✦เอกสาร

ไฟร์วอลล์และ NAT ทำให้เรียบง่าย

เอกสาร · เครือข่าย · อ่าน ~7 นาที

ผู้ใช้ส่วนใหญ่ไม่เคยต้องแตะการตั้งค่าไฟร์วอลล์เพื่อใช้ Remio แอปสร้างบนเทคโนโลยีการเชื่อมต่อเดียวกับที่ทำให้แอปวิดีโอคอลทำงานหลังเราเตอร์ที่บ้าน Wi-Fi โรงแรม และ VPN ขององค์กรได้ มันหาเส้นทางได้เอง แต่สำหรับผู้ใช้จำนวนน้อยบนเครือข่ายที่ล็อกแน่นหนาซึ่งค่าเริ่มต้นค้างอยู่เฉย ๆ หน้านี้คือที่อ้างอิงที่เดียวจบ: Remio ส่งอะไรผ่านสายจริง ๆ ควรอนุญาตอะไรบนไฟร์วอลล์ อ่านการวินิจฉัยในเซสชันอย่างไร และควรบอกฝ่าย IT ว่าอะไร

ภาพรวม

Remio ใช้แนวทางแบบเป็นชั้นเพื่อเชื่อมไคลเอนต์กับโฮสต์ ลองเส้นทางที่เร็วที่สุดก่อน แล้วถอยไปอย่างนุ่มนวลตามความจำเป็น มีเส้นทางที่เป็นไปได้สามแบบ เรียงตามความชอบดังนี้:

  1. ตรงบนเครือข่ายเดียวกัน — ไคลเอนต์และโฮสต์อยู่บน Wi-Fi หรือ LAN เดียวกัน เฟรมเดินทางแบบจุดต่อจุด ความหน่วงในการประมวลผลราว 8 มิลลิวินาที ส่วนที่เหลือคือจังหวะรีเฟรชของจอแสดงผลของคุณเอง นี่คือสิ่งที่คุณได้ที่บ้านหรือบนเครือข่ายสำนักงานเดียว ใช้ Tailscale อยู่ใช่ไหม ที่ท้ายหน้า การตั้งค่า → ขั้นสูง → เครือข่าย ให้เปิด ผ่าน Tailscale เมื่ออุปกรณ์ทั้งสองอยู่บนเครือข่าย Tailscale เดียวกัน
  2. ตรงผ่านอินเทอร์เน็ต (peer-to-peer) — ไคลเอนต์และโฮสต์อยู่คนละเครือข่ายแต่ต่างก็สร้างการเชื่อมต่อ UDP ขาออกได้ ทั้งสองฝั่งแลกเปลี่ยนที่อยู่สาธารณะผ่านเซิร์ฟเวอร์เชื่อมต่อของ Remio แล้วส่งสื่อถึงกันโดยตรง ความหน่วงเพิ่ม 10 ถึง 40 มิลลิวินาที ขึ้นอยู่กับภูมิศาสตร์
  3. สำรองผ่านรีเลย์ — เมื่อ UDP ถูกบล็อกหรือ NAT เข้มงวดเกินกว่าจะมีเส้นทางตรงได้ ทั้งสองฝั่งเชื่อมต่อขาออกไปยังเซิร์ฟเวอร์รีเลย์ (เครือข่ายทั่วโลกของ Cloudflare, turn.cloudflare.com) ผ่าน UDP เมื่อทำได้ ผ่าน TCP หรือ TLS บนพอร์ต 443 เมื่อ UDP ถูกบล็อก แล้วรีเลย์ส่งต่อสื่อที่เข้ารหัสระหว่างกัน ความหน่วงเพิ่ม 30 ถึง 80 มิลลิวินาที ใช้ได้ทุกที่ที่ HTTPS ใช้ได้

คุณไม่ต้องเลือกเส้นทางเอง Remio ตรวจสอบทั้งสามแบบพร้อมกันตอนเริ่มทุกเซสชันและใช้แบบที่เร็วที่สุดที่สำเร็จ หากเครือข่ายเปลี่ยนกลางเซสชัน (คุณเดินจาก Wi-Fi ที่ออฟฟิศไปใช้ LTE) Remio จะตรวจสอบใหม่และสลับเส้นทางโดยไม่ทำให้เซสชันหลุด

ข้อสรุปสำคัญ

คุณไม่ต้องเปิดพอร์ตขาเข้าบนเราเตอร์หรือไฟร์วอลล์เพื่อใช้ Remio เลย ทั้งไคลเอนต์และโฮสต์สร้างเฉพาะการเชื่อมต่อขาออก ถ้าเครือข่ายของคุณโหลด https://remio.net ในเบราว์เซอร์ได้ แสดงว่าเข้าถึงเซิร์ฟเวอร์เชื่อมต่อของ Remio ได้ ถ้าโหลด YouTube หรือ Zoom ได้ เส้นทางสื่อของ Remio ก็แทบแน่นอนว่าใช้ได้เช่นกัน

เซสชัน Remio ผ่านไฟร์วอลล์ได้อย่างไร

ตั้งแต่ตอนที่คุณแตะเชื่อมต่อในไคลเอนต์ ลำดับเป็นดังนี้:

  1. TLS ขาออกไปยังเซิร์ฟเวอร์เชื่อมต่อ ทั้งไคลเอนต์และโฮสต์เปิด WebSocket อายุยาวไปยัง relay.remio.net บนพอร์ต 443 ช่องนี้ส่งการจับมือจับคู่ การแลกเปลี่ยน offer/answer และข้อมูลควบคุมปริมาณเล็กน้อยตลอดอายุเซสชัน ไม่มีข้อมูลหน้าจอหรืออินพุตผ่านช่องนี้เลย เป็น HTTPS มาตรฐาน ไฟร์วอลล์องค์กรทุกตัวปล่อยผ่าน
  2. การตรวจสอบเครือข่าย แต่ละฝั่งใช้บริการ STUN สาธารณะเพื่อค้นหาที่อยู่สาธารณะของตัวเอง (ที่อยู่ที่ส่วนอื่นของอินเทอร์เน็ตมองเห็น) จากนั้นขอข้อมูลรับรองอายุสั้นสำหรับรีเลย์ (turn.cloudflare.com) จากเซิร์ฟเวอร์เชื่อมต่อ เผื่อการตรวจสอบล้มเหลว
  3. การแข่งเส้นทาง ทั้งสองฝั่งลอง UDP ตรง UDP ตรงผ่านที่อยู่ที่ STUN ค้นพบ และรีเลย์ TLS พร้อมกัน ชุดไหนสำเร็จและตอบกลับก่อนจะชนะ เครือข่ายบ้านส่วนใหญ่เลือก UDP ตรงภายใน 200 มิลลิวินาที เครือข่ายที่เข้มงวดจะตกไปที่รีเลย์ TLS ภายในราว 2 วินาที
  4. การไหลของสื่อที่เข้ารหัส เมื่อเลือกเส้นทางแล้ว ทุกเฟรมวิดีโอ ทุกการกดแป้นพิมพ์ ทุกตัวอย่างเสียงจะถูกเข้ารหัสแบบ end-to-end และส่งผ่านเส้นทางที่เลือก แม้บนเส้นทางรีเลย์ โหนดรีเลย์ก็เห็นเพียงข้อมูลที่เข้ารหัสแล้ว

กระบวนการทั้งหมดนี้คุณมองไม่เห็น ไคลเอนต์แค่แสดง "เชื่อมต่อแล้ว" แต่การเข้าใจลำดับนี้จะทำให้กฎไฟร์วอลล์ในหัวข้อถัดไปเข้าใจได้

ควรอนุญาตอะไรบนไฟร์วอลล์

สำหรับทีม IT ที่เขียนนโยบายไฟร์วอลล์ นี่คือรายการทราฟฟิกขาออกทั้งหมดที่ Remio สร้างขึ้น ไม่ต้องมีกฎขาเข้าเลย

# กฎขาออก — Remio Client และ Remio Host

# จำเป็น — การตั้งค่าการเชื่อมต่อ (ส่งสัญญาณเท่านั้น ไม่มีสื่อ)
ALLOW  TCP/443    ->  relay.remio.net           (TLS WebSocket)

# จำเป็น — สำรองผ่านรีเลย์ (สื่อเมื่อไม่มีเส้นทางตรง)
ALLOW  TCP/443    ->  turn.cloudflare.com       (TURN ผ่าน TLS — ใช้ได้เมื่อ UDP ถูกบล็อก)
ALLOW  UDP/3478   ->  turn.cloudflare.com       (TURN ผ่าน UDP — ไม่บังคับ แต่แนะนำ)
ALLOW  UDP/443    ->  turn.cloudflare.com       (TURN ผ่าน UDP — ไม่บังคับ)

# แนะนำอย่างยิ่ง — เปิดใช้ peer-to-peer โดยตรง (หน่วงต่ำกว่า)
ALLOW  UDP        ->  any (high ports 32768-65535)

# ไม่บังคับ — ใช้ตอนค้นหาที่อยู่ครั้งแรกเท่านั้น
ALLOW  UDP/3478   ->  stun.cloudflare.com
ALLOW  UDP/19302  ->  stun.l.google.com

# ไม่จำเป็น ไม่เคยใช้
DENY   any inbound                              (ไม่ต้องมีอะไรขาเข้าเลย)

ถ้าอนุญาตได้เพียงขั้นต่ำ ให้อนุญาต TCP พอร์ต 443 ขาออกไปยัง relay.remio.net และ turn.cloudflare.com สองกฎนี้พอให้ Remio ทำงานได้ครบวงจร เพียงแต่ผ่านเส้นทางรีเลย์แทนแบบตรง เซสชันยังเข้ารหัสและสตรีมในคุณภาพเต็ม ต้นทุนมีเพียงความหน่วง

สถานการณ์เครือข่ายองค์กรที่พบบ่อย

การตั้งค่าไฟร์วอลล์ในโลกจริงมีหลากหลาย นี่คือสิ่งที่คาดได้ในแต่ละแบบ

อนุญาตขาออกเป็นค่าเริ่มต้น (สำนักงานขนาดเล็กส่วนใหญ่ เครือข่ายบ้าน)

ไฟร์วอลล์ปล่อย TCP และ UDP ขาออกทุกแบบ บล็อกเฉพาะช่วงที่อยู่ของผู้ไม่หวังดี Remio พบเส้นทาง UDP ตรงภายในหนึ่งวินาทีและอยู่ที่นั่น ความหน่วงคือรอบเดินทางอินเทอร์เน็ตของคุณบวกภาระของ Remio อีก 3 ถึง 5 มิลลิวินาที คุณจะเห็น Direct ในตัวบ่งชี้ประเภทการเชื่อมต่อ

บล็อก UDP ขาออก (องค์กรขนาดกลาง โรงเรียน)

ไฟร์วอลล์อนุญาต TLS และโปรโตคอลที่รู้จักไม่กี่ตัว แต่บล็อก UDP ขาออกทั้งหมดเพื่อป้องกันการใช้ peer-to-peer ในทางที่ผิด การตรวจ UDP ตรงของ Remio ล้มเหลว การตรวจรีเลย์ TLS-443 สำเร็จ และเซสชันเริ่มผ่านเส้นทางรีเลย์ภายในราว 2 วินาที ตัวบ่งชี้ประเภทการเชื่อมต่อแสดง Relay ความหน่วงเพิ่ม 30 ถึง 80 มิลลิวินาทีขึ้นอยู่กับระยะห่างจากโหนดรีเลย์ที่ใกล้ที่สุด การสตรีม เสียง แป้นพิมพ์ และอินพุตทำงานเหมือนเดิมทุกอย่าง

พร็อกซีที่ตรวจสอบ TLS (องค์กรใหญ่ การเงิน การแพทย์)

ไฟร์วอลล์ถอดรหัสทุกการเชื่อมต่อ TLS ขาออก ตรวจเนื้อหา แล้วเข้ารหัสใหม่ก่อนส่งต่อ นี่เป็นกรณีที่ยุ่งยากที่สุด มีสองอย่างที่อาจผิดพลาด:

วิธีแก้คือเพิ่ม relay.remio.net และ turn.cloudflare.com เข้ารายการข้ามการตรวจสอบ TLS ของพร็อกซี พร็อกซีองค์กรหลักทุกตัว (Zscaler, Palo Alto, Cisco Umbrella, Check Point, Forcepoint) รองรับการข้ามรายโดเมน ทราฟฟิกยังผ่านไฟร์วอลล์ขององค์กร เพียงแต่ไม่ถูกถอดรหัสระหว่างทาง ทีม IT มักเพิ่มรายการข้ามสำหรับแอปประชุมวิดีโอ (Zoom, Teams) ด้วยเหตุผลเดียวกัน Remio เข้ากับรูปแบบเดียวกัน

Captive portal / Wi-Fi โรงแรม

โรงแรมและสนามบินจำนวนมากใช้ captive portal ที่บล็อกทราฟฟิกขาออกทั้งหมดจนกว่าคุณจะยอมรับข้อกำหนด เมื่อยืนยันตัวตนแล้ว ส่วนใหญ่อนุญาต HTTPS ปกติ ซึ่งหมายความว่าเส้นทางรีเลย์ของ Remio ใช้ได้ UDP นั้นแล้วแต่โชค บางพอร์ทัลยังบล็อก UDP แม้หลังเข้าสู่ระบบ ถ้าเซสชันรู้สึกอืดบน Wi-Fi โรงแรม ให้ดูตัวบ่งชี้ ซึ่งเกือบทุกครั้งจะแสดง Relay ไม่มีอะไรต้องแก้ นั่นคือโหมดที่คาดไว้สำหรับเครือข่ายเหล่านี้

Carrier-grade NAT บนเครือข่ายมือถือ

การเชื่อมต่อ 4G/5G มักอยู่หลัง NAT หลายชั้นที่ผู้ให้บริการดูแล ทำให้ peer-to-peer โดยตรงทำได้ยาก Remio จัดการเรื่องนี้อย่างโปร่งใส UDP ตรงมักใช้ได้ทิศทางเดียว (ไคลเอนต์มือถือเข้าถึงโฮสต์) และเส้นทางรีเลย์พร้อมเป็นตัวสำรองเสมอ ประสิทธิภาพบน LTE/5G มักยอดเยี่ยม

การตรวจสอบเส้นทางการเชื่อมต่อ

ไคลเอนต์ Remio ทุกตัวแสดงเส้นทางการเชื่อมต่อที่เลือกไว้ในหน้าซ้อนสถิติระหว่างเซสชัน เปิดจากแถบเครื่องมือ ไอคอนเป็นรูปแผนภูมิแท่งเล็ก ๆ คุณจะเห็น:

ถ้าคุณคาดหวัง Direct แต่เห็น Relay แสดงว่าเครือข่ายที่คุณใช้อยู่บล็อก UDP ที่ใดที่หนึ่งตามเส้นทาง เซสชันยังใช้ได้ เพียงหน่วงเพิ่ม บนเครือข่ายที่คุณควบคุมได้ (เราเตอร์ที่บ้าน) ให้ตรวจการตั้งค่า QoS และสวิตช์ "โหมดเกม" ซึ่งบางครั้งทำให้การส่งต่อ UDP เสีย

เคล็ดลับ

แตะตัวบ่งชี้เส้นทางการเชื่อมต่อเพื่อดูการวินิจฉัยเพิ่มเติม ได้แก่ IP สาธารณะของแต่ละฝั่ง รอบเดินทางปัจจุบัน และภูมิภาครีเลย์ (ถ้ามี) ที่ใช้อยู่ นี่คือสิ่งแรกที่ควรตรวจเมื่อรายงานปัญหาการเชื่อมต่อกับฝ่ายสนับสนุน

สิ่งที่รีเลย์เห็นและไม่เห็น

ความกังวลทั่วไปบนเส้นทางรีเลย์คือความเป็นส่วนตัว ถ้าหน้าจอของฉันผ่านเซิร์ฟเวอร์รีเลย์ ใครที่นั่นเห็นได้ไหม ไม่ เพราะ:

เรื่องการเข้ารหัสฉบับเต็ม ดูความปลอดภัยและการเข้ารหัส

การแก้ปัญหาการเชื่อมต่อ

ขั้นสูง — ล็อกให้แน่นขึ้นอีก

หากทีมความปลอดภัยของคุณต้องการรายการอนุญาตที่แคบที่สุด ต่อไปนี้คือขั้นต่ำที่ยังให้ Remio ทำงานได้ครบวงจร:

# รายการอนุญาตไฟร์วอลล์ขั้นต่ำที่ใช้งานได้
# ใช้งานได้เฉพาะโหมดรีเลย์ (หน่วง ~30-80 ms)

OUTBOUND TCP/443   ->  relay.remio.net          # การตั้งค่าการเชื่อมต่อ
OUTBOUND TCP/443   ->  turn.cloudflare.com      # รีเลย์ (TURN ผ่าน TLS)

# เพิ่มสิ่งเหล่านี้เพื่อเปิดใช้ peer-to-peer โดยตรง (3-5 ms บน LAN, 10-40 ms บน WAN)
OUTBOUND UDP/3478  ->  stun.cloudflare.com      # ค้นหาที่อยู่สาธารณะ
OUTBOUND UDP/19302 ->  stun.l.google.com        # ค้นหาที่อยู่สาธารณะ (สำรอง)
OUTBOUND UDP       ->  any (32768-65535)        # เส้นทางสื่อโดยตรง

สองบรรทัดแรกเพียงอย่างเดียวก็พอให้แอปทำงาน บรรทัดอื่นทั้งหมดเป็นการปรับความหน่วง ถ้าต้องการทั้งความปลอดภัยสูงสุดและความหน่วงต่ำสุด ให้อนุญาตทั้งห้า

คำถามเกี่ยวกับไฟร์วอลล์และ NAT

Remio ต้องเปิดพอร์ตขาเข้าบนไฟร์วอลล์ของฉันไหม

ไม่ต้อง ทั้ง Remio Client และ Remio Host สร้างเฉพาะการเชื่อมต่อขาออก ไม่มีอะไรต้องเปิดบนเราเตอร์หรือกฎขาเข้าของไฟร์วอลล์ ถ้าเครือข่ายของคุณอนุญาตทราฟฟิกเว็บขาออกปกติ เช่นโหลดเว็บไซต์ ใช้แอปแชท Remio ก็ใช้งานได้

Remio ใช้พอร์ตอะไรบ้าง

TCP 443 ขาออกไปยัง relay.remio.net สำหรับการตั้งค่าการเชื่อมต่อ และทราฟฟิกขาออกไปยังรีเลย์ (turn.cloudflare.com) เมื่อไม่มีเส้นทางตรง: UDP 3478 หรือ 443 เมื่อทำได้ TCP หรือ TLS บนพอร์ต 443 เมื่อ UDP ถูกบล็อก สื่อ peer-to-peer โดยตรงใช้ UDP ขาออกบนพอร์ตสูงแบบสุ่ม การค้นหาที่อยู่สาธารณะใช้ UDP 3478 (stun.cloudflare.com) และ UDP 19302 (stun.l.google.com) ไม่ต้องมีพอร์ตขาเข้าที่ฝั่งใดเลย

Remio ใช้บนเครือข่ายองค์กรที่บล็อก UDP ได้ไหม

ได้ เมื่อ UDP ถูกบล็อก Remio จะถอยไปส่งสื่อผ่านรีเลย์ด้วย TLS บนพอร์ต 443 โดยอัตโนมัติ ซึ่งเป็นพอร์ตเดียวกับที่เบราว์เซอร์ใช้กับ HTTPS การเชื่อมต่อใช้เวลานานขึ้นเสี้ยววินาทีและเพิ่มความหน่วงราว 30 ถึง 80 มิลลิวินาที แต่เซสชันทำงานได้ครบวงจร ไม่มีการตั้งค่าให้สลับ การสำรองเกิดขึ้นอย่างโปร่งใส

ทีม IT ของฉันตรวจสอบทราฟฟิก Remio ได้ไหม

ไม่ได้ สื่อทั้งหมดของเซสชันเข้ารหัสแบบ end-to-end หน้าจอของคุณไม่เคยผ่านเซิร์ฟเวอร์ของเรา และแม้แต่รีเลย์ก็เห็นเพียงข้อมูลที่เข้ารหัสแล้ว แม้ทราฟฟิกจะผ่านรีเลย์บนพอร์ต 443 รีเลย์ก็ส่งต่อเฉพาะแพ็กเก็ตที่เข้ารหัส มันอ่านเนื้อหาหน้าจอ การกดแป้นพิมพ์ หรือข้อมูลอื่นใดไม่ได้ พร็อกซีตรวจสอบ TLS ขององค์กรก็มองเข้าไปในสตรีมไม่ได้เช่นกัน เพราะสื่อถูกเข้ารหัสในชั้นที่อยู่เหนือ TLS

ทำไมการเชื่อมต่อใช้ได้ที่บ้านแต่ล้มเหลวที่ออฟฟิศ

เครือข่ายองค์กรมักบล็อก UDP ทั้งหมด และอาจบล็อก TLS ขาออกไปยังโฮสต์ที่ไม่อยู่ในรายการอนุญาตด้วย ขอให้ IT อนุญาต TCP พอร์ต 443 ขาออกไปยัง relay.remio.net (การตั้งค่าการเชื่อมต่อ) และ turn.cloudflare.com (รีเลย์ที่ส่งสื่อเมื่อ UDP ปิด) สองรายการนี้พอให้ Remio ทำงานได้แม้ UDP ถูกบล็อกทั้งหมด

จะตรวจสอบได้อย่างไรว่าเซสชันของฉันเป็นแบบตรงหรือผ่านรีเลย์

เปิดหน้าซ้อนสถิติระหว่างเซสชันจากแถบเครื่องมือ ไคลเอนต์ Remio ทุกตัวแสดงตัวบ่งชี้ประเภทการเชื่อมต่อ ได้แก่ Direct, LAN หรือ Relay ควบคู่กับความหน่วงและบิตเรต การเชื่อมต่อแบบตรงรู้สึกกระชับกว่า การเชื่อมต่อผ่านรีเลย์เพิ่มความหน่วงราว 30 ถึง 80 มิลลิวินาทีขึ้นอยู่กับระยะห่างจากโหนดรีเลย์ที่ใกล้ที่สุด

Remio ใช้หลัง VPN หรือเอเจนต์ zero-trust ได้ไหม

ได้ ในเกือบทุกกรณี ทั้งเส้นทาง peer-to-peer และรีเลย์ใช้ HTTPS ขาออกมาตรฐาน ซึ่ง VPN ขององค์กรและเอเจนต์ zero-trust (Zscaler, Cloudflare WARP, Tailscale, Twingate) ปล่อยผ่านได้อย่างราบรื่น อุปกรณ์กลางที่ทำ deep-packet inspection แบบเข้มงวดบางตัวอาจทำให้สตรีมเพี้ยน ดูหัวข้อการแก้ปัญหาด้านบนสำหรับวิธีแก้

การดักตรวจ TLS ของบริษัทจะทำให้ Remio เสียไหม

อาจเป็นไปได้ พร็อกซี deep-packet inspection ที่ถอดรหัสและเข้ารหัสใหม่ทุกการเชื่อมต่อ TLS บางครั้งตัดบางส่วนของการจับมือการเชื่อมต่อทิ้งหรือบล็อกโฟลว์สื่อที่มีอายุยาว ถ้าคุณเห็น Remio ล้มเหลวเฉพาะบนเครือข่ายองค์กร ให้ขอ IT เพิ่ม relay.remio.net และ turn.cloudflare.com ในรายการข้ามการตรวจสอบ TLS พร็อกซีองค์กรส่วนใหญ่ (Zscaler, Palo Alto, Cisco Umbrella, Check Point) รองรับการข้ามรายโดเมน

อ่านต่อ
คู่มือ การเชื่อมต่อ LAN โดยตรง เส้นทาง LAN โดยตรง ↗ คู่มือ Wake-on-LAN จากโทรศัพท์ของคุณ ปลุกจากระยะไกล ↗ เอกสาร การแก้ปัญหา เมื่อมีบางอย่างผิดปกติ ↗
ไอคอนแอป Remio

พร้อมเมื่อคุณพร้อม

ใช้ฟรี ไม่มีการตรวจจับการใช้งานเชิงพาณิชย์ ติดตั้งโฮสต์ จับคู่อุปกรณ์ แล้วสตรีมได้ในไม่กี่นาที

ดาวน์โหลด Remio กลับไปที่เอกสาร

ใช้ฟรีไม่ต้องมีบัญชีจับคู่ใน 30 วินาที