✦文档

防火墙与 NAT，一看就懂。

文档 · 网络 · 阅读约 7 分钟

大多数用户使用 Remio 时，从不需要动防火墙设置。这款应用建立在与视频通话应用相同的连接技术之上，让它们能在家用路由器、酒店 Wi-Fi 和企业 VPN 后面正常工作，由它自己找出可行的路径。但对于少数身处管控严格网络、默认设置就是卡住不动的用户，这一页就是一站式参考：Remio 在网络上实际发送了什么、防火墙上该放行什么、如何查看会话中的诊断信息，以及该怎么跟 IT 部门沟通。

概览

Remio 采用分层方式把客户端连接到主机：先尝试最快的路径，必要时再平稳地回退。共有三种可能的路径，按优先顺序如下：

  1. 同一网络内直连：客户端和主机处于同一个 Wi-Fi 或局域网中，画面帧点对点传输。处理延迟约 8 毫秒，其余取决于你的显示器自身的刷新节奏。在家里、单一办公室网络中，或通过 Tailscale/WireGuard 连接时，你得到的就是这种路径。
  2. 跨互联网直连（点对点）：客户端和主机处于不同网络，但各自都能发起出站 UDP 连接。双方通过 Remio 的连接服务器交换各自的公网地址，然后直接把媒体数据发送给对方。视地理位置不同，会增加 10 到 40 毫秒的延迟。
  3. 中继回退：当 UDP 被阻断，或 NAT 限制过严而无法直连时，双方都会向外连接到一台中继服务器（Cloudflare 的全球网络，turn.cloudflare.com）：能走 UDP 时走 UDP，UDP 被阻断时走 443 端口的 TCP 或 TLS，由中继在双方之间转发加密的媒体数据。会增加 30 到 80 毫秒的延迟。只要能访问 HTTPS，它就能工作。

你无需手动选择路径。每次会话开始时，Remio 会同时探测这三种路径，并使用其中最快且成功的一种。如果网络在会话中途发生变化（比如你从办公室 Wi-Fi 走到了 LTE 网络），Remio 会重新探测并切换路径，不会中断会话。

核心要点

运行 Remio 时，你永远不需要在路由器或防火墙上开放入站端口。客户端和主机都只发起出站连接。如果你的网络允许在浏览器中加载 https://remio.net，那就说明 Remio 的连接服务器可以访问。如果它能加载 YouTube 或 Zoom，Remio 的媒体路径几乎也一定可用。

Remio 会话如何穿越防火墙

从你在客户端点按连接的那一刻起，流程如下：

  1. 向连接服务器发起出站 TLS。客户端和主机都会在 443 端口上向 relay.remio.net 打开一条长期保持的 WebSocket。它在会话期间承载配对握手、offer/answer 交换，以及少量控制流量。屏幕或输入数据绝不会经过它。这是标准的 HTTPS，所有企业防火墙都会放行。
  2. 网络探测。每一端都使用公共 STUN 服务来发现自己的公网地址（互联网其他部分看到的地址）。接着，为防探测失败，它会向连接服务器申请访问中继（turn.cloudflare.com）的短期凭证。
  3. 路径竞速。双方同时尝试直接 UDP、经 STUN 发现地址的直接 UDP，以及 TLS 中继。最先成功并回应的那种组合胜出。大多数家用网络会在 200 毫秒内选定直接 UDP；受限网络则会在大约 2 秒内回落到 TLS 中继。
  4. 加密的媒体流。路径选定后，每一帧视频、每一次按键、每一段音频采样都会经端到端加密，并通过选定的路径发送。即使走中继路径，中继节点看到的也只是密文。

整个过程对你来说是无感的：客户端只会显示“已连接”。但了解这套流程，有助于理解下一节的防火墙规则。

防火墙上需要放行什么

对于要编写防火墙策略的 IT 团队，下面是 Remio 产生的全部出站流量清单。任何时候都不需要入站规则。

# 出站规则：Remio 客户端和 Remio Host

# 必需：连接建立（仅信令，不含媒体）
ALLOW  TCP/443    ->  relay.remio.net           (TLS WebSocket)

# 必需：中继回退（没有直连路径时传输媒体）
ALLOW  TCP/443    ->  turn.cloudflare.com       (基于 TLS 的 TURN，UDP 被阻断时仍可用)
ALLOW  UDP/3478   ->  turn.cloudflare.com       (基于 UDP 的 TURN，可选，优先使用)
ALLOW  UDP/443    ->  turn.cloudflare.com       (基于 UDP 的 TURN，可选)

# 强烈建议：启用直接点对点连接（延迟更低）
ALLOW  UDP        ->  any (high ports 32768-65535)

# 可选：仅在最初的地址发现阶段使用
ALLOW  UDP/3478   ->  stun.cloudflare.com
ALLOW  UDP/19302  ->  stun.l.google.com

# 无需放行，也从不使用
DENY   any inbound                              (任何时候都不需要入站)

如果你只能放行最低限度的规则，请放行到 relay.remio.net 和 turn.cloudflare.com 的出站 TCP 443 端口：这两条规则就足以让 Remio 端到端运行，只不过走的是中继路径而不是直连。会话依然会以完整画质加密并串流，唯一的代价是延迟。

常见的企业网络场景

现实中的防火墙配置千差万别。下面是各种情形下的预期表现。

默认放行出站（大多数小型办公室、家庭网络）

防火墙放行所有出站 TCP 和 UDP，只封锁特定的恶意地址段。Remio 会在一秒内找到直接 UDP 路径并一直使用。延迟就是你的互联网往返延迟，再加上 3 到 5 毫秒的 Remio 开销。连接类型指示器里会显示直连。

阻断出站 UDP（中型企业、学校）

防火墙放行 TLS 和少数知名协议，但为防止点对点滥用，会整体阻断出站 UDP。Remio 的直接 UDP 探测失败，TLS-443 中继探测成功，会话在约 2 秒内通过中继路径建立。连接类型指示器显示中继。视你与最近的中继节点之间的距离，延迟会增加 30 到 80 毫秒。串流、音频、键盘和输入全都照常工作。

TLS 检查代理（大型企业、金融、医疗）

防火墙会解密每一条出站 TLS 连接、检查内容，再重新加密后转发。这是最棘手的情形，可能出两种问题：

解决办法是把 relay.remio.net 和 turn.cloudflare.com 加入代理的 TLS 检查绕过列表。所有主流的企业代理（Zscaler、Palo Alto、Cisco Umbrella、Check Point、Forcepoint）都支持按域名绕过。流量依然会经过企业防火墙，只是途中不会被解密。IT 团队通常也出于同样的原因，为视频会议应用（Zoom、Teams）添加绕过条目；Remio 适用同样的做法。

强制门户 / 酒店 Wi-Fi

许多酒店和机场使用强制门户，在你接受条款之前阻断所有出站流量。完成认证后，大多数网络会放行正常的 HTTPS，这意味着 Remio 的中继路径可以工作。UDP 则要看运气：有些门户即使登录之后仍然阻断 UDP。如果在酒店 Wi-Fi 上会话感觉迟钝，请查看指示器，它几乎总是显示中继。这没有什么需要修复的，这类网络本来就是这种预期模式。

移动网络中的运营商级 NAT

4G/5G 连接往往位于运营商部署的多层 NAT 之后，使点对点直连变得困难。Remio 会自动处理这种情况：直接 UDP 通常在一个方向上可行（移动客户端连向主机），而中继路径始终可作为回退。在 LTE/5G 上的表现通常相当出色。

确认连接路径

每个 Remio 客户端都会在会话中的数据浮层里显示当前选用的连接路径。从工具栏打开它，图标是一个小小的柱状图。你会看到：

如果你预期是直连，看到的却是中继，说明你所在的网络在路径上的某处阻断了 UDP。会话仍然可用，只是延迟更高。对于你能控制的网络（比如你家的路由器），请检查 QoS 设置，以及某些会破坏 UDP 转发的“游戏模式”开关。

小提示

点按连接路径指示器可查看更多诊断信息，包括两端各自的公网 IP、当前往返延迟，以及正在使用哪个中继区域（如果有的话）。向支持团队反馈连接问题时，这是首先应该查看的内容。

中继能看到什么、不能看到什么

走中继路径时，一个常见的顾虑是隐私：如果我的屏幕要经过一台中继服务器，那里的人能看到吗？不能。原因如下：

完整的加密机制请参阅安全与加密。

连接问题排查

进阶：进一步收紧限制

如果你的安全团队需要尽可能严格的放行名单，下面是仍能让 Remio 端到端运行的最低配置：

# 最小可用的防火墙放行名单
# 仅允许中继模式运行（延迟约 30-80 ms）

OUTBOUND TCP/443   ->  relay.remio.net          # 连接建立
OUTBOUND TCP/443   ->  turn.cloudflare.com      # 中继（基于 TLS 的 TURN）

# 添加以下几条即可启用直接点对点（局域网 3-5 ms，广域网 10-40 ms）
OUTBOUND UDP/3478  ->  stun.cloudflare.com      # 公网地址发现
OUTBOUND UDP/19302 ->  stun.l.google.com        # 公网地址发现（冗余）
OUTBOUND UDP       ->  any (32768-65535)        # 直接媒体路径

仅前两行就足以让应用正常工作，其余每一行都是延迟优化。如果你既要最高的安全性，又要最低的延迟，请放行全部五条。

防火墙与 NAT 常见问题

Remio 需要在我的防火墙上开放入站端口吗？

不需要。Remio 客户端和 Remio Host 都只发起出站连接。路由器上没有什么要开放的，防火墙的入站规则也不需要改动。只要你的网络允许正常的出站网页流量，比如加载网站、使用即时通讯应用，Remio 就能工作。

Remio 使用哪些端口？

连接建立使用到 relay.remio.net 的出站 TCP 443；没有直连路径时，使用到中继（turn.cloudflare.com）的出站流量：能走 UDP 时用 UDP 3478 或 443，UDP 被阻断时用 443 端口的 TCP 或 TLS。直接点对点媒体使用随机高位端口的出站 UDP；公网地址发现使用 UDP 3478（stun.cloudflare.com）和 UDP 19302（stun.l.google.com）。任何一端都不需要入站端口。

Remio 能在阻断 UDP 的企业网络上工作吗？

能。UDP 被阻断时，Remio 会自动回退，通过 443 端口的 TLS 中继媒体，该端口和你的浏览器用于 HTTPS 的端口相同。连接建立会多花不到一秒，并增加约 30 到 80 毫秒的延迟，但会话能够端到端正常工作。无需切换任何设置，回退会自动完成。

我们公司的 IT 团队能检查 Remio 的流量吗？

不能。所有会话媒体都经过端到端加密：你的屏幕从不会经过我们的服务器，即使是中继看到的也只是密文。即便流量通过 443 端口经中继转发，中继转发的也只是加密数据包，无法读取屏幕内容、按键或任何其他数据。企业 TLS 检查代理同样看不到数据流内部，因为媒体是在 TLS 之上的一层加密的。

为什么我的连接在家里能用，在办公室却失败？

企业网络常常整体阻断 UDP，也可能阻断到非白名单主机的出站 TLS。请让 IT 部门放行到 relay.remio.net（连接建立）和 turn.cloudflare.com（UDP 关闭时承载媒体的中继）的出站 TCP 443 端口。这两条就足以让 Remio 在 UDP 被完全阻断时正常工作。

如何查看我的会话是直连还是经中继？

从工具栏打开会话中的数据浮层。每个 Remio 客户端都会在延迟和码率旁边显示连接类型指示器：直连、局域网或中继。直连的感觉更灵敏；经中继的连接会增加大约 30 到 80 毫秒的延迟，具体取决于你与最近的中继节点之间的距离。

Remio 能在 VPN 或零信任代理后面使用吗？

几乎在所有情况下都可以。点对点和中继路径都使用标准的出站 HTTPS，企业 VPN 和零信任代理（Zscaler、Cloudflare WARP、Tailscale、Twingate）都能顺畅放行。有些激进的深度包检测中间设备可能会破坏数据流，解决办法请参阅上方的问题排查部分。

公司的 TLS 拦截会让 Remio 失效吗？

有可能。解密并重新加密所有 TLS 连接的深度包检测代理，有时会剥离部分连接握手内容，或阻断长期保持的媒体流。如果你发现 Remio 只在公司网络上失败，请让 IT 部门把 relay.remio.net 和 turn.cloudflare.com 加入 TLS 检查绕过列表：大多数企业代理（Zscaler、Palo Alto、Cisco Umbrella、Check Point）都支持按域名绕过。

继续探索
指南 局域网直连 局域网直连路径 ↗ 指南 用手机远程唤醒（Wake-on-LAN） 远程唤醒 ↗ 文档 问题排查 出了问题时 ↗
Remio 应用图标

你准备好了，我们随时就绪。

免费使用，不检测商业用途。安装主机端、配对设备，几分钟内即可开始串流。

下载 Remio 返回文档

免费使用无需账号30 秒完成配对