net          # configuração da conexão
OUTBOUND TCP/443   ->  turn.cloudflare.com      # relay (TURN sobre TLS)

# Adicionar estas libera o ponto a ponto direto (3-5 ms na LAN, 10-40 ms na WAN)
OUTBOUND UDP/3478  ->  stun.cloudflare.com      # descoberta do endereço público
OUTBOUND UDP/19302 ->  stun.l.google.com        # descoberta do endereço público (redundância)
OUTBOUND UDP       ->  any (32768-65535)        # caminho de mídia direto

Só as duas primeiras linhas bastam para o app funcionar — todas as outras são uma otimização de latência. Se você quer segurança máxima e a menor latência, libere as cinco.

Perguntas sobre firewall e NAT

O Remio exige abrir portas de entrada no meu firewall?

Não. Tanto o Remio Client quanto o Remio Host só fazem conexões de saída. Não há nada para abrir no seu roteador nem nas regras de entrada do firewall. Se a sua rede permite o tráfego web de saída normal — carregar sites, usar um app de mensagens —, o Remio funciona.

Quais portas o Remio usa?

TCP 443 de saída para relay.remio.net na configuração da conexão e tráfego de saída para o relay (turn.cloudflare.com) quando não há caminho direto: UDP 3478 ou 443 quando possível, TCP ou TLS na porta 443 quando o UDP está bloqueado. A mídia ponto a ponto direta usa UDP de saída em portas altas aleatórias; a descoberta de endereço público usa UDP 3478 (stun.cloudflare.com) e UDP 19302 (stun.l.google.com). Nenhuma porta de entrada é necessária em nenhum dos lados.

O Remio funciona em redes corporativas que bloqueiam o UDP?

Sim. Quando o UDP está bloqueado, o Remio recorre automaticamente à retransmissão da mídia por TLS na porta 443 — a mesma porta que o seu navegador usa para HTTPS. As conexões levam uma fração de segundo a mais para se estabelecer e somam cerca de 30 a 80 ms de latência, mas a sessão funciona de ponta a ponta. Não há nenhuma configuração para alternar — a reserva acontece de forma transparente.

A minha equipe de TI pode inspecionar o tráfego do Remio?

Não. Toda a mídia da sessão é criptografada de ponta a ponta — a sua tela nunca passa pelos nossos servidores, e até o relay só vê texto cifrado. Mesmo quando o tráfego passa pelo relay na porta 443, o relay só encaminha pacotes criptografados — ele não consegue ler o conteúdo da tela, as teclas digitadas nem nenhum outro dado. Os proxies corporativos de inspeção de TLS também não conseguem ver dentro da transmissão, porque a mídia é criptografada em uma camada acima do TLS.

Por que a minha conexão funciona em casa, mas falha no escritório?

As redes corporativas frequentemente bloqueiam o UDP por completo e também podem bloquear o TLS de saída para hosts fora da lista de permissões. Peça à TI para liberar a porta TCP 443 de saída para relay.remio.net (configuração da conexão) e para turn.cloudflare.com (o relay que carrega a mídia quando o UDP está fechado). Essas duas entradas bastam para o Remio funcionar com o UDP totalmente bloqueado.

Como verifico se a minha sessão é direta ou por relay?

Abra a sobreposição de métricas da sessão pela barra de ferramentas. Todo cliente do Remio mostra um indicador de tipo de conexão — Direta, LAN ou Relay — junto com a latência e o bitrate. As conexões diretas parecem mais ágeis; as conexões por relay somam cerca de 30 a 80 ms de latência, conforme a sua distância até o nó de relay mais próximo.

O Remio funciona atrás de uma VPN ou de um agente zero trust?

Sim, em quase todos os casos. Tanto o caminho ponto a ponto quanto o por relay usam HTTPS de saída padrão, que as VPNs corporativas e os agentes zero trust (Zscaler, Cloudflare WARP, Tailscale, Twingate) deixam passar sem problemas. Alguns intermediários agressivos de inspeção profunda de pacotes podem estragar a transmissão — veja a seção de solução de problemas acima para contornos.

A interceptação de TLS da minha empresa vai quebrar o Remio?

Pode. Proxies de inspeção profunda de pacotes que decifram e recriptografam todas as conexões TLS às vezes removem partes do handshake da conexão ou bloqueiam a natureza longa dos fluxos de mídia. Se você vir o Remio falhar só na rede corporativa, peça à TI para adicionar relay.remio.net e turn.cloudflare.com à lista de exceções da inspeção de TLS — a maioria dos proxies corporativos (Zscaler, Palo Alto, Cisco Umbrella, Check Point) aceita exceção por domínio.

Guias relacionados

• Configurar Mac para Mac — configuração básica antes de ajustar o caminho de rede.
• Configurar Mac para iPad — mesma lógica de rede, cliente iPad.
• Transmitir um PC com Windows para o Mac — mesma lógica de rede, host Windows.
• Conexão direta na rede local — quando você quer ponto a ponto garantido na sua própria rede.
• Solução de problemas — guia mais amplo para problemas de conexão.
• Segurança & criptografia — todos os detalhes sobre a criptografia de ponta a ponta.