Firewall- und Netzwerkanforderungen für Splashtop On-Prem

Überblick

Splashtop On-Prem ist eine selbst gehostete Fernzugriffslösung. Anders als bei den Cloud-Produkten von Splashtop läuft der gesamte Sitzungsverkehr über Ihren eigenen Splashtop Gateway-Server – während einer Remote-Sitzung ist keine externe Cloud-Relay-Infrastruktur von Splashtop beteiligt. Ihre Firewall-Konfiguration konzentriert sich daher darauf, den Datenverkehr zum und vom Gateway selbst zuzulassen, und nicht darauf, den Zugriff auf Domains von Drittanbietern freizugeben.

Dieser Artikel gilt für alle Splashtop On-Prem-Bereitstellungen, einschließlich Sovereign Cloud-Instanzen (Private Cloud), da diese dieselbe Gateway-Architektur und dieselben Netzwerkanforderungen verwenden.

Hinweis: Wenn Sie die Cloud-Produkte von Splashtop verwenden (Splashtop Business, Splashtop Enterprise usw.), lesen Sie stattdessen den Artikel Was sind die Firewall-Ausnahmen und IP-Adressen der Splashtop-Server/-Dienste?

Kurzübersicht

Die folgenden Abschnitte erläutern diese drei Regeln im Detail.

Gateway-Port (Firewall-Regel erforderlich)

Damit Splashtop On-Prem funktioniert, muss in Ihrer Netzwerk-Firewall nur ein einziger TCP-Port geöffnet werden:

Über diesen einen Port läuft der gesamte Datenverkehr: Client-Authentifizierung, Sitzungs-Relay, Zugriff auf die Webkonsole und die Registrierung der Streamer.

Konfigurierbar: Der Standardport 443 kann in der Gateway-Webkonsole unter System → Netzwerk → Port ändern auf einen anderen Port umgestellt werden. Stellen Sie in diesem Fall sicher, dass der neue Port in Ihren Firewall-Regeln zugelassen und nicht von einem anderen Dienst belegt ist. Alle Streamer und Client-Apps müssen anschließend den neuen Port angeben (z. B. https://gateway-ip:8443).

Anforderungen an Endpunkte (Streamer, Client app und SOS-App)

Häufig wird gefragt, welcher Port auf Streamer- oder Client-Seite geöffnet werden muss. Es gibt keinen separaten Streamer- oder Client-Port. Endpunkte bauen die Verbindung stets selbst ausgehend zum Gateway auf, und zwar über genau den Port, der für das Gateway konfiguriert ist.

Die wichtigsten Punkte für die Firewall-Konfiguration der Endpunkte:

• Auf den Endpunkt-Computern sind keine eingehenden Firewall-Regeln erforderlich. Streamer-Registrierung, Sitzungs-Relay und der Datenverkehr der Remote-Sitzung laufen sämtlich über die ausgehende Verbindung, die der Endpunkt zum Gateway aufbaut.
• Endpunkte benötigen keinen Internetzugang. Sie benötigen lediglich eine Netzwerkroute zum Gateway. Ist das Gateway nur im internen LAN erreichbar, muss es für Endpunkte außerhalb dieses LAN extern veröffentlicht werden – siehe Abschnitt „Das Gateway netzwerkübergreifend erreichbar machen" weiter unten.
• Updates für Streamer und Client app werden vom Gateway heruntergeladen, über dieselbe Verbindung. Ein ausgehender Zugriff auf externe Update-Server ist nicht erforderlich.
• Wenn Endpunkte über einen Proxy verbunden sind, konfigurieren Sie den Proxy in der App selbst, anstatt zusätzliche Ports zu öffnen. Siehe Wie richte ich Proxy-Einstellungen im Splashtop Win/Mac Streamer und im Win-Client ein?

Interne Ports (nur Loopback auf dem Gateway-Server)

Die folgenden Ports werden vom Gateway-Server intern für die Kommunikation zwischen Prozessen verwendet. Sie erfordern keine eingehenden oder ausgehenden Firewall-Regeln, dürfen aber nicht von anderen Anwendungen belegt sein, die auf derselben Maschine laufen:

Das Gateway netzwerkübergreifend erreichbar machen

Wenn Ihre Streamer oder Client-Apps das Gateway von außerhalb des LAN erreichen müssen (z. B. Remote-Mitarbeiter über das Internet), müssen Sie sicherstellen, dass das Gateway über eine erreichbare Adresse verfügt. Gängige Ansätze sind:

• Direkt zugewiesene öffentliche IP-Adresse für den Gateway-Server.
• Portweiterleitung an Ihrer Edge-Firewall oder Ihrem Router – leiten Sie den externen Port an die interne IP-Adresse und den Port des Gateways weiter.
• DMZ-Bereitstellung mit zwei Netzwerkschnittstellen – eine zum internen LAN, eine zum Internet.
• FQDN-Zuordnung – ordnen Sie der öffentlichen IP-Adresse des Gateways einen Domainnamen zu, um die Nutzung zu vereinfachen und die Kompatibilität mit SSL-Zertifikaten sicherzustellen.

Ausführliche Hinweise zur Bereitstellung finden Sie unter So machen Sie Splashtop Gateway aus dem Internet erreichbar.

URL-Pfadpräfixe (für Web Application Firewalls oder Reverse Proxys)

Wenn Ihre Umgebung den Datenverkehr über eine Web Application Firewall (WAF) oder einen Reverse Proxy leitet, die bzw. der nach URL-Pfaden filtert oder diese prüft, müssen die folgenden Pfadpräfixe auf dem Gateway zugelassen werden:

Wenn Sie keine WAF und keine pfadbasierte Filterung einsetzen, werden diese Präfixe automatisch über den einzelnen Dienstport des Gateways bereitgestellt und es ist keine zusätzliche Konfiguration erforderlich.

Reverse Proxys und WebSocket-Unterstützung: Das Gateway ist auf WebSocket-Verbindungen angewiesen. Wenn Ihr Proxy oder Ihre Sicherheitsebene diese terminiert oder herabstuft, können Sitzungen möglicherweise nicht aufgebaut werden. Siehe WebSocket-Verbindungen: Splashtop Gateway hinter modernen Sicherheitsebenen optimieren.

Ausgehender Internetzugang

Splashtop On-Prem benötigt keinen Internetzugang für den Datenverkehr von Remote-Sitzungen oder für Software-Updates – Updates für Streamer und Client-Apps werden vom Gateway selbst gehostet und verteilt.

Je nach Lizenztyp ist jedoch auf dem Gateway ein ausgehender Internetzugang für die Lizenzvalidierung erforderlich:

• Online-Lizenz – das Gateway muss die Lizenzserver von Splashtop dauerhaft erreichen können, um Ihre Lizenz zu validieren. Lassen Sie ausgehenden Datenverkehr zu *.splashtop.com über Port 443 zu.
• Offline-Lizenz – nach der Aktivierung benötigt das Gateway keinen Internetzugang. Diese Option eignet sich für Umgebungen, die vollständig isoliert (air-gapped) bleiben müssen. Wenden Sie sich für die Aktivierung einer Offline-Lizenz an den Splashtop-Support.

Diese Anforderung gilt ausschließlich für das Gateway. Streamer und Client-Apps nehmen niemals direkt Kontakt zu Splashtop-Servern auf.

Konnektivität prüfen

Die Konnektivität von Splashtop On-Prem lässt sich einfach überprüfen, indem Sie vom Endpunktgerät aus die Gateway-Webkonsole aufrufen. Führen Sie diesen Test auf dem Streamer- oder Client-Computer aus, bei dem das Verbindungsproblem auftritt – nicht auf dem Gateway selbst.

1. Öffnen Sie auf dem betreffenden Gerät einen Browser.
2. Rufen Sie https://<gateway-address>:<port> auf (z. B. https://192.168.1.100 oder https://gateway.company.com).
3. Wird die Anmeldeseite des Gateways geladen, ist der Netzwerkpfad frei.
4. Lädt die Seite nicht, prüfen Sie, ob der Port des Gateways in der Firewall zugelassen ist und ob die richtige IP-Adresse/der richtige FQDN sowie der richtige Port verwendet werden.

Sie können den Test auch über die Befehlszeile durchführen:

# Windows PowerShell
Test-NetConnection -ComputerName <gateway-address> -Port 443

# macOS / Linux
curl -Ik https://<gateway-address>:<port>

Zusammenfassung

Für eine Splashtop On-Prem-Bereitstellung gelten die folgenden Mindestanforderungen an die Firewall:

Auf dem Gateway-Server:

• Lassen Sie TCP-Port 443 (oder Ihren konfigurierten Port) eingehend und ausgehend zur bzw. von der IP-Adresse des Gateway-Servers zu.
• Stellen Sie sicher, dass die Loopback-Ports 9080, 5432, 7080, 7081 und 5080 auf der Gateway-Maschine nicht belegt sind.
• Lassen Sie ausgehenden Datenverkehr zu *.splashtop.com über Port 443 für die Online-Lizenzvalidierung zu. (Bei Offline-Lizenzen nicht erforderlich.)

Auf Streamer-, Client- und SOS-Endpunkten:

• Lassen Sie ausgehend TCP 443 (oder Ihren konfigurierten Port) zur IP-Adresse oder zum FQDN des Gateways zu.
• Es sind keine eingehenden Firewall-Regeln erforderlich.
• Lassen Sie eingehend TCP 6783 aus dem lokalen Netzwerk nur dann zu, wenn Sie LAN-Direktverbindungen nutzen.