Configurer un pare-feu Juniper

Ce guide explique comment configurer un pare-feu Juniper afin de permettre à Reemo d’utiliser une connexion optimale (direct/udp) et d’éviter tout passage inutile par des relais.

Une configuration correcte réduit la latence et améliore la qualité audio/vidéo des sessions.

Sans cette configuration, Reemo peut toujours fonctionner, mais les connexions passeront par des relais (relay/tcp, relay/udp, websocket) avec des performances réduites.

Avant de commencer, assurez-vous que votre pare-feu Juniper (SRX Series, Junos OS) est correctement installé et accessible via son interface d’administration web.

Connectez-vous ensuite à l’interface avec vos identifiants administrateur.

Note

Cette configuration est donnée à titre d’exemple.

Les écrans et intitulés peuvent varier légèrement selon la version de votre équipement (par ex. Junos OS SRX).

Les noms proposés pour les objets (Reemo_TURN, Reemo_Protocol_in, etc.) sont indicatifs : vous pouvez utiliser vos propres conventions.

Étape 1 : Ajouter les serveurs Reemo

Dans Security > Policy Elements > Zone Address Book, ajoutez les adresses suivantes dans la zone Internet :

• Reemo_TURN :

  • Type : FQDN

  • Domain Name : turn.cloudflare.com

Ajout de l’adresse TURN dans le Zone Address Book.

• Reemo_Signal :

  • Type : FQDN

  • Domain Name : signal.reemo.io

Ajout de l’adresse Signal dans le Zone Address Book.

Aperçu des adresses

Récapitulatif des adresses configurées.

Étape 2 : Créer les applications (services) Reemo

Dans Security > Policy Elements > Applications, créez les applications personnalisées suivantes :

• Reemo_TURN_3478 :

  • Protocole : udp

  • Destination Port : 3478

Application personnalisée : TURN en UDP/3478.

Note

Pour autoriser également le repli TURN/TCP, ajoutez un second terme à cette application avec le protocole tcp sur le même port 3478 (onglet Terms).

• Reemo_Protocol_out :

  • Protocole : udp

  • Source Port : 58200-58400

Application personnalisée : flux sortants de l’Agent Reemo.

• Reemo_Protocol_in :

  • Protocole : udp

  • Destination Port : 58200-58400

Application personnalisée : flux entrants côté navigateur.

Aperçu des applications

Récapitulatif des applications configurées.

Étape 3 : Créer les règles de sécurité

Dans Security > Security Policy, créez les règles suivantes :

Règles globales

• Reemo_TURN :

  • From Zone : internal

  • To Zone : Internet

  • Destination Address : Reemo_TURN

  • Applications : Reemo_TURN_3478, junos-https

  • Action : permit

Autoriser TURN (UDP/3478) et HTTPS vers le serveur TURN.

• Reemo_Signal :

  • From Zone : internal

  • To Zone : Internet

  • Destination Address : Reemo_Signal

  • Applications : junos-https

  • Action : permit

Autoriser HTTPS vers le serveur de signalisation.

Règles côté ordinateur distant (« Reemo Side »)

Ces règles concernent le trafic sortant généré par l’ordinateur distant équipé de l’Agent Reemo. Elles permettent à la machine de communiquer correctement avec le navigateur client via la plage UDP 58200–58400.

• ReemoAgent_out :

  • From Zone : internal

  • To Zone : Internet

  • Source Address : LAN (ordinateur distant)

  • Destination Address : any

  • Applications : Reemo_Protocol_out

  • Action : permit

Autoriser les flux sortants de l’Agent Reemo.

Règles côté navigateur (« Browser Side »)

Ces règles concernent le trafic entrant côté navigateur (poste de l’utilisateur). Elles garantissent que les flux UDP 58200–58400 envoyés par l’Agent Reemo atteignent bien le navigateur.

• ReemoAgent_in :

  • From Zone : internal

  • To Zone : Internet

  • Applications : Reemo_Protocol_in

  • Action : permit

Autoriser les flux UDP entrants côté navigateur.

Aperçu des politiques

Récapitulatif des politiques configurées.

Étape 4 : Configuration NAT (conseillée)

Pour préserver les performances en direct/udp, il est recommandé de

• Désactiver la surcharge de port source (port overloading),

• Activer un comportement persistant (persistent NAT).

1. Ouvrez NAT > Source, puis Global Settings.

2. Désactivez l’option Interface Port-Overloading.

3. Ajoutez des règles spécifiques dans le Source Rule Set principal.

Exemple de configuration NAT.

Exemples de règles NAT

• Reemo_NAT_TestPage_rule (Test vers UDP/3478) :

  • Source : votre sous-réseau interne

  • Protocole : udp

  • Port : 3478

  • Action : Do Source NAT With Egress Interface Address + Persistent

• ReemoAgent_out (flux sortants Agent) :

  • Source : votre sous-réseau interne

  • Protocole : udp

  • Ports : 58200-58400

  • Action : Do Source NAT With Egress Interface Address + Persistent

• ReemoAgent_in (flux entrants côté navigateur) :

  • Source : votre sous-réseau interne

  • Protocole : udp

  • Ports : 58200-58400

  • Action : Do Source NAT With Egress Interface Address + Persistent

Résumé : Ports et adresses à ouvrir

Pour référence rapide, voici un tableau récapitulatif des flux nécessaires au bon fonctionnement de Reemo en direct/udp :

Usage	Protocol	Ports	Destination
Signal server	TCP/UDP	443	signal.reemo.io
TURN server	TCP/UDP	3478	turn.cloudflare.com
TURN server (fallback)	TCP/UDP	443	turn2.reemo.io
Reemo Protocol In	UDP	58200–58400	Navigateur (poste client)
Reemo Protocol Out	UDP	58200–58400 (src → dst dynamique)	Ordinateur distant (Agent Reemo)