In diesem Dokument werden die Netzwerkanforderungen beschrieben, die erfüllt sein müssen, damit Chrome Remote Desktop in Ihrem Netzwerk ordnungsgemäß funktioniert. In diesem Dokument werden auch einige zugrunde liegende Details des Chrome Remote Desktop-Protokolls und des P2P-Verhandlungsverfahrens (Peer-to-Peer) beschrieben.
Verwenden Sie diesen Leitfaden, wenn Sie ein sehr restriktives privates Netzwerk haben und/oder Probleme haben, Chrome Remote Desktop in Ihrem Netzwerk zum Laufen zu bringen.
Liste der erforderlichen Ports und Protokolle
Regeln für zulässige URLs für Chrome Remote Desktop
Um auf Chrome Remote Desktop zuzugreifen, müssen Nutzer die unten aufgeführten URLs aufrufen können. Ihr Netzwerk muss ausgehenden Zugriff auf diese URLs zulassen.
Auf den Einstellungsseiten Nutzer und Browser und Verwaltete Gastnutzersitzungen in der Google Admin-Konsole können Sie mit der Einstellung URL-Blockierung den Zugriff auf URLs steuern. Informationen zum Zulassen oder Blockieren von URLs finden Sie im Hilfeartikel Chrome-Richtlinien für Nutzer oder Browser festlegen.
|
URL |
Aktion |
|---|---|
|
instantmessaging-pa.googleapis.com |
Zulassen |
|
remotedesktop.google.com |
Zulassen |
|
remotedesktop-pa.googleapis.com |
Zulassen |
Allgemeine Firewallregeln, die für Chrome Remote Desktop in privaten Netzwerken erforderlich sind
Eine Liste der IP-Bereiche von Google-Diensten finden Sie in der Google Cloud-Dokumentation.
IP-Adressen sind je nach Standort dynamisch. Es ist zwar möglich, ein Gerät zu haben, das nur über explizite IP-/Port-/Protokoll-basierte Firewallregeln verbunden ist, die Regeln sind jedoch aufgrund des dynamischen Verhaltens der IP-Adresszuweisungen ein sich ständig änderndes Ziel. Google verwendet einen Dienst, der unter www.gstatic.com gehostet wird, um dynamisch lokalisierte IP-Adressen für verschiedene Dienste zu suchen.
Eine für Chrome Remote Desktop wichtige IP-Adresse wird vom Script nicht zurückgegeben, da sie keine DNS-URL hat: 74.125.247.128. Dies ist die IP-Adresse für den Signalisierungsdienst, der zur Unterstützung von TURN/STUN-Verbindungen verwendet wird (siehe unten). Diese wird nur verwendet, wenn:
- Firewallüberschreitung ist auf Firewallüberschreitung aktivieren festgelegt und
- Verwendung von Relay-Servern aktivieren ist ausgewählt.
Informationen zur Einstellung Firewallüberschreitung finden Sie unter Chrome-Richtlinien für Nutzer oder Browser festlegen. Weitere Informationen finden Sie unter RemoteAccessHostAllowRelayedConnection und RemoteAccessHostFirewallTraversal.
|
Quelle |
Ziel |
Port |
Protokoll |
Aktion |
|---|---|---|---|---|
|
IP-Bereich des privaten Netzwerks |
IP-Bereiche für Google-Dienste |
443 + 3478 |
TCP + UDP |
Zulassen |
|
IP-Bereich des privaten Netzwerks |
IP-Bereich des privaten Netzwerks |
Dynamischer Bereich, der mit dem UDP-Portbereich eingeschränkt werden kann. Informationen zur Einstellung UDP-Portbereich finden Sie im Hilfeartikel Chrome-Richtlinien für Nutzer oder Browser festlegen. Weitere Informationen zur Richtlinie „RemoteAccessHostUdpPortRange“ |
TCP + UDP |
Zulassen |
|
IP-Bereich des privaten Netzwerks |
74.125.247.128 |
Dynamischer Bereich, der begrenzt werden kann. Informationen zur Einstellung UDP-Portbereich finden Sie im Hilfeartikel Chrome-Richtlinien für Nutzer oder Browser festlegen. Weitere Informationen zur Richtlinie „RemoteAccessHostUdpPortRange“ |
TCP + UDP |
Zulassen |
Protokolldetails
Chrome Remote Desktop-Verbindungstypen können über Unternehmensrichtlinien konfiguriert werden. Verbindungen zwischen dem Chrome Remote Desktop-Client und dem Host werden anfangs über Webanfragen an Google-Dienste ausgehandelt. Sobald eine Verbindung hergestellt wurde, wird die Live-Sitzung über eine P2P-Verbindung ermöglicht.
P2P-Verbindungstypen
P2P-Verbindungen werden über das ICE-Protokoll (Interactive Connectivity Establishment) und WebRTC (Web Real-Time Communication) hergestellt. Der Verbindungsmodus ist entweder „Direkt“, „STUN“ oder „TURN/Relay“.
- Direkt
- Die beiden Geräte kommunizieren direkt über ihre tatsächlichen IP-Adressen.
- STUN: In der Admin-Konsole ist Firewallüberschreitung auf Firewallüberschreitung aktivieren festgelegt.
- Die beiden Geräte kommunizieren über die über ihre jeweiligen Router/Firewalls bereitgestellten IP-Adressen, die über das Internet/Subnetz erreichbar sind.
- Wenn Sie STUN aktivieren, müssen Sie Port 3478 öffnen und STUN-Pakete zulassen.
- TURN/Relay: In der Admin-Konsole ist Verwendung von Relay-Servern aktivieren ausgewählt.
- Pakete werden an einen Google-Dienst gesendet und über Google-Rechenzentren an das andere Ende der Verbindung weitergeleitet.
- Wenn Sie TURN aktivieren, müssen Sie auch Port 3478 für UDP- und / oder TCP-Traffic öffnen. UDP wird aufgrund der besseren Leistung gegenüber TCP bevorzugt. Chrome Remote Desktop greift auf TCP zurück, wenn UDP blockiert ist.
Ablauf in der Admin-Konsole
Wenn Sie eine Chrome Remote Desktop-Sitzung in der Admin-Konsole erstellen, sieht der Workflow so aus:
- In der Admin-Konsole wählt der Administrator den Computer aus, zu dem er über Chrome Remote Desktop eine Verbindung herstellen möchte.
- Der Clientcomputer sendet über die Admin Console-Benutzeroberfläche eine Anfrage an die Cloud API, um eine Remotesitzung mit dem ausgewählten Gerät zu starten.
- Google Cloud-Dienst sendet einen Befehl an das verwaltete ChromeOS-Gerät.
- Der RemoteCommand-Dienst auf dem verwalteten ChromeOS-Hostgerät registriert eine neue Support-Hostinstanz beim Chrome Remote Desktop-Dienst mithilfe eines OAuth-Zugriffstokens.
- Die Chrome Remote Desktop-Hostinstanz gibt einen Zugriffscode zurück, der eine Kombination aus der Host-ID und einem Geheimcode ist.
- Der RemoteCommand-Dienst sendet den Zugriffscode vom Host an die Admin-Konsole.
- Der Google Cloud-Dienst gibt Verbindungsinformationen an den Client zurück.
- In der Client-Admin-Konsole wird die Chrome Remote Desktop-Website mit dem Zugriffscode als URL-Parameter geöffnet.
- Die Verbindung wird je nach Ihren Richtlinieneinstellungen über die P2P-Einrichtungsschritte gemäß den Methoden „Direkt“, „STUN“ oder „TURN“ hergestellt.
- Die Live-Ansicht wird über UDP oder TCP auf einem dynamisch zugewiesenen Port gestreamt. Der Portbereich kann über eine Unternehmensrichtlinie konfiguriert werden.
Sequenzdiagramm
Hinweis: Dient nur zur Veranschaulichung. Die tatsächlichen Verbindungsdetails sind ausführlicher und komplexer.
Liste der Chrome Enterprise-Richtlinien
Wenn Sie nach Chrome Remote Desktop-Richtlinien suchen möchten, rufen Sie die Liste der Chrome Enterprise-Richtlinien auf und geben Sie im Feld Richtlinien suchen den Begriff remote ein. Sehen Sie sich alle Richtlinien im Abschnitt Remotezugriff an.