Drei Wege zum Server

FSRdp läuft auf Ihrem eigenen Server. Damit entscheiden Sie – nicht wir –, wer ihn erreichen kann. Drei Aufbauten decken praktisch jeden Fall ab, vom abgeschotteten Firmennetz bis zum offenen Zugang für jeden Kunden.

Der Unterschied zwischen den drei Aufbauten ist nicht die Software, sondern die Firewall: Welche der drei Ports darf von außen erreicht werden? Alles andere – Räume, Lizenz, Funktionen – bleibt identisch. Diese Seite zeigt jeden Fall als Bild und nennt dazu, was Sie an Portfreigaben und Zertifikaten brauchen.

8888 Hauptkanal – Bild, Chat, Dateien, Fernsteuerung

8889 Audiokanal – Sprache

8890 Browser-Zugang – Teilnehmen ohne Installation

Fall 1

Alles bleibt im Haus

Server, Arbeitsplätze und Browser-Zuschauer sitzen im selben Netz. Nach außen ist kein einziger Port geöffnet – der Server ist aus dem Internet schlicht nicht vorhanden. Der typische Aufbau für Schulungen, Produktionshallen und alles, was das Werksgelände nicht verlassen soll.

Ohne Portfreigabe bleibt jede Sitzung im Haus – auch der Browser-Zugang.

Offen nach außen: nichts
Zertifikat: internes Zertifikat genügt; für den Browser-Zugang muss ihm Ihre interne Zertifizierungsstelle bekannt sein
Teilnehmen kann: wer im Firmennetz ist
Browser-Adresse: interne Adresse, z. B. https://fsrdp.firma.local:8890/

Fall 2

Homeoffice / Außendienst über VPN – auf Wunsch mit Browser-Zugang

Wie Fall 1, nur dass sich Mitarbeiter von unterwegs ins Firmennetz einwählen. Für FSRdp ändert sich dadurch nichts: Wer im VPN ist, ist im Netz, und es bleibt bei null geöffneten FSRdp-Ports.

Sollen auch Kunden teilnehmen, denen Sie keinen VPN-Zugang geben wollen, kommt eine einzige Öffnung dazu: Port 8890. Dann kommt der Kunde im Browser herein, während die beiden Kanäle für Bildschirm, Fernsteuerung und Dateien weiterhin nur intern erreichbar sind. In der Praxis der häufigste Kompromiss.

Der Tunnel endet am VPN-Gateway; von dort ist der Server ein ganz gewöhnlicher Rechner im selben Netz. Gestrichelt oben: die eine Öffnung, die Kunden ohne VPN hereinlässt – ohne sie ist es Fall 1 mit Einwahl.

Offen nach außen: Ihr VPN; optional zusätzlich 8890 – 8888 und 8889 nie
Zertifikat: wie Fall 1; für den geöffneten Browser-Zugang zusätzlich ein öffentlich vertrauenswürdiges Zertifikat (z. B. Let's Encrypt) – ein Browser akzeptiert kein internes
Teilnehmen kann: wer im Firmennetz oder im VPN ist; mit geöffnetem 8890 zusätzlich jeder Browser mit der Raumnummer
Zu beachten: Im VPN muss der Servername aufgelöst werden, den auch sein Zertifikat trägt – eine reine IP-Adresse genügt nicht

Fall 3

Alle drei Ports offen

Der Aufbau für Fernwartung über Firmengrenzen hinweg: Ihr Techniker verbindet sich von zu Hause, der Kunde installiert den Client oder kommt über den Browser – niemand braucht VPN. So betreiben wir derzeit auch unseren eigenen Server.

Zwei Öffnungen, drei Ports – und weiterhin läuft jede Sitzung ausschließlich über Ihren eigenen Server.

Offen nach außen: 8888, 8889 und 8890
Zertifikat: auf den öffentlichen Servernamen ausgestellt und den Clients vertrauenswürdig
Teilnehmen kann: jeder, der die Raumnummer kennt – im Client wie im Browser
Zu beachten: Raumnamen lassen sich für einen Supporter reservieren und mit einem Raum-Passwort schützen

Ausnahme

Live-Untertitel verlassen Ihr Netz

Bei den drei Aufbauten oben geht es darum, wer von außen herein darf. Eine einzige Funktion geht den umgekehrten Weg: Schalten Sie die Live-Untertitel und die Simultanübersetzung ein, schickt Ihr Server das Raum-Audio an den dafür konfigurierten Transkriptionsdienst – in der Voreinstellung ein OpenAI-kompatibler Dienst im Internet. Das gilt unabhängig davon, welche Ports Ihre Firewall hereinlässt, und betrifft damit auch Fall 1.

Die Funktion ist ab Werk aus und muss dreifach freigeschaltet werden: in der Lizenz, in der Serverkonfiguration und mit einem API-Schlüssel. Zusätzlich schaltet der Rauminhaber sie pro Raum ein, und alle Teilnehmer sehen währenddessen einen unübersehbaren Hinweis. Ohne diese Schritte verlässt kein Byte Ihr Netz.

Was hinausgeht: gesprochenes Raum-Audio, sobald jemand spricht – Stille wird gar nicht erst gesendet
Was nicht hinausgeht: Bildschirm, Kamera, Chat und Dateien; der erkannte Text wird nur im Falle einer vom Rauminhaber gestarteten Sitzungsaufzeichnung protokolliert
Wohin: an den in appsettings.json eingetragenen Dienst – auf Wunsch über Ihren Proxy, und die Adresse ist austauschbar
Ihre Pflicht: Beim OpenAI-Standard ist das eine Drittlandübermittlung: eigener Punkt in Ihrer Datenschutzerklärung plus Auftragsverarbeitungsvertrag mit dem Anbieter

In einem Netz ganz ohne Internetzugang – dem strengsten Fall 1 – lässt sich die Funktion folglich nicht nutzen. Lassen Sie sie einfach aus: Jede andere Funktion von FSRdp arbeitet ohne jeden Kontakt nach draußen.

Die drei Fälle nebeneinander

	Fall 1nur intern	Fall 2VPN, 8890 optional	Fall 3alles offen
8888 · 8889 von außen	nein	nein	ja
8890 von außen	nein	optional	ja
Öffentliches Zertifikat nötig	nein	nur mit offenem 8890	für alle drei
Externe Teilnehmer	keine	VPN-Zugang, optional Browser	im Client und im Browser
Fernsteuerung von außen	nein	ja	ja

Der Browser-Zugang überträgt nie Maus und Tastatur – auch in Fall 3 nicht. Fernsteuerung gibt es ausschließlich zwischen installierten Clients, und auch dort nur, wenn der Rauminhaber sie ausdrücklich erteilt.

Was in jedem der drei Fälle gilt

Jede Verbindung ist mit TLS verschlüsselt – auch die rein interne.
Alles läuft über Ihren Server, nie über einen Dienst von uns. Bild, Ton und Dateien werden weitergeleitet, nicht gespeichert. Die eine Ausnahme sind die abschaltbaren Live-Untertitel – siehe oben.
Der Browser-Zugang ist ab Werk ausgeschaltet und muss zusätzlich in der Lizenz freigeschaltet sein. Ob Zuschauer Bild und Ton bekommen, entscheidet der Rauminhaber pro Raum.
Ein Wechsel zwischen den Fällen ist eine Sache der Firewall und einer Einstellung – nicht der Installation.

Server einrichten Welcher Fall passt zu uns? Fragen Sie nach