このドキュメントでは、ネットワーク上で Chrome リモート デスクトップが正常に機能するためのネットワーク要件について説明します。また、Chrome リモート デスクトップ プロトコルの基盤となる詳細と、ピアツーピア（P2P）接続のネゴシエーション プロセスについても説明しています。
このガイドは、制限の厳しいプライベート ネットワークを使用している場合や、ネットワークで Chrome リモート デスクトップが動作しない場合に参照してください。
必要なポートとプロトコルのリスト
Chrome リモート デスクトップの URL 許可ルール
Chrome リモート デスクトップにアクセスするには、ユーザーが以下の特定の URL に移動できる必要があります。ネットワークで、これらの URL へのアウトバウンド アクセスを許可する必要があります。
Google 管理コンソールの [ユーザーとブラウザ] と [管理対象ゲスト セッション] の設定ページで、[URL のブロック] 設定を使用して URL へのアクセスを制御できます。URL の許可またはブロックの方法については、ユーザーまたはブラウザに Chrome のポリシーを設定するをご覧ください。
URLAllowlist ポリシーと URLBlocklist ポリシーについて確認してください。
|
URL |
操作 |
|---|---|
|
instantmessaging-pa.googleapis.com |
許可 |
|
remotedesktop.google.com |
許可 |
|
remotedesktop-pa.googleapis.com |
許可 |
プライベート ネットワークで Chrome リモート デスクトップを使用するために必要な汎用ファイアウォール ルール
Google サービスの IP 範囲の一覧については、Google Cloud ドキュメントをご覧ください。
IP アドレスは場所によって動的に変化します。明示的な IP / ポート / プロトコル ベースのファイアウォール ルールのみを介して接続するデバイスを構成することは可能ですが、IP アドレスの割り当ての動的な動作により、ルールは常に変化します。Google は、www.gstatic.com でホストされているサービスを使用して、さまざまなサービスの現地の IP を動的に検索します。
Chrome リモート デスクトップに不可欠な IP アドレス（74.125.247.128）は、DNS URL がないため、スクリプトによって返されません。これは、TURN/STUN 接続を容易にするために使用されるシグナリング サービスの IP です。詳しくは下記をご覧ください。これは、以下の場合にのみ使用されます。
- [ファイアウォール トラバーサル] が [ファイアウォール トラバーサルを有効にする] に設定されている。
- [リレーサーバーを使用できるようにする] が選択されている。
[ファイアウォール トラバーサル] 設定については、ユーザーまたはブラウザに Chrome のポリシーを設定するをご覧ください。RemoteAccessHostAllowRelayedConnection と RemoteAccessHostFirewallTraversal について確認してください。
|
移動元 |
移行先 |
ポート |
プロトコル |
操作 |
|---|---|---|---|---|
|
プライベート ネットワークの IP 範囲 |
Google サービスの IP 範囲 |
443 + 3478 |
TCP + UDP |
許可 |
|
プライベート ネットワークの IP 範囲 |
プライベート ネットワークの IP 範囲 |
動的範囲。UDP ポート範囲を使用して制限できます。 UDP ポート範囲の設定については、ユーザーまたはブラウザに Chrome のポリシーを設定するをご覧ください。 RemoteAccessHostUdpPortRange ポリシーについて確認してください。 |
TCP + UDP |
許可 |
|
プライベート ネットワークの IP 範囲 |
74.125.247.128 |
ダイナミック レンジ。制限可能。 UDP ポート範囲の設定については、ユーザーまたはブラウザに Chrome のポリシーを設定するをご覧ください。 RemoteAccessHostUdpPortRange ポリシーについて確認してください。 |
TCP + UDP |
許可 |
プロトコルの詳細
Chrome リモート デスクトップの接続タイプは、エンタープライズ ポリシーで構成できます。Chrome リモート デスクトップのクライアントとホスト間の接続は、最初に Google サービスへのウェブ リクエストとしてネゴシエートされます。接続がインスタンス化されると、P2P 接続によってライブ セッションが容易になります。
P2P 接続の種類
P2P 接続は、Interactive Connectivity Establishment（ICE）プロトコルと Web Real-Time Communication（WebRTC）を使用して確立されます。接続モードは、ダイレクト、STUN、TURN / リレーのいずれかです。
- ダイレクト
- 実際の IP を使用して、2 つのデバイスが直接通信します。
- STUN - 管理コンソールで、[ファイアウォール トラバーサル] が [ファイアウォール トラバーサルを有効にする] に設定されています。
- 2 つのデバイスは、それぞれのルーターやファイアウォールを介して公開されたインターネット / サブネットのアドレス指定可能な IP を使用して通信します。
- STUN を有効にするには、ポート 3478 を開き、STUN パケットを許可する必要があります。
- TURN / リレー - 管理コンソールで、[リレー サーバーの使用を有効にする] が選択されています。
- パケットは Google サービスに送信され、Google データセンターを介して接続のもう一方の端に転送されます。
- TURN を有効にするには、UDP / TCP（いずれかまたは両方）のトラフィック用にポート 3478 を開く必要もあります。UDP は TCP よりもパフォーマンスが優れているため、UDP が推奨されます。UDP がブロックされている場合、Chrome リモート デスクトップは TCP にフォールバックします。
管理コンソールのフロー
管理コンソールで Chrome リモート デスクトップ セッションを作成する際のワークフローは次のとおりです。
- 管理コンソールで、管理者が Chrome リモート デスクトップを使用して接続するマシンを選択します。
- クライアント マシンが管理コンソール UI を介してクラウド API にリクエストを送信し、選択したデバイスとのリモート セッションを開始します。
- Google Cloud サービスが管理対象ホストの ChromeOS デバイスにコマンドを送信します。
- 管理対象ホストの ChromeOS デバイスの RemoteCommand サービスは、OAuth アクセス トークンを使用して、新しいサポート ホストのインスタンスを Chrome リモート デスクトップ サービスに登録します。
- Chrome リモート デスクトップのホスト インスタンスは、ホスト ID とシークレット コードの組み合わせであるアクセス コードを返します。
- RemoteCommand サービスは、ホストから管理コンソールにアクセスコードを送信します。
- Google Cloud サービスがクライアントに接続情報を返します。
- クライアントの管理コンソールで、アクセスコードが URL パラメータとして指定された Chrome リモート デスクトップのウェブサイトが開きます。
- 接続は、ポリシー設定に応じて、ダイレクト、STUN、TURN 方式ごとに P2P 設定の手順に沿って行われます。
- ライブビューは、動的に割り当てられたポートで UDP または TCP 経由でストリーミングされます。ポート範囲はエンタープライズ ポリシーで構成できます。
シーケンス図
注: これは説明のみを目的としています。実際の接続の詳細は、これよりも詳細で複雑です。
Chrome Enterprise のポリシーリスト
Chrome リモート デスクトップのポリシーを確認するには、Chrome Enterprise のポリシーリストにアクセスし、[ポリシーを検索] ボックスに「remote」と入力します。[リモート アクセス] セクションに表示されているすべてのポリシーを確認します。