防火牆與 NAT，簡單搞懂。

大多數使用者使用 Remio 時完全不需要動防火牆設定。這個 App 採用的連線技術，與讓視訊通話 App 能在家用路由器、飯店 Wi-Fi 與企業 VPN 後運作的技術相同，它會自行找出連線路徑。但對於少數處於嚴格封鎖網路、預設情況下會卡住的使用者，本頁就是一站式參考：Remio 實際在網路上傳送什麼、防火牆該開放什麼、如何判讀工作階段中的診斷資訊，以及該對 IT 部門說什麼。

概覽

Remio 採用分層方式連接用戶端與主機。它會先嘗試最快的路徑，再視需要平順地退而求其次。共有三種可能的路徑，優先順序如下：

1. 同一網路內直連：用戶端與主機位於同一個 Wi-Fi 或區域網路。畫面以點對點方式傳送。處理延遲約 8 毫秒，其餘則是你顯示器自身的更新節奏。在家中或單一辦公室網路中就是這種情況。正在使用 Tailscale？在「設定 → 進階 → 網路」的最後，開啟當兩台裝置位於同一個 Tailscale 網路時，透過 Tailscale 連線。
2. 跨網際網路直連（點對點）：用戶端與主機位於不同網路，但各自都能建立對外的 UDP 連線。雙方透過 Remio 的連線伺服器交換公開位址，然後直接將媒體傳給對方。視地理位置而定，額外增加 10 到 40 毫秒的延遲。
3. 中繼備援：當 UDP 被封鎖，或 NAT 過於嚴格而無法直連時，雙方都會對外連線到中繼伺服器（Cloudflare 的全球網路，turn.cloudflare.com）：可以時使用 UDP，UDP 被封鎖時則使用 443 連接埠的 TCP 或 TLS，由中繼伺服器在雙方之間轉送加密的媒體。額外增加 30 到 80 毫秒的延遲。只要 HTTPS 能運作的地方就能使用。

你不需要手動選擇路徑。Remio 會在每個工作階段開始時同時探測這三種路徑，並使用其中成功且最快的一種。如果工作階段中網路改變（例如你從辦公室 Wi-Fi 走到 LTE 網路），Remio 會重新探測並切換路徑，而不會中斷工作階段。

Remio 工作階段如何穿越防火牆

從你在用戶端點按連線的那一刻起，流程如下：

1. 對外的 TLS 連線到連線伺服器。用戶端與主機都會在 443 連接埠上開啟一條對 relay.remio.net 的長期 WebSocket 連線。在工作階段期間，它負責傳送配對握手、offer／answer 交換，以及少量控制流量。任何螢幕或輸入資料都不會經過它。這是標準的 HTTPS，每個企業防火牆都會放行。
2. 網路探測。雙方各自使用公開的 STUN 服務找出自己的公開位址（網際網路其他部分看到的位址）。接著向連線伺服器索取通往中繼（turn.cloudflare.com）的短期憑證，以備探測失敗時使用。
3. 路徑競速。雙方同時嘗試 UDP 直連、透過 STUN 找到的位址進行 UDP 直連，以及 TLS 中繼。先成功並回應的組合勝出。大多數家用網路會在 200 毫秒內選定 UDP 直連；受限的網路則在約 2 秒內退到 TLS 中繼。
4. 加密的媒體傳輸。路徑選定後，每個影像畫面、每次按鍵、每個音訊取樣都會以端對端加密，並透過所選路徑傳送。即使走中繼路徑，中繼節點也只看得到密文。

整個過程對你來說是看不見的，用戶端只會顯示「已連線」。但了解這個流程，能讓下一節的防火牆規則更容易理解。

防火牆該開放什麼

對於撰寫防火牆政策的 IT 團隊，以下是 Remio 產生的完整對外流量清單。永遠不需要任何輸入規則。

# Outbound rules — Remio Client and Remio Host

# Required — connection setup (signaling only, no media)
ALLOW  TCP/443    ->  relay.remio.net           (TLS WebSocket)

# Required — relay fallback (media when no direct path exists)
ALLOW  TCP/443    ->  turn.cloudflare.com       (TURN over TLS — works when UDP is blocked)
ALLOW  UDP/3478   ->  turn.cloudflare.com       (TURN over UDP — optional, preferred)
ALLOW  UDP/443    ->  turn.cloudflare.com       (TURN over UDP — optional)

# Strongly recommended — enables direct peer-to-peer (lower latency)
ALLOW  UDP        ->  any (high ports 32768-65535)

# Optional — used during initial address discovery only
ALLOW  UDP/3478   ->  stun.cloudflare.com
ALLOW  UDP/19302  ->  stun.l.google.com

# Not required, never used
DENY   any inbound                              (nothing inbound is ever needed)

如果你只能開放最低限度，請開放對 relay.remio.net 與 turn.cloudflare.com 的對外 TCP 443 連接埠：這兩條規則就足以讓 Remio 完整運作，只是走中繼路徑而非直連。工作階段仍會以完整品質加密並串流，唯一的代價是延遲。

常見的企業網路情境

實際的防火牆設定差異很大。以下是各種情況下的預期結果。

預設允許對外連線（多數小型辦公室、家用網路）

防火牆放行所有對外的 TCP 與 UDP，只封鎖特定惡意來源的範圍。Remio 會在一秒內找到 UDP 直連路徑並維持在該路徑上。延遲就是你的網際網路往返時間，再加上 3 到 5 毫秒的 Remio 額外負擔。你會在連線類型指示器中看到直連。

對外 UDP 被封鎖（中型企業、學校）

防火牆允許 TLS 與少數知名協定，但為了防止點對點濫用而全面封鎖對外的 UDP。Remio 的 UDP 直連探測失敗，TLS-443 中繼探測成功，工作階段會在約 2 秒內透過中繼路徑建立。連線類型指示器會顯示中繼。視你與最近中繼節點的距離，延遲增加 30 到 80 毫秒。串流、音訊、鍵盤與輸入的運作都相同。

TLS 檢查代理伺服器（大型企業、金融、醫療）

防火牆會解密每個對外的 TLS 連線、檢查內容，再重新加密後轉送。這是最棘手的情況。可能出現兩種問題：

• 代理伺服器無法辨識 Remio 使用的長期媒體型連線，因此在短暫逾時後將它中斷，或將它限速到無法使用的程度。
• 代理伺服器移除了它無法理解的部分連線握手內容，導致 Remio 卡住。

解決方法是把 relay.remio.net 與 turn.cloudflare.com 加入代理伺服器的 TLS 檢查略過清單。所有主流的企業代理（Zscaler、Palo Alto、Cisco Umbrella、Check Point、Forcepoint）都支援依網域略過。流量仍然會經過企業防火牆，只是在途中不被解密。IT 團隊通常也會基於同樣的理由，為視訊會議 App（Zoom、Teams）加入略過條目，Remio 也適用同樣的做法。

強制入口網站／飯店 Wi-Fi

許多飯店與機場使用強制入口網站，在你接受條款之前會封鎖所有對外流量。驗證完成後，大多數會允許一般的 HTTPS，這表示 Remio 的中繼路徑可以運作。UDP 則看運氣，有些入口網站即使登入後仍持續封鎖 UDP。如果在飯店 Wi-Fi 上工作階段感覺遲緩，請查看指示器，幾乎一定會顯示中繼。這沒有什麼需要修復的，這就是這類網路預期的模式。

行動網路上的電信業者級 NAT

4G/5G 連線通常位於電信業者營運的多層 NAT 之後，使得點對點直連較為困難。Remio 會透明地處理這件事：UDP 直連通常在其中一個方向可行（行動用戶端連到主機），而中繼路徑則永遠可作為備援。在 LTE/5G 上的效能通常相當出色。

確認連線路徑

每個 Remio 用戶端都會在工作階段內的統計資料浮層中顯示所選的連線路徑。從工具列開啟，圖示是一個小小的長條圖符號。你會看到：

• 連線：直連表示透過 UDP 的點對點連線。延遲最低。畫面從主機直接傳到用戶端，沒有中間節點。
• 連線：中繼表示流量經由中繼（turn.cloudflare.com）轉送。增加 30 到 80 毫秒的延遲。仍然是端對端加密，中繼只看得到密文。
• 連線：區域網路會在兩端位於同一個區域網路時出現。處理延遲約 8 毫秒（其餘是你顯示器自身的更新節奏），不需要經過網際網路往返。

如果你預期是直連卻看到中繼，表示你所在的網路在路徑上的某處封鎖了 UDP。工作階段仍可運作，只是多了延遲。在你能控制的網路上（例如你家的路由器），請檢查 QoS 設定，以及任何偶爾會破壞 UDP 轉送的「遊戲模式」開關。

中繼能看到與看不到什麼

使用中繼路徑時，常見的疑慮是隱私：如果我的螢幕畫面經過中繼伺服器，那裡的人看得到嗎？看不到。原因如下：

• 端對端加密。每個畫面、每次按鍵、每個音訊取樣，都使用在握手期間衍生的工作階段金鑰加密。只有用戶端與主機持有金鑰。中繼只轉送密文。
• 沒有金鑰託管。Remio 的伺服器絕不會看到或儲存工作階段金鑰。即使擁有中繼記錄的完整存取權並實體控制中繼伺服器，Remio 也無法解密任何使用者的工作階段，無論是過去、現在或未來的。
• 沒有任何可讀取的內容可記錄。中繼只處理加密封包，而 Remio 自己的連線伺服器（relay.remio.net）只傳送連線建立訊息，絕不傳送螢幕、音訊或輸入。
• 企業 TLS 檢查略過同樣適用。由於媒體是在 TLS 之上的一層加密（加密發生在 TLS 為中繼包裝封包之前），因此解密外層 TLS 的企業 TLS 代理仍然只看得到內層的加密內容。任何中間設備都無法讀取你的螢幕畫面。

完整的加密說明請參閱安全性與加密。

連線問題疑難排解

• 「在公司 Wi-Fi 上連線失敗，但在家中可以」：對外的 UDP 被封鎖，且 TLS 中繼路徑也被封鎖或被移除內容。請請 IT 允許對 relay.remio.net 與 turn.cloudflare.com 的對外 TCP 443 連接埠，若有 TLS 檢查代理，也要把這兩個主機名稱加入其略過清單。這樣就能解除中繼路徑的封鎖，工作階段便能端對端運作。
• 「辦公室網路上的延遲遠高於預期」：連線很可能走的是中繼（請查看工作階段內的指示器）。中繼路徑會增加 30 到 80 毫秒。如果 IT 能開放對外的 UDP，Remio 會自動切換到直連路徑，延遲就會降低。
• 「連線建立了，但串流在幾秒後凍結」：這是 TLS 檢查代理的典型症狀，它允許初始握手，卻中斷長期連線。請在 IT 記錄中確認代理伺服器是否中斷了 relay.remio.net 或 turn.cloudflare.com，並為兩者加入略過條目。
• 「其他視訊 App 都正常，只有 Remio 失敗」：幾乎都是 TLS 檢查或深層封包檢查破壞了握手。解決方法相同：請 IT 把 relay.remio.net 與 turn.cloudflare.com 加入檢查略過清單。
• 「有時可以，有時卡在『正在連線』」：relay.remio.net 的 DNS 解析不穩，或企業 DNS 過濾器封鎖了連線伺服器。請在同一台機器上嘗試 nslookup relay.remio.net，應該在一秒內回傳 IP。如果逾時或失敗，瓶頸就在 DNS。
• 「按下連線按鈕沒有反應，沒有錯誤也沒有進度」：對外的 443 連接埠被完全封鎖。這並不常見，但在嚴格受限的網路上會發生。請在瀏覽器中載入 https://relay.remio.net/health 測試；應該會回傳簡短的狀態回應。如果瀏覽器也無法連到，表示防火牆完全封鎖了對該主機的對外 HTTPS。
• 「VPN 用戶端一連線就讓 Remio 壞掉」：有些 VPN 代理程式會擷取包含媒體在內的所有流量，造成卡頓。如果你的 VPN 支援分割通道，請嘗試把 relay.remio.net 與 turn.cloudflare.com 排除在通道之外。

進階：進一步鎖緊設定

如果你的資安團隊需要盡可能最嚴格的允許清單，以下是仍能讓 Remio 端對端運作的最低限度：

# Minimum-viable firewall allowlist
# Allows relay-mode operation only (~30-80 ms latency)

OUTBOUND TCP/443   ->  relay.remio.net          # connection setup
OUTBOUND TCP/443   ->  turn.cloudflare.com      # relay (TURN over TLS)

# Adding these unlocks direct peer-to-peer (3-5 ms LAN, 10-40 ms WAN)
OUTBOUND UDP/3478  ->  stun.cloudflare.com      # public address discovery
OUTBOUND UDP/19302 ->  stun.l.google.com        # public address discovery (redundancy)
OUTBOUND UDP       ->  any (32768-65535)        # direct media path

光是前兩行就足以讓 App 運作，其他每一行都是延遲最佳化。如果你想同時兼顧最高安全性與最低延遲，請五行全部開放。

防火牆與 NAT 常見問題

Remio 需要在我的防火牆上開放輸入連接埠嗎？

不需要。Remio 用戶端與 Remio 主機端都只建立對外連線。你的路由器或防火牆的輸入規則不需要開放任何東西。只要你的網路允許一般的對外網頁流量（載入網站、使用通訊 App），Remio 就能運作。

Remio 使用哪些連接埠？

對 relay.remio.net 的對外 TCP 443 用於連線建立；當沒有直連路徑時，則使用對中繼（turn.cloudflare.com）的對外流量：可以時使用 UDP 3478 或 443，UDP 被封鎖時使用 443 連接埠的 TCP 或 TLS。點對點直連媒體使用隨機高連接埠的對外 UDP；公開位址探測使用 UDP 3478（stun.cloudflare.com）與 UDP 19302（stun.l.google.com）。任何一端都不需要開放輸入連接埠。

Remio 能在封鎖 UDP 的企業網路上運作嗎？

可以。當 UDP 被封鎖時，Remio 會自動退到透過 443 連接埠的 TLS 轉送媒體，也就是你的瀏覽器用於 HTTPS 的同一個連接埠。連線建立會多花不到一秒，並增加約 30 到 80 毫秒的延遲，但工作階段能端對端運作。沒有任何設定需要切換，備援會透明地發生。

我的 IT 團隊能檢查 Remio 的流量嗎？

不能。所有工作階段媒體都是端對端加密的：你的螢幕畫面不會經過我們的伺服器，就連中繼也只看得到密文。即使流量經由 443 連接埠上的中繼，中繼也只轉送加密封包，無法讀取螢幕內容、按鍵輸入或任何其他資料。企業的 TLS 檢查代理同樣看不到串流內部，因為媒體是在 TLS 之上的一層加密。

為什麼我的連線在家中可以，在辦公室卻失敗？

企業網路經常完全封鎖 UDP，也可能封鎖對未列入允許清單主機的對外 TLS。請請 IT 允許對 relay.remio.net（連線建立）與 turn.cloudflare.com（UDP 關閉時承載媒體的中繼）的對外 TCP 443 連接埠。即使 UDP 完全被封鎖，這兩個條目也足以讓 Remio 運作。

我如何檢查我的工作階段是直連還是中繼？

從工具列開啟工作階段內的統計資料浮層。每個 Remio 用戶端都會在延遲與位元率旁顯示連線類型指示器：直連、區域網路或中繼。直連的感覺更流暢；經由中繼的連線則會增加約 30 到 80 毫秒的延遲，視你與最近中繼節點的距離而定。

Remio 能在 VPN 或零信任代理程式後面運作嗎？

幾乎所有情況下都可以。點對點與中繼路徑都使用標準的對外 HTTPS，企業 VPN 與零信任代理程式（Zscaler、Cloudflare WARP、Tailscale、Twingate）都能順利放行。有些積極的深層封包檢查中間設備可能會破壞串流，請參閱上方疑難排解一節的因應方式。

我公司的 TLS 攔截會讓 Remio 無法運作嗎？

有可能。解密並重新加密所有 TLS 連線的深層封包檢查代理，有時會移除部分連線握手內容，或阻擋媒體連線長期存在的特性。如果你發現 Remio 只在公司網路上失敗，請請 IT 把 relay.remio.net 與 turn.cloudflare.com 加入 TLS 檢查略過清單，大多數企業代理（Zscaler、Palo Alto、Cisco Umbrella、Check Point）都支援依網域略過。

相關指南

• 設定 Mac 連 Mac：調整網路路徑前的基本設定。
• 設定 Mac 連 iPad：相同的網路邏輯，使用 iPad 用戶端。
• 將 Windows PC 串流到 Mac：相同的網路邏輯，使用 Windows 主機。
• 區域網路直連：當你想在自己的網路上確保點對點連線時。
• 疑難排解：更全面的連線問題總覽。
• 安全性與加密：端對端加密的完整說明。