Güvenlik duvarı ve NAT, basitçe.

Çoğu kullanıcı Remio'yu kullanmak için hiçbir güvenlik duvarı ayarına dokunmaz. Uygulama, görüntülü arama uygulamalarının ev yönlendiricilerinin, otel Wi-Fi'ının ve kurumsal VPN'lerin ardında çalışmasını sağlayan aynı bağlantı teknolojisi üzerine kuruludur — yolu kendisi bulur. Ancak varsayılanın takılıp kaldığı kilitli ağlardaki az sayıda kullanıcı için bu sayfa tek durak başvurudur: Remio'nun kabloya gerçekte ne gönderdiği, güvenlik duvarında nelere izin verileceği, oturum içi tanılamanın nasıl okunacağı ve BT'ye ne söyleneceği.

Genel bakış

Remio, bir istemciyi ana makineye bağlamak için katmanlı bir yaklaşım kullanır. Önce en hızlı yolu dener, gerektikçe zarifçe geri çekilir. Tercih sırasına göre üç olası yol vardır:

1. Aynı ağda doğrudan — istemci ve ana makine aynı Wi-Fi veya LAN'da. Kareler noktadan noktaya gider. Yaklaşık 8 ms işleme gecikmesi; gerisi ekranınızın kendi yenileme temposudur. Evde veya tek ofis ağında elde ettiğiniz budur. Tailscale mı kullanıyorsunuz? Ayarlar → Gelişmiş → Ağ'ın sonunda İki cihaz da aynı Tailscale ağındayken Tailscale üzerinden git'i açın.
2. İnternet üzerinden doğrudan (eşler arası) — istemci ve ana makine farklı ağlarda ama her biri dışa doğru UDP bağlantısı kurabiliyor. İki uç genel adreslerini Remio'nun bağlantı sunucusu üzerinden değiş tokuş eder, sonra medyayı birbirine doğrudan gönderir. Coğrafyaya bağlı olarak 10 ile 40 ms ek gecikme.
3. Aktarıcı yedeği — UDP engellendiğinde veya NAT doğrudan yol için çok kısıtlayıcı olduğunda iki uç da dışa doğru bir aktarıcı sunucuya (Cloudflare'in küresel ağı, turn.cloudflare.com) bağlanır — mümkünse UDP üzerinden, UDP engelliyse 443 portunda TCP veya TLS üzerinden — ve aktarıcı şifreli medyayı aralarında iletir. 30 ile 80 ms ek gecikme. HTTPS'in çalıştığı her yerde çalışır.

Yolu elle seçmezsiniz. Remio her oturumun başında üçünü birden eş zamanlı dener ve başarılı olanların en hızlısını kullanır. Oturum sırasında ağ değişirse (ofis Wi-Fi'ından LTE'ye geçtiniz), Remio yeniden dener ve oturumu düşürmeden yol değiştirir.

Bir Remio oturumu güvenlik duvarını nasıl aşar

İstemcide Bağlan'a dokunduğunuz andan itibaren sıra şöyle:

1. Bağlantı sunucusuna giden TLS. İstemci ve ana makine 443 portunda relay.remio.net'e uzun ömürlü bir WebSocket açar. Bu, oturum boyunca eşleştirme el sıkışmalarını, teklif/yanıt değişimini ve az miktarda kontrol trafiğini taşır. Hiçbir ekran veya girdi verisi buradan geçmez. Standart HTTPS'tir — her kurumsal güvenlik duvarı geçirir.
2. Ağ yoklaması. Her uç, kendi genel adresini (internetin geri kalanının gördüğü adres) keşfetmek için genel STUN hizmetini kullanır. Yoklama başarısız olursa diye, bağlantı sunucusundan aktarıcıya (turn.cloudflare.com) kısa ömürlü kimlik bilgileri ister.
3. Yol yarışı. İki uç eş zamanlı olarak doğrudan UDP'yi, STUN ile keşfedilen adresler üzerinden doğrudan UDP'yi ve TLS aktarıcıyı dener. Başarılı olan ve ilk yanıt veren kombinasyon kazanır. Çoğu ev ağı 200 ms içinde doğrudan UDP'yi seçer; kısıtlı ağlar yaklaşık 2 saniye içinde TLS aktarıcıya düşer.
4. Şifreli medya akışı. Yol seçildikten sonra her görüntü karesi, her tuş vuruşu, her ses örneği uçtan uca şifrelenir ve seçilen yoldan gönderilir. Aktarıcı yolunda bile aktarıcı düğümü yalnızca şifreli veriyi görür.

Bu sürecin tamamı sizin için görünmezdir — istemci yalnızca "Bağlandı" gösterir. Ama sırayı anlamak, sonraki bölümdeki güvenlik duvarı kurallarını anlamlı kılar.

Güvenlik duvarında nelere izin verilmeli

Güvenlik duvarı politikası yazan BT ekipleri için, Remio'nun ürettiği giden trafiğin tam listesi burada. Hiçbir zaman gelen kural gerekmez.

# Outbound rules — Remio Client and Remio Host

# Required — connection setup (signaling only, no media)
ALLOW  TCP/443    ->  relay.remio.net           (TLS WebSocket)

# Required — relay fallback (media when no direct path exists)
ALLOW  TCP/443    ->  turn.cloudflare.com       (TURN over TLS — works when UDP is blocked)
ALLOW  UDP/3478   ->  turn.cloudflare.com       (TURN over UDP — optional, preferred)
ALLOW  UDP/443    ->  turn.cloudflare.com       (TURN over UDP — optional)

# Strongly recommended — enables direct peer-to-peer (lower latency)
ALLOW  UDP        ->  any (high ports 32768-65535)

# Optional — used during initial address discovery only
ALLOW  UDP/3478   ->  stun.cloudflare.com
ALLOW  UDP/19302  ->  stun.l.google.com

# Not required, never used
DENY   any inbound                              (nothing inbound is ever needed)

Yalnızca asgariye izin verebiliyorsanız, relay.remio.net ve turn.cloudflare.com için giden TCP 443 portuna izin verin — bu iki kural Remio'nun uçtan uca çalışması için yeterlidir; yalnızca doğrudan yol yerine aktarıcı yolu üzerinden. Oturumlar yine tam kalitede şifrelenir ve aktarılır; tek bedel gecikmedir.

Yaygın kurumsal ağ senaryoları

Gerçek dünyadaki güvenlik duvarı yapılandırmaları geniş bir yelpazeyi kapsar. Her birinde ne beklemeli:

Varsayılan olarak giden izinli (çoğu küçük ofis, ev ağları)

Güvenlik duvarı yalnızca belirli kötü niyetli aralıkları engelleyip her giden TCP ve UDP'yi geçirir. Remio bir saniye içinde doğrudan UDP yolu bulur ve orada kalır. Gecikme, internet gidiş-dönüş süreniz artı 3 ile 5 ms Remio ek yüküdür. Bağlantı türü göstergesinde Doğrudan görürsünüz.

Giden UDP engelli (orta ölçekli kuruluşlar, okullar)

Güvenlik duvarı TLS'ye ve birkaç iyi bilinen protokole izin verir, ancak eşler arası kötüye kullanımı önlemek için giden UDP'yi toptan engeller. Remio'nun doğrudan UDP yoklaması başarısız olur, TLS-443 aktarıcı yoklaması başarılı olur ve oturum yaklaşık 2 saniye içinde aktarıcı yolu üzerinden kurulur. Bağlantı türü göstergesi Aktarıcı gösterir. Gecikme, en yakın aktarıcı düğümüne uzaklığınıza bağlı olarak 30 ile 80 ms artar. Yayın, ses, klavye ve girdi hep aynı çalışır.

TLS denetleyen proxy (büyük kuruluşlar, finans, sağlık)

Güvenlik duvarı her giden TLS bağlantısının şifresini çözer, içeriği denetler ve iletmeden önce yeniden şifreler. Bu en zor durumdur. İki şey ters gidebilir:

• Proxy, Remio'nun kullandığı uzun ömürlü medya tarzı akışı tanımaz ve kısa bir zaman aşımından sonra düşürür veya kullanılamayacak kadar hız sınırlar.
• Proxy, bağlantı el sıkışmasının anlamadığı kısımlarını siler ve Remio'yu takılı bırakır.

Çözüm, relay.remio.net ve turn.cloudflare.com'u proxy'nin TLS denetimi muafiyet listesine eklemektir. Her büyük kurumsal proxy (Zscaler, Palo Alto, Cisco Umbrella, Check Point, Forcepoint) alan adı başına muafiyeti destekler. Trafik yine kurumsal güvenlik duvarından geçer — yalnızca yolda şifresi çözülmez. BT ekipleri görüntülü konferans uygulamaları (Zoom, Teams) için aynı nedenle muafiyet girdileri ekler; Remio aynı kalıba uyar.

Giriş portalı / otel Wi-Fi'ı

Birçok otel ve havalimanı, şartları kabul edene kadar tüm giden trafiği engelleyen bir giriş portalı kullanır. Kimlik doğruladıktan sonra çoğu normal HTTPS'e izin verir; bu da Remio'nun aktarıcı yolunun çalıştığı anlamına gelir. UDP şans işidir — bazı portallar oturum açıldıktan sonra da UDP'yi engellemeye devam eder. Otel Wi-Fi'ında bir oturum yavaş hissediliyorsa göstergeye bakın — neredeyse her zaman Aktarıcı gösterir. Düzeltilecek bir şey yok; bu ağlar için beklenen mod budur.

Mobil ağlarda operatör düzeyinde NAT

4G/5G bağlantıları çoğunlukla operatörün işlettiği birden çok NAT katmanının ardında durur; bu, doğrudan eşler arası bağlantıyı zorlaştırır. Remio bunu şeffaf biçimde yönetir — doğrudan UDP genellikle bir yönde (mobil istemcinin ana makineye ulaşması) çalışır ve aktarıcı yolu her zaman yedek olarak hazırdır. LTE/5G üzerinden performans genellikle mükemmeldir.

Bağlantı yolunu doğrulama

Her Remio istemcisi seçilen bağlantı yolunu oturum içi istatistik katmanında gösterir. Araç çubuğundan açın — simge küçük bir çubuk grafik işaretidir. Şunları görürsünüz:

• Bağlantı — Doğrudan, UDP üzerinden eşler arası demektir. En düşük gecikme. Kareler ara durak olmadan ana makineden doğrudan istemciye gider.
• Bağlantı — Aktarıcı, trafiğin aktarıcı (turn.cloudflare.com) üzerinden yönlendirildiği anlamına gelir. 30 ile 80 ms gecikme ekler. Yine uçtan uca şifreli — aktarıcı yalnızca şifreli veriyi görür.
• Bağlantı — LAN, iki uç da aynı yerel ağdayken görünür. Yaklaşık 8 ms işleme gecikmesi (gerisi ekranınızın kendi yenileme temposu), internet gidiş-dönüşü yok.

Doğrudan bekliyor ama Aktarıcı görüyorsanız, bulunduğunuz ağ yol boyunca bir yerde UDP'yi engelliyor demektir. Oturum yine çalışır, yalnızca ek gecikmeyle. Kontrol ettiğiniz bir ağda (ev yönlendiriciniz), QoS ayarlarını ve bazen UDP iletimini bozan "oyun modu" anahtarlarını kontrol edin.

Aktarıcı neleri görebilir, neleri göremez

Aktarıcı yolunda yaygın bir endişe gizliliktir: ekranım bir aktarıcı sunucudan geçiyorsa orada biri görebilir mi? Hayır. İşte nedeni:

• Uçtan uca şifreleme. Her kare, her tuş vuruşu, her ses örneği el sıkışma sırasında türetilen bir oturum anahtarıyla şifrelenir. Anahtarı yalnızca istemci ve ana makine tutar. Aktarıcı şifreli veriyi iletir.
• Anahtar emaneti yok. Remio'nun sunucuları oturum anahtarlarını asla görmez veya saklamaz. Aktarıcı günlüklerine tam erişimle ve aktarıcı sunucularının fiziksel denetimiyle bile Remio hiçbir kullanıcı oturumunun — geçmiş, şimdiki veya gelecek — şifresini çözemez.
• Günlüğe yazılacak okunabilir bir şey yok. Aktarıcı yalnızca şifreli paketleri işler ve Remio'nun kendi bağlantı sunucusu (relay.remio.net) yalnızca kurulum mesajlarını taşır — asla ekran, ses veya girdi değil.
• Kurumsal TLS denetimi muafiyeti de çalışır. Medya TLS'nin üstünde bir katmanda şifrelendiği için (şifreleme, TLS paketi aktarıcıya sarmadan önce gerçekleşir), dış TLS'nin şifresini çözen kurumsal bir TLS proxy'si de yalnızca iç şifreli yükü görür. Hiçbir ara kutunun ekranınızı okumasının yolu yok.

Şifrelemenin tam hikâyesi için Güvenlik ve şifreleme sayfasına bakın.

Bağlantı sorunlarını giderme

• "Bağlantı kurumsal Wi-Fi'da başarısız oluyor ama evde çalışıyor" — giden UDP engelli ve TLS aktarıcı yolu da engelleniyor veya sıyrılıyor. BT'den relay.remio.net ve turn.cloudflare.com için giden TCP 443 portuna izin vermesini isteyin; TLS denetim proxy'si varsa aynı iki ana bilgisayar adını muafiyet listesine ekleyin. Bu, aktarıcı yolunu açar; oturumlar uçtan uca çalışır.
• "Ofis ağında gecikme beklenenden çok yüksek" — bağlantı büyük olasılıkla aktarıcıdan geçiyor (oturum içi göstergeye bakın). Aktarıcı yolları 30 ile 80 ms ekler. BT giden UDP'yi açabilirse Remio kendiliğinden doğrudan yola geçer ve gecikme düşer.
• "Bağlantı kuruluyor ama yayın birkaç saniye sonra donuyor" — ilk el sıkışmaya izin veren ama uzun ömürlü akışları öldüren bir TLS denetim proxy'sinin tipik belirtisi. BT günlüklerinde proxy'nin relay.remio.net veya turn.cloudflare.com'u kesintiye uğratıp uğratmadığını doğrulayın ve ikisi için de muafiyet girdileri ekleyin.
• "Diğer görüntülü uygulamalar çalışıyor, yalnızca Remio başarısız" — neredeyse her zaman TLS denetimi veya derin paket denetimi el sıkışmayı bozuyor. Çözüm aynı: BT'den relay.remio.net ve turn.cloudflare.com'u denetim muafiyet listesine eklemesini isteyin.
• "Bazen çalışıyor, bazen 'Bağlanıyor'da takılıyor" — relay.remio.net için kararsız DNS çözümlemesi veya bağlantı sunucusunu engelleyen kurumsal bir DNS filtresi. Aynı makineden nslookup relay.remio.net deneyin — bir saniye içinde bir IP döndürmeli. Zaman aşımına uğruyor veya başarısız oluyorsa darboğaz DNS'tir.
• "Bağlan düğmesi hiçbir şey yapmıyor — hata yok, ilerleme yok" — giden 443 portu tamamen engelleniyor. Bu olağandışıdır ama ağır kısıtlı ağlarda olur. Tarayıcıda https://relay.remio.net/health yükleyerek test edin; kısa bir durum yanıtı döndürmeli. Tarayıcı da ulaşamıyorsa güvenlik duvarı o ana makineye giden HTTPS'i tamamen engelliyor demektir.
• "VPN istemcisi bağlandığında Remio'yu bozuyor" — bazı VPN ajanları medya dahil tüm trafiği yakalar ve takılmaya yol açar. VPN'iniz bölünmüş tünellemeyi destekliyorsa relay.remio.net ve turn.cloudflare.com'u tünelin dışında tutmayı deneyin.

Gelişmiş — daha da kilitlemek

Güvenlik ekibinizin mümkün olan en sıkı izin listesine ihtiyacı varsa, Remio'nun hâlâ uçtan uca çalışmasına izin veren asgari liste şudur:

# Minimum-viable firewall allowlist
# Allows relay-mode operation only (~30-80 ms latency)

OUTBOUND TCP/443   ->  relay.remio.net          # connection setup
OUTBOUND TCP/443   ->  turn.cloudflare.com      # relay (TURN over TLS)

# Adding these unlocks direct peer-to-peer (3-5 ms LAN, 10-40 ms WAN)
OUTBOUND UDP/3478  ->  stun.cloudflare.com      # public address discovery
OUTBOUND UDP/19302 ->  stun.l.google.com        # public address discovery (redundancy)
OUTBOUND UDP       ->  any (32768-65535)        # direct media path

Uygulamanın çalışması için yalnızca ilk iki satır yeterlidir — diğer her satır bir gecikme iyileştirmesidir. Hem azami güvenlik hem en düşük gecikme istiyorsanız beşine de izin verin.

Güvenlik duvarı ve NAT soruları

Remio güvenlik duvarımda gelen port açmamı gerektiriyor mu?

Hayır. Hem Remio İstemcisi hem Remio Host yalnızca giden bağlantı kurar. Yönlendiricinizde veya güvenlik duvarınızın gelen kurallarında açılacak bir şey yok. Ağınız normal giden web trafiğine — web sitelerini yüklemeye, mesajlaşma uygulaması kullanmaya — izin veriyorsa Remio çalışır.

Remio hangi portları kullanır?

Bağlantı kurulumu için relay.remio.net'e giden TCP 443 ve doğrudan yol yokken aktarıcıya (turn.cloudflare.com) giden trafik: mümkünse UDP 3478 veya 443, UDP engelliyse 443 portunda TCP veya TLS. Doğrudan eşler arası medya rastgele yüksek portlarda giden UDP kullanır; genel adres keşfi UDP 3478 (stun.cloudflare.com) ve UDP 19302 (stun.l.google.com) kullanır. İki tarafta da gelen port gerekmez.

Remio, UDP'yi engelleyen kurumsal ağlarda çalışır mı?

Evet. UDP engelliyken Remio, tarayıcınızın HTTPS için kullandığı aynı port olan 443'te TLS üzerinden medya aktarmaya kendiliğinden geçer. Bağlantıların kurulması saniyenin bir kesri kadar uzun sürer ve yaklaşık 30 ile 80 ms gecikme ekler, ancak oturum uçtan uca çalışır. Çevrilecek bir ayar yok — geçiş şeffaf biçimde olur.

BT ekibim Remio trafiğini denetleyebilir mi?

Hayır. Tüm oturum medyası uçtan uca şifrelidir — ekranınız sunucularımıza hiç uğramaz, aktarıcı bile yalnızca şifreli veriyi görür. Trafik 443 portunda aktarıcıdan geçse bile aktarıcı yalnızca şifreli paketleri iletir — ekran içeriğini, tuş vuruşlarını veya başka hiçbir veriyi okuyamaz. Medya TLS'nin üstünde bir katmanda şifrelendiği için kurumsal TLS denetim proxy'leri de akışın içini göremez.

Bağlantım evde çalışıyor ama ofiste neden başarısız oluyor?

Kurumsal ağlar sık sık UDP'yi tamamen engeller ve izin listesinde olmayan ana makinelere giden TLS'yi de engelleyebilir. BT'den relay.remio.net (bağlantı kurulumu) ve turn.cloudflare.com (UDP kapalıyken medyayı taşıyan aktarıcı) için giden TCP 443 portuna izin vermesini isteyin. Bu iki girdi, UDP tamamen engelliyken Remio'nun çalışması için yeterlidir.

Oturumumun doğrudan mı yoksa aktarıcılı mı olduğunu nasıl kontrol ederim?

Araç çubuğundan oturum içi istatistik katmanını açın. Her Remio istemcisi gecikme ve bit hızının yanında bir bağlantı türü göstergesi — Doğrudan, LAN veya Aktarıcı — gösterir. Doğrudan bağlantılar daha seri hissedilir; aktarıcılı bağlantılar en yakın aktarıcı düğümüne uzaklığınıza bağlı olarak kabaca 30 ile 80 ms gecikme ekler.

Remio bir VPN veya sıfır güven ajanı ardında çalışır mı?

Evet, hemen her durumda. Hem eşler arası hem aktarıcı yolları, kurumsal VPN'lerin ve sıfır güven ajanlarının (Zscaler, Cloudflare WARP, Tailscale, Twingate) sorunsuz geçirdiği standart giden HTTPS kullanır. Bazı agresif derin paket denetimi ara kutuları akışı bozabilir — geçici çözümler için yukarıdaki sorun giderme bölümüne bakın.

Şirketimin TLS müdahalesi Remio'yu bozar mı?

Bozabilir. Tüm TLS bağlantılarının şifresini çözüp yeniden şifreleyen derin paket denetimi proxy'leri bazen bağlantı el sıkışmasının bazı kısımlarını siler veya medya akışlarının uzun ömürlü yapısını engeller. Remio yalnızca kurumsal ağınızda başarısız oluyorsa, BT'den relay.remio.net ve turn.cloudflare.com'u TLS denetimi muafiyet listesine eklemesini isteyin — çoğu kurumsal proxy (Zscaler, Palo Alto, Cisco Umbrella, Check Point) alan adı başına muafiyeti destekler.

İlgili kılavuzlar

• Mac'ten Mac'e kurulum — ağ yolunu ayarlamadan önceki temel kurulum.
• Mac'ten iPad'e kurulum — aynı ağ mantığı, iPad istemcisi.
• Windows PC'yi Mac'e yayınlayın — aynı ağ mantığı, Windows ana makinesi.
• Doğrudan LAN bağlantısı — kendi ağınızda garantili eşler arası bağlantı istediğinizde.
• Sorun giderme — bağlantı sorunları için daha geniş kapsamlı başvuru.
• Güvenlik ve şifreleme — uçtan uca şifrelemenin tüm ayrıntısı.