Verbindungsmodi erklaert: Lokales Netzwerk vs. Cloudflare Tunnel

Eine der haeufigsten Fragen neuer Tactic Remote Nutzer lautet: „Soll ich den Modus Lokales Netzwerk oder Cloudflare Tunnel verwenden?" Die Antwort haengt davon ab, wie und wo Sie arbeiten. Dieser Beitrag erklaert beide Modi im Detail — wie sie sich architektonisch unterscheiden, ihre Leistungs- und Sicherheitsmerkmale und wie Tactic Remote den Wechsel zwischen ihnen handhabt.

Zwei Modi, eine Oberflaeche

Bevor wir in die technischen Details eintauchen, der wichtigste Punkt: Die iPhone-App funktioniert unabhaengig vom verwendeten Verbindungsmodus identisch. Sitzungsverwaltung, Terminal-Streaming, Genehmigungsworkflows, Push-Benachrichtigungen — all dies funktioniert gleich, egal ob Ihr Telefon im selben Wi-Fi wie Ihr Mac oder ueber ein Mobilfunknetz am anderen Ende des Landes verbunden ist.

Der Verbindungsmodus beeinflusst nur, wie Ihr iPhone die API der Companion-App erreicht. Alles oberhalb der Transportschicht ist identisch.

Modus Lokales Netzwerk

Der Modus Lokales Netzwerk ist die Standardeinstellung und die einfachste Konfiguration. Die Companion-App Ihres Mac bindet ihren HTTP/WebSocket-Server an einen Port in Ihrem lokalen Netzwerk, und Ihr iPhone verbindet sich direkt mit dieser IP-Adresse und diesem Port.

Funktionsweise

1. Die Companion-App startet ihren eingebetteten Server auf Port 48736 (konfigurierbar).
2. Der Mac gibt seine lokale IP-Adresse bekannt (z.B. 192.168.1.42:48736).
3. Das iPhone verbindet sich ueber Ihr lokales Wi-Fi-Netzwerk mit dieser Adresse.
4. Die gesamte Kommunikation laeuft direkt zwischen den beiden Geraeten ueber das lokale Netzwerk — ohne Vermittler.

Leistung

Der Modus Lokales Netzwerk bietet die bestmoegliche Latenz, da Pakete den kuerzesten Weg nehmen: iPhone zum Router zum Mac (oder direkt ueber Wi-Fi Direct in einigen Netzwerkkonfigurationen).

Diese Zahlen gehen von einem Standard-Wi-Fi-Netzwerk zu Hause oder im Buero aus. Ueberlastete Netzwerke (Konferenz-Wi-Fi zum Beispiel) koennen hoehere Latenzen zeigen, aber der Modus Lokales Netzwerk wird im selben Netzwerk immer besser abschneiden als getunnelte Verbindungen.

Sicherheitsprofil

Die Sicherheit des Modus Lokales Netzwerk beruht auf zwei Schichten:

Netzwerkisolierung. Ihr lokales Netzwerk fungiert als Perimeter. Nur Geraete im selben Netzwerk koennen den Port der Companion-App erreichen. Dies ist fuer die meisten Heim- und Bueroumgebungen ausreichend.

Token-Authentifizierung. Jede API-Anfrage erfordert einen Bearer Token. Selbst wenn ein Angreifer in Ihrem lokalen Netzwerk ist, kann er ohne den Token nicht mit der Companion-App interagieren.

Was der Modus Lokales Netzwerk nicht bietet: Schutz gegen ein kompromittiertes Geraet in Ihrem Netzwerk, das auf irgendeine Weise Ihren Token erlangt hat. Fuer Umgebungen, in denen Sie dem lokalen Netzwerk nicht vertrauen koennen (gemeinsame Coworking-Spaces, Hotel-Wi-Fi), wird der Cloudflare Tunnel Modus empfohlen.

Einschraenkungen

• Gleiches Netzwerk erforderlich. Ihr iPhone und Mac muessen im selben Wi-Fi-Netzwerk sein (oder ueber dasselbe LAN erreichbar). Sobald Sie Ihr Heimnetzwerk verlassen, bricht die Verbindung ab.
• IP-Adressaenderungen. Wenn sich die lokale IP Ihres Mac aendert (DHCP-Lease-Erneuerung, erneute Wi-Fi-Verbindung), muessen Sie die Verbindungseinstellungen des iPhones aktualisieren. Der QR-Code-Ablauf mildert dies durch erneutes Scannen ab, aber es bleibt ein manueller Schritt.
• Kein Zugriff ueber Mobilfunk. Mobilfunkdaten werden per Definition nicht zu Ihrem Heimnetzwerk geroutet.

Cloudflare Tunnel Modus

Der Cloudflare Tunnel Modus erstellt eine persistente ausgehende Verbindung von Ihrem Mac zu Cloudflares globalem Edge-Netzwerk. Ihr iPhone verbindet sich mit einer Cloudflare-URL, und Cloudflare leitet den Datenverkehr ueber den Tunnel zurueck zu Ihrem Mac.

Funktionsweise

1. Die Companion-App startet cloudflared als verwalteten Kindprozess mit Ihren Tunnel-Zugangsdaten.
2. cloudflared stellt eine ausgehende Verbindung zum naechsten Cloudflare-Edge-Server her (typischerweise 2-4 gleichzeitige Verbindungen fuer Redundanz).
3. Ihr Tunnel ist unter der von Ihnen konfigurierten URL erreichbar (z.B. claude.yourdomain.com).
4. Das iPhone verbindet sich mit dieser URL. Cloudflare leitet die Anfrage ueber sein Netzwerk an den cloudflared-Prozess auf Ihrem Mac weiter.
5. cloudflared leitet die Anfrage an den lokalen Server der Companion-App weiter.

Die zentrale architektonische Eigenschaft: Ihr Mac akzeptiert nie eingehende Verbindungen aus dem Internet. Der Tunnel ist ausschliesslich ausgehend, was bedeutet: keine Ports zu oeffnen, keine Firewall-Regeln und keine Exposition gegenueber Port-Scannern.

Leistung

Cloudflare Tunnel fuegt messbare Latenz hinzu, da der Datenverkehr ueber Cloudflares Edge-Netzwerk geroutet wird:

Die Latenz variiert je nach Ihrer geografischen Entfernung zum naechsten Cloudflare-Edge-Server. Cloudflare betreibt Standorte in ueber 300 Staedten, sodass die meisten Nutzer in staedtischen Gebieten Latenzen am unteren Ende dieser Bereiche erleben. Nutzer in Regionen mit weniger Cloudflare-Praesenzpunkten koennen hoehere Latenzen erfahren.

In der Praxis ist diese Latenz waehrend der ersten Minuten der Nutzung bemerkbar, wird aber schnell unauffaellig. Die Terminal-Ausgabe scrollt weiterhin fluessig, und Genehmigungsinteraktionen bleiben responsiv genug, dass die meisten Nutzer sie innerhalb von 15 Sekunden nach der Benachrichtigung erledigen.

Sicherheitsprofil

Cloudflare Tunnel bietet in mehreren Punkten eine staerkere Sicherheitsposition als der Modus Lokales Netzwerk:

Keine eingehende Angriffsflaeche. Ihr Mac lauscht nie auf Internetverbindungen. Es gibt nichts zu scannen, nichts per Brute-Force anzugreifen.

TLS-Verschluesselung. Der gesamte Datenverkehr zwischen Ihrem iPhone und Cloudflare sowie zwischen Cloudflare und Ihrem Mac ist mit TLS verschluesselt. In Kombination mit der Token-Authentifizierung von Tactic Remote ergibt dies zwei unabhaengige Sicherheitsschichten.

Cloudflares DDoS- und Bot-Schutz gilt standardmaessig fuer Ihren Tunnel-Endpunkt und bietet zusaetzlichen Schutz gegen automatisierte Angriffe.

Der Kompromiss: Der Datenverkehr laeuft ueber Cloudflares Netzwerk. Obwohl verschluesselt, bedeutet dies, dass Cloudflare ein vertrauenswuerdiger Vermittler ist. Fuer die meisten einzelnen Entwickler ist dies angesichts der Bequemlichkeit ein akzeptabler Kompromiss. Fuer sensible Umgebungen konsultieren Sie unseren Leitfaden Sicherheit und Netzwerkhaertung fuer zusaetzliche Massnahmen.

Einschraenkungen

• Cloudflare-Konto erforderlich. Sie benoetigen ein kostenloses Cloudflare-Konto und eine von Cloudflare verwaltete Domain. Der Tunnel selbst ist kostenlos, aber die anfaengliche DNS-Konfiguration dauert einige Minuten.
• Abhaengigkeit von Cloudflare-Verfuegbarkeit. Wenn Cloudflare einen Ausfall erlebt, ist der Zugang im Tunnel-Modus nicht verfuegbar. Dies ist selten (Cloudflares Verfuegbarkeitsbilanz ist stark), aber erwaehnenswert.
• Hoehere Latenz als im lokalen Modus. Wie oben beschrieben, fuegt jede Interaktion 50-200ms im Vergleich zum Modus Lokales Netzwerk hinzu.

Der QR-Code-Verbindungsablauf

Beide Modi verwenden denselben QR-Code-Ablauf fuer die anfaengliche Kopplung, aber der Inhalt des QR-Codes unterscheidet sich:

QR-Code Lokales Netzwerk kodiert: http://<local-ip>:<port> plus den Authentifizierungs-Token.

QR-Code Cloudflare Tunnel kodiert: https://<your-tunnel-domain> plus den Authentifizierungs-Token.

Die iPhone-App erkennt anhand des URL-Schemas und der Netzwerkeigenschaften, mit welchem Modus sie sich verbindet. Enthaelt der QR-Code eine lokale IP-Adresse, konfiguriert sich die App fuer den Modus Lokales Netzwerk. Enthaelt er eine HTTPS-Domain, konfiguriert sie sich fuer den Cloudflare Tunnel Modus.

Um den Modus zu wechseln, generieren Sie einen neuen QR-Code ueber das Menueleisten-Dropdown der Companion-App und scannen ihn mit Ihrem iPhone. Die App ersetzt die vorherige Verbindungskonfiguration. Der gesamte Moduswechsel dauert weniger als 10 Sekunden.

Vergleich nebeneinander

Empfohlene Nutzungsmuster

Verwenden Sie den Modus Lokales Netzwerk, wenn Sie an Ihrem Schreibtisch oder im selben Netzwerk wie Ihr Mac sind. Die geringere Latenz macht das Terminal-Streaming spuerbar fluessiger, und es gibt keine Abhaengigkeit von Dritten.

Verwenden Sie den Cloudflare Tunnel Modus, wenn Sie Zugriff von ausserhalb Ihres lokalen Netzwerks benoetigen — beim Pendeln, auf Reisen, beim Arbeiten von einem anderen Standort, oder wenn Sie eine Aufgabe zu Hause starten und vom Buero aus ueberwachen moechten.

Verwenden Sie beide, indem Sie Cloudflare Tunnel auf Ihrem Mac konfigurieren, sich aber ueber den Modus Lokales Netzwerk verbinden, wenn Sie zu Hause sind. Die Companion-App kann beide Modi gleichzeitig bedienen. Ihr iPhone kann beide Verbindungsprofile speichern, und der Wechsel zwischen ihnen erfolgt mit einem Tipp in den Verbindungseinstellungen der App.

Viele unserer Nutzer konfigurieren Cloudflare Tunnel einmal als Absicherung und nutzen den Modus Lokales Netzwerk im Alltag. Wenn sie das Haus verlassen, wechseln sie zum Tunnel-Profil. So erhalten sie die beste Latenz, wenn verfuegbar, und Fernzugriff, wenn noetig.

Ausblick

Wir arbeiten an einer automatischen Moduserkennung, die erkennt, wenn sich Ihr iPhone im selben Netzwerk wie Ihr Mac befindet, und lokal routet, mit Fallback auf Cloudflare Tunnel beim Verlassen. Dies wuerde den manuellen Moduswechsel vollstaendig eliminieren. Erste Tests zeigen zuverlaessige Netzwerkerkennung unter iOS, aber Grenzfaelle rund um VPN und Split-Tunnel-Konfigurationen erfordern noch Arbeit.

Fuer Einrichtungsanleitungen siehe Erste Schritte fuer den Modus Lokales Netzwerk und Cloudflare Tunnel Einrichtung fuer die Fernzugriffskonfiguration.