RemoScreen — Anleitung zur Relay-Bereitstellung

Aufgabe des Relays

Geräte versuchen zuerst eine direkte Verbindung. Ist diese nicht möglich, leitet ein Relay Bild, Ton und Eingaben autorisierter Sitzungen weiter. Fügen Sie Ihr Relay auf Mac und iPad unter Verbindungsdienste als Ausweichweg hinzu. Alle Download-, Konfigurations- und Startschritte dieser Anleitung betreffen das Relay.

Download und Vorbereitung

Wählen Sie passend zum Server Linux x86_64 oder ARM64. Das Paket muss remoscreen-service, remoscreen-setup, Vorlagen, diese Anleitung, Versions- und Quellkennungen sowie SHA256SUMS enthalten. Vergleichen Sie die Prüfsumme mit der Veröffentlichungsseite, entpacken Sie in ein neues Versionsverzeichnis und bewahren Sie die vorherige Version auf.

Benötigt werden ein Linux-Server, eine darauf verweisende Domain und ein gültiges HTTPS-Zertifikat für diese Domain. Verwenden Sie ein eigenes Dienstkonto mit minimalen Rechten und ein Verzeichnis für dauerhafte Daten. Programme benötigen Ausführungsrechte; das Zustandsverzeichnis darf nur diesem Konto zugänglich sein, erzeugte Schlüsseldateien benötigen Modus 0600.

Die Beispiele verwenden connect.example.com, HTTPS 8443 und Relay-TCP-Port 9443. Prüfen Sie Domain, Ports, Firewall und Cloud-Sicherheitsgruppen. Ist ein Port belegt, planen Sie einen Reverse-Proxy oder eine andere Bindeadresse, ohne bestehende Dienste zu ersetzen.

Ausweich-Relay initialisieren

Führen Sie das Einrichtungsprogramm als Dienstkonto aus. Ersetzen Sie die Beispieldomain und verwenden Sie ein eigenes Datenverzeichnis dieses Kontos:

./remoscreen-setup -directory /var/lib/remoscreen/relay \
  -role relay -name RemoScreen \
  -control-url https://connect.example.com:8443/v2/control \
  -relay-host connect.example.com -relay-tcp-port 9443

Das Programm erzeugt Dienstidentität, Client-Zugriffsschlüssel und Konfiguration. Bei erneuter Initialisierung müssen die Rolle relay und die ursprüngliche Adresse erhalten bleiben. Bestehende Identitäten werden nicht überschrieben. Löschen Sie für ein Update keine Daten und erzeugen Sie keine neuen Schlüssel.

Ausweich-Relay starten

Verwenden Sie dasselbe Datenverzeichnis und ersetzen Sie die Zertifikatspfade durch tatsächliche, für das Dienstkonto lesbare PEM-Dateien:

./remoscreen-service -service-role=relay \
  -control-listen=:8443 \
  -control-tls-certificate=/etc/remoscreen/fullchain.pem \
  -control-tls-key=/etc/remoscreen/privkey.pem \
  -service-info-config=/var/lib/remoscreen/relay/service-info.json \
  -relay-control-config=/var/lib/remoscreen/relay/relay-control.json \
  -relay-access-keys=/var/lib/remoscreen/relay/relay-access-keys.json \
  -control-revocation-store=/var/lib/remoscreen/relay/revocations.json \
  -control-primary-lock=/var/lib/remoscreen/relay/primary.lock \
  -account-deletion-journal=/var/lib/remoscreen/relay/deletion-journal.json \
  -usage-ledger-store=/var/lib/remoscreen/relay/usage.jsonl \
  -public-host=connect.example.com -tcp-relay-listen=:9443 \
  -tcp-require-local-control-allocation=true \
  -relay-node-id=self-hosted -relay-region=self-hosted \
  -require-commercial-subscription=false

Prüfen Sie den Start zunächst im Vordergrund und verwenden Sie anschließend die Linux-Dienstverwaltung. Die Diensteinheit benötigt das eigene Konto, absolute Programmpfade, dieselben Argumente, das private Datenverzeichnis und einen Neustart bei Fehlern. Starten Sie diesen Dienst nach einer Zertifikatserneuerung neu, damit er das neue Zertifikat lädt.

Auf Mac und iPad hinzufügen

Lesen Sie auf dem Server die private Datei client-connection.json, um Adresse und Client-Zugriffsschlüssel zu erhalten. Geben Sie diese nur über vertrauenswürdige Wege weiter. Öffnen Sie auf jedem Gerät Verbindungsdienste → Server hinzufügen, tragen Sie die Werte ein, prüfen Sie die Dienstidentität und speichern Sie.

Importierbare Einstellungen müssen mit Konfiguration exportieren in der App erzeugt werden. client-connection.json ist ein Einrichtungsergebnis für Administratoren und keine Importdatei. Teilen Sie weder service-info.json, relay-control.json, private TLS-Schlüssel noch das gesamte Datenverzeichnis.

Direktverbindungen bleiben vorrangig. Das Ausweich-Relay wird nur bei erlaubter Relay-Nutzung und fehlender Direktverbindung verwendet.

Bereitstellung überprüfen

Prüfen Sie aus einem anderen Netzwerk das HTTPS-Zertifikat und die signierte Identität unter /v2/service-info. Führen Sie danach die Serverprüfung in der App aus. Verbinden Sie bereits autorisierte Geräte über ein Testnetz ohne Direktverbindung und bestätigen Sie die tatsächliche Nutzung dieses Relays. Prüfen Sie die Protokolle auf Zertifikats- und Zugriffsschlüsselfehler.

Ein laufender Prozess oder erfolgreicher Healthcheck genügt nicht. Prüfen Sie das entfernte Bild, Tastatur, Maus, Dateiübertragung und Wiederverbindung. Die gemeldete Serverversion muss dem ausgelieferten Paket entsprechen.

Aktualisieren, zurücksetzen und deinstallieren

Sichern Sie vor Updates Konfiguration, sämtliche dauerhaften Daten und die bisherigen Programme; notieren Sie die Version. Stoppen Sie den betreffenden Dienst, wechseln Sie zur neuen Version und erhalten Sie Datenverzeichnis und Identität. Wiederholen Sie alle Prüfungen. Bei Fehlern stoppen Sie die neue Version und stellen die vorherige Version samt passender Sicherung wieder her. Beachten Sie bei Datenformatänderungen die Migrationsanleitung der Version.

Deaktivieren und entfernen Sie bei der Deinstallation zunächst die zugehörige Diensteinheit. Über das Löschen von Programmen und Daten muss der Administrator ausdrücklich entscheiden. Daten und Sicherungen bleiben standardmäßig erhalten; Daten anderer Dienste oder Apps dürfen nicht mitgelöscht werden.