Брандмауэр и NAT — просто.

Большинству пользователей для Remio не нужно трогать ни одну настройку брандмауэра. Приложение построено на той же технологии соединения, благодаря которой работают приложения для видеозвонков за домашними роутерами, гостиничным Wi-Fi и корпоративными VPN, — оно само находит путь. Но для небольшого числа пользователей в закрытых сетях, где настройка по умолчанию просто зависает, эта страница — единый справочник: что Remio на самом деле отправляет по сети, что разрешить на брандмауэре, как читать диагностику во время сеанса и что сказать ИТ-отделу.

Обзор

Remio использует многоуровневый подход к соединению клиента с хостом. Он сначала пробует самый быстрый путь, а затем при необходимости плавно переходит на запасные. Возможны три пути, в таком порядке предпочтения:

1. Напрямую в одной сети — клиент и хост в одной сети Wi-Fi или LAN. Кадры идут точка-точка. Около 8 мс задержки обработки; остальное — собственная частота обновления вашего дисплея. Так работает дома или в сети одного офиса. Пользуетесь Tailscale? В конце «Настройки → Дополнительно → Сеть» включите Идти через Tailscale, когда оба устройства в одной сети Tailscale.
2. Напрямую через интернет (peer-to-peer) — клиент и хост в разных сетях, но каждый может установить исходящее UDP-соединение. Оба конца обмениваются публичными адресами через сервер соединений Remio, а затем отправляют медиа напрямую друг другу. Дополнительная задержка 10–40 мс в зависимости от географии.
3. Переход на релей — когда UDP заблокирован или NAT слишком строг для прямого пути, оба конца подключаются исходящим соединением к серверу-релею (глобальная сеть Cloudflare, turn.cloudflare.com) — по UDP, если получается, и по TCP или TLS на порту 443, если UDP заблокирован, — а релей пересылает зашифрованные медиа между ними. Дополнительная задержка 30–80 мс. Работает везде, где работает HTTPS.

Путь вручную выбирать не нужно. Remio одновременно проверяет все три в начале каждого сеанса и использует самый быстрый из успешных. Если сеть меняется посреди сеанса (вы идёте из офисного Wi-Fi в LTE), Remio заново проверяет и переключает путь, не обрывая сеанс.

Как сеанс Remio проходит через брандмауэр

С момента, когда вы нажимаете Подключиться в клиенте, происходит следующее:

1. Исходящий TLS к серверу соединений. Клиент и хост открывают долгоживущий WebSocket к relay.remio.net на порту 443. Он несёт рукопожатия сопряжения, обмен offer/answer и небольшой объём служебного трафика на протяжении сеанса. Данные экрана или ввода через него никогда не идут. Это стандартный HTTPS — любой корпоративный брандмауэр его пропускает.
2. Проверка сети. Каждый конец использует публичную службу STUN, чтобы узнать собственный публичный адрес (тот, который видит остальной интернет). Затем он запрашивает у сервера соединений краткоживущие учётные данные для релея (turn.cloudflare.com) на случай, если проверка не удастся.
3. Гонка путей. Оба конца одновременно пробуют прямой UDP, прямой UDP через адреса, найденные STUN, и релей по TLS. Побеждает та комбинация, которая успешно проходит и первой отвечает. Большинство домашних сетей выбирают прямой UDP в пределах 200 мс; ограниченные сети переходят на релей по TLS примерно за 2 секунды.
4. Зашифрованный поток медиа. Когда путь выбран, каждый видеокадр, каждое нажатие клавиши, каждый отсчёт звука шифруется end-to-end и отправляется по выбранному пути. Даже на пути через релей узел релея видит только шифртекст.

Весь этот процесс для вас невидим — клиент просто показывает «Подключено». Но понимание последовательности делает осмысленными правила брандмауэра из следующего раздела.

Что разрешить на брандмауэре

Для ИТ-команд, пишущих политику брандмауэра, вот полный список исходящего трафика Remio. Входящие правила не нужны никогда.

# Outbound rules — Remio Client and Remio Host

# Required — connection setup (signaling only, no media)
ALLOW  TCP/443    ->  relay.remio.net           (TLS WebSocket)

# Required — relay fallback (media when no direct path exists)
ALLOW  TCP/443    ->  turn.cloudflare.com       (TURN over TLS — works when UDP is blocked)
ALLOW  UDP/3478   ->  turn.cloudflare.com       (TURN over UDP — optional, preferred)
ALLOW  UDP/443    ->  turn.cloudflare.com       (TURN over UDP — optional)

# Strongly recommended — enables direct peer-to-peer (lower latency)
ALLOW  UDP        ->  any (high ports 32768-65535)

# Optional — used during initial address discovery only
ALLOW  UDP/3478   ->  stun.cloudflare.com
ALLOW  UDP/19302  ->  stun.l.google.com

# Not required, never used
DENY   any inbound                              (nothing inbound is ever needed)

Если можно разрешить только минимум, разрешите исходящий TCP-порт 443 к relay.remio.net и к turn.cloudflare.com — этих двух правил достаточно, чтобы Remio работал от начала до конца, просто через релей, а не напрямую. Сеансы по-прежнему шифруются и передаются в полном качестве; единственная цена — задержка.

Типичные сценарии корпоративных сетей

Реальные конфигурации брандмауэров очень разнообразны. Вот чего ждать в каждом случае.

Исходящие разрешены по умолчанию (большинство малых офисов, домашние сети)

Брандмауэр пропускает любой исходящий TCP и UDP, блокируя лишь отдельные диапазоны вредоносных адресов. Remio находит прямой UDP-путь за секунду и остаётся на нём. Задержка равна времени оборота вашего интернета плюс 3–5 мс накладных расходов Remio. В индикаторе типа соединения вы видите Direct.

Исходящий UDP заблокирован (средние предприятия, школы)

Брандмауэр разрешает TLS и несколько известных протоколов, но блокирует исходящий UDP целиком, чтобы предотвратить злоупотребления peer-to-peer. Проверка прямого UDP у Remio не проходит, проверка релея по TLS-443 проходит, и сеанс устанавливается через релей примерно за 2 секунды. Индикатор типа соединения показывает Relay. Задержка увеличивается на 30–80 мс в зависимости от расстояния до ближайшего узла релея. Трансляция, звук, клавиатура и ввод работают так же.

Прокси с инспекцией TLS (крупные предприятия, финансы, здравоохранение)

Брандмауэр расшифровывает каждое исходящее TLS-соединение, проверяет содержимое и заново шифрует перед пересылкой. Это самый сложный случай. Может пойти не так двумя способами:

• Прокси не распознаёт долгоживущий поток медиа-типа, который использует Remio, и либо обрывает его по короткому тайм-ауту, либо ограничивает скорость до непригодности.
• Прокси вырезает части рукопожатия соединения, которых не понимает, и Remio застревает.

Решение — добавить relay.remio.net и turn.cloudflare.com в список исключений из инспекции TLS на прокси. Каждый крупный корпоративный прокси (Zscaler, Palo Alto, Cisco Umbrella, Check Point, Forcepoint) поддерживает исключения по доменам. Трафик по-прежнему идёт через корпоративный брандмауэр — просто не расшифровывается по дороге. ИТ-команды обычно добавляют такие исключения для приложений видеоконференций (Zoom, Teams) по той же причине; Remio вписывается в тот же шаблон.

Captive portal / гостиничный Wi-Fi

Во многих отелях и аэропортах используется captive portal, который блокирует весь исходящий трафик, пока вы не примете условия. После аутентификации большинство пропускает обычный HTTPS, а значит, путь Remio через релей работает. С UDP как повезёт — некоторые порталы продолжают блокировать UDP даже после входа. Если сеанс в гостиничном Wi-Fi кажется вялым, проверьте индикатор — почти всегда там Relay. Чинить нечего; для таких сетей это ожидаемый режим.

NAT операторского уровня в мобильных сетях

Соединения 4G/5G часто находятся за несколькими уровнями NAT оператора, из-за чего peer-to-peer затруднён. Remio обрабатывает это прозрачно — прямой UDP обычно работает в одном направлении (мобильный клиент достаёт хост), а путь через релей всегда доступен как запасной. Производительность по LTE/5G обычно отличная.

Проверка пути соединения

Каждый клиент Remio показывает выбранный путь соединения на экранной статистике во время сеанса. Откройте её на панели инструментов — значок в виде маленькой столбчатой диаграммы. Вы увидите:

• Connection — Direct означает peer-to-peer по UDP. Минимальная задержка. Кадры идут прямо от хоста к клиенту без промежуточных узлов.
• Connection — Relay означает, что трафик идёт через релей (turn.cloudflare.com). Добавляет 30–80 мс задержки. По-прежнему сквозное шифрование — релей видит только шифртекст.
• Connection — LAN появляется, когда оба конца в одной локальной сети. Около 8 мс задержки обработки (остальное — собственная частота обновления дисплея), без круга через интернет.

Если вы ожидаете Direct, а видите Relay, то сеть, в которой вы находитесь, где-то по пути блокирует UDP. Сеанс всё равно работает, просто с дополнительной задержкой. В сети, которой вы управляете (ваш домашний роутер), проверьте настройки QoS и любые переключатели «игрового режима», которые иногда ломают проброс UDP.

Что релей может и чего не может видеть

Частое опасение на пути через релей — приватность: если мой экран идёт через сервер-релей, может ли кто-то там его увидеть? Нет. Вот почему:

• Сквозное шифрование. Каждый кадр, каждое нажатие клавиши, каждый отсчёт звука шифруется сеансовым ключом, выработанным при рукопожатии. Ключ есть только у клиента и хоста. Релей пересылает шифртекст.
• Нет депонирования ключей. Серверы Remio никогда не видят и не хранят сеансовые ключи. Даже при полном доступе к журналам релея и физическом контроле над его серверами Remio не может расшифровать ни один пользовательский сеанс — ни прошлый, ни настоящий, ни будущий.
• Нечего читать в журналах. Релей обрабатывает только зашифрованные пакеты, а собственный сервер соединений Remio (relay.remio.net) несёт только служебные сообщения — никогда экран, звук или ввод.
• Исключение из корпоративной инспекции TLS тоже работает. Поскольку медиа шифруются на уровне выше TLS (шифрование происходит до того, как TLS упаковывает пакет для релея), корпоративный TLS-прокси, расшифровывающий внешний TLS, всё равно видит только внутреннюю зашифрованную полезную нагрузку. Никакой промежуточный узел не может прочитать ваш экран.

Полную историю шифрования см. в разделе «Безопасность и шифрование».

Устранение проблем с соединением

• «Соединение не устанавливается в корпоративном Wi-Fi, но работает дома» — исходящий UDP заблокирован, а путь релея по TLS тоже блокируется или искажается. Попросите ИТ разрешить исходящий TCP-порт 443 к relay.remio.net и turn.cloudflare.com, а если есть прокси с инспекцией TLS, добавьте те же два имени хостов в его список исключений. Это разблокирует путь через релей; сеансы затем работают от начала до конца.
• «Задержка намного выше ожидаемой в офисной сети» — соединение, вероятно, идёт через релей (проверьте индикатор во время сеанса). Пути через релей добавляют 30–80 мс. Если ИТ могут открыть исходящий UDP, Remio автоматически переключится на прямой путь, и задержка снизится.
• «Соединение устанавливается, но трансляция замирает через несколько секунд» — типично для прокси с инспекцией TLS, который пропускает начальное рукопожатие, но обрывает долгоживущие потоки. Проверьте по журналам ИТ, не прерывает ли прокси relay.remio.net или turn.cloudflare.com, и добавьте исключения для обоих.
• «Другие видеоприложения работают, не работает только Remio» — почти всегда инспекция TLS или глубокая инспекция пакетов искажает рукопожатие. Решение то же: попросите ИТ добавить relay.remio.net и turn.cloudflare.com в список исключений из инспекции.
• «Иногда работает, иногда зависает на «Подключение»» — нестабильное разрешение DNS для relay.remio.net или корпоративный DNS-фильтр блокирует сервер соединений. Выполните nslookup relay.remio.net с той же машины — IP должен вернуться за секунду. Если истёк тайм-аут или ошибка, узкое место — DNS.
• «Кнопка подключения ничего не делает — ни ошибок, ни хода» — исходящий порт 443 заблокирован полностью. Это необычно, но бывает в сильно ограниченных сетях. Проверьте, открыв в браузере https://relay.remio.net/health; он должен вернуть короткий ответ о состоянии. Если браузер тоже не достаёт, брандмауэр полностью блокирует исходящий HTTPS к этому хосту.
• «VPN-клиент ломает Remio при подключении» — некоторые VPN-агенты перехватывают весь трафик, включая медиа, что вызывает подёргивания. Попробуйте исключить relay.remio.net и turn.cloudflare.com из туннеля, если ваш VPN поддерживает раздельное туннелирование.

Дополнительно — ещё жёстче

Если вашей службе безопасности нужен максимально строгий белый список, вот минимум, при котором Remio всё ещё работает от начала до конца:

# Minimum-viable firewall allowlist
# Allows relay-mode operation only (~30-80 ms latency)

OUTBOUND TCP/443   ->  relay.remio.net          # connection setup
OUTBOUND TCP/443   ->  turn.cloudflare.com      # relay (TURN over TLS)

# Adding these unlocks direct peer-to-peer (3-5 ms LAN, 10-40 ms WAN)
OUTBOUND UDP/3478  ->  stun.cloudflare.com      # public address discovery
OUTBOUND UDP/19302 ->  stun.l.google.com        # public address discovery (redundancy)
OUTBOUND UDP       ->  any (32768-65535)        # direct media path

Одних первых двух строк достаточно, чтобы приложение работало, — все остальные строки оптимизируют задержку. Если нужны и максимальная безопасность, и минимальная задержка, разрешите все пять.

Вопросы о брандмауэре и NAT

Нужно ли Remio открывать входящие порты на брандмауэре?

Нет. И клиент Remio, и Remio Host делают только исходящие соединения. Ничего открывать на роутере или во входящих правилах брандмауэра не нужно. Если ваша сеть пропускает обычный исходящий веб-трафик — открытие сайтов, мессенджер, — Remio работает.

Какие порты использует Remio?

Исходящий TCP 443 к relay.remio.net для установки соединения и исходящий трафик к релею (turn.cloudflare.com), когда прямого пути нет: UDP 3478 или 443, когда получается, TCP или TLS на порту 443, когда UDP заблокирован. Прямые peer-to-peer медиа используют исходящий UDP на случайных высоких портах; обнаружение публичного адреса использует UDP 3478 (stun.cloudflare.com) и UDP 19302 (stun.l.google.com). Входящие порты не требуются ни с одной стороны.

Работает ли Remio в корпоративных сетях, блокирующих UDP?

Да. Когда UDP заблокирован, Remio автоматически переходит на передачу медиа через релей по TLS на порту 443 — том же порту, который ваш браузер использует для HTTPS. Соединение устанавливается на долю секунды дольше и добавляет около 30–80 мс задержки, но сеанс работает от начала до конца. Переключать ничего не нужно — переход происходит прозрачно.

Может ли моя ИТ-команда просматривать трафик Remio?

Нет. Все медиа сеанса зашифрованы end-to-end — ваш экран не проходит через наши серверы, а даже релей видит только шифртекст. Даже когда трафик идёт через релей на порту 443, релей лишь пересылает зашифрованные пакеты — он не может прочитать содержимое экрана, нажатия клавиш или любые другие данные. Корпоративные прокси с инспекцией TLS тоже не видят внутрь потока, потому что медиа шифруются на уровне выше TLS.

Почему соединение работает дома, но не работает в офисе?

Корпоративные сети часто полностью блокируют UDP, а также могут блокировать исходящий TLS к хостам не из белого списка. Попросите ИТ разрешить исходящий TCP-порт 443 к relay.remio.net (установка соединения) и к turn.cloudflare.com (релей, который несёт медиа при закрытом UDP). Этих двух записей достаточно, чтобы Remio работал при полностью заблокированном UDP.

Как проверить, идёт ли мой сеанс напрямую или через релей?

Откройте экранную статистику на панели инструментов во время сеанса. Каждый клиент Remio показывает индикатор типа соединения — Direct, LAN или Relay — рядом с задержкой и битрейтом. Прямые соединения ощущаются отзывчивее; релейные добавляют примерно 30–80 мс задержки в зависимости от расстояния до ближайшего узла релея.

Работает ли Remio за VPN или агентом zero-trust?

Да, почти во всех случаях. И пути peer-to-peer, и через релей используют стандартный исходящий HTTPS, который корпоративные VPN и агенты zero-trust (Zscaler, Cloudflare WARP, Tailscale, Twingate) пропускают без проблем. Некоторые агрессивные промежуточные узлы с глубокой инспекцией пакетов могут искажать поток — обходные решения см. в разделе об устранении неполадок выше.

Сломает ли Remio перехват TLS в моей компании?

Может. Прокси с глубокой инспекцией пакетов, расшифровывающие и заново шифрующие все TLS-соединения, иногда вырезают части рукопожатия или блокируют долгоживущий характер потоков медиа. Если Remio не работает только в вашей корпоративной сети, попросите ИТ добавить relay.remio.net и turn.cloudflare.com в список исключений из инспекции TLS — большинство корпоративных прокси (Zscaler, Palo Alto, Cisco Umbrella, Check Point) поддерживают исключения по доменам.

Связанные руководства

• Настройка Mac → Mac — базовая настройка перед тонкой настройкой сетевого пути.
• Настройка Mac → iPad — та же сетевая логика, клиент для iPad.
• Трансляция ПК с Windows на Mac — та же сетевая логика, хост Windows.
• Прямое соединение по LAN — когда нужен гарантированный peer-to-peer в вашей собственной сети.
• Устранение неполадок — более широкий раздел для проблем с соединением.
• Безопасность и шифрование — подробно о сквозном шифровании.