Ein eigenes Relay installieren — Docker, Linux oder Windows Server

Worum es geht

Mit einem eigenen Relay laufen alle Verbindungen über Ihren Server statt über browserdesk.de. Es gibt drei Wege: Docker, Linux ohne Docker und Windows Server mit einem MSI. Jeder Weg bringt die Datenbank (PostgreSQL) gleich mit. Diese Seite sagt, welcher Weg passt, was Sie vorher klären müssen und was nach der Installation zu tun ist. Die Befehle selbst stehen in den KB-Artikeln.

Das brauchen Sie

• Einen Server, je nach Weg: - Docker: einen Linux-Server mit Docker und Compose v2 (amd64 oder arm64). - Linux ohne Docker: Ubuntu 22.04 oder 24.04 oder Debian 12 (x86_64) und root-Zugang. - Windows: Windows Server 2019 oder neuer und Administratorrechte. Windows 10/11 geht für Tests.
• Einen Namen, unter dem Geräte und Browser den Server erreichen, zum Beispiel relay.firma.de, und ein TLS-Zertifikat für diesen Namen (zum Beispiel von Let's Encrypt als PFX-Datei).
• Offene Ports eingehend: 9013/tcp (Geräte, Konsole und Web-Zugriff), 3478/udp (TURN) und 5349/tcp (TURN über TLS).
• Eine Lizenz, wenn das Relay gewerblich länger als 30 Tage oder mit mehr als zwei Geräten laufen soll (A5).

So geht's

1. Weg wählen und installieren

2. Zum ersten Mal anmelden

1. Das Start-Kennwort aus der Datei admin-password.txt lesen: - Docker: browserdesk-relay/data/admin-password.txt (der erste Start dauert etwa eine Minute), - Linux: /var/lib/triline/BrowserDesk/Relay/admin-password.txt, - Windows: %ProgramData%\Triline\BrowserDesk\Relay\admin-password.txt.
2. Die Konsole öffnen: https://<Ihr-Server>:9013/admin/. Ein Windows-Relay ohne Zertifikat erreichen Sie zuerst unter http://<Ihr-Server>:9013/admin/. Bei einem selbstsignierten Zertifikat warnt der Browser.
3. Den Benutzernamen leer lassen, das Start-Kennwort eingeben und anmelden. Das ist die Notfall-Anmeldung des Relays.
4. Gleich danach ein benanntes Konto mit zweitem Faktor anlegen und künftig damit arbeiten (B4).

3. Name und Zertifikat einrichten

• Windows: Einstellungen → TLS-Zertifikat → Zertifikat aus dem Windows-Speicher wählen → Binden. Es wirkt nach einem Neustart des Relays.
• Linux und Docker: Einstellungen → Konfiguration → Abschnitt TLS-Zertifikat: Pfad der PFX-Datei und ihr Kennwort eintragen, dann Speichern & Relay neu starten (B3).
• Wählen Sie ein RSA-Zertifikat mit der Kette „ISRG Root X1“. Sonst scheitern die Desktop-Programme beim Verbinden ohne sichtbare Meldung.

4. Von außen erreichbar machen

1. Die Ports aus „Das brauchen Sie“ in der Firewall öffnen. Das Windows-MSI legt die Regeln selbst an.
2. In Einstellungen → Konfiguration → STUN und TURN die „Öffentliche IP“ eintragen, wenn das Relay hinter einer Adressumsetzung (NAT) steht. Leer ermittelt das Relay sie beim Start selbst. Bei Docker gehört die Adresse zusätzlich als PUBLIC_IP in die Datei .env.
3. Lässt Ihre Firewall nur einzelne Ports zu (typisch bei Cloud-Servern), im selben Abschnitt „Relay-Ports von“ und „Relay-Ports bis“ setzen und diesen UDP-Bereich ebenfalls öffnen. Mit 0 wählt das Betriebssystem die Ports.

5. Lizenz, Zugänge, Geräte

1. Lizenz einspielen: A5.
2. Einen Zugang für Ihre Geräte anlegen: Mandanten → Neuer Mandant. In der Konsole heißt der Zugang Mandant.
3. Die Geräte auf Ihr Relay umstellen (C6) und dem Zugang hinzufügen (C2, viele auf einmal: C3).

Daran sehen Sie, dass es geklappt hat

• https://<Ihr-Server>:9013/health antwortet mit "ok":true und der Fassung des Relays.
• Sie können sich an der Konsole anmelden; Einstellungen → Relay-Status zeigt die Fassung.
• Ein Gerät mit der Adresse Ihres Relays erscheint unter Geräte.

Gut zu wissen

• Ohne Lizenz läuft ein neues Relay 30 Tage mit bis zu fünf Geräten, danach dauerhaft mit den zwei zuerst angemeldeten Geräten — nur für die private Nutzung.
• Port 443: browserdesk.de bündelt alles auf Port 443. Ihr Relay lauscht ab Werk auf 9013. Den Port ändern Sie in Konfiguration → Server → „Port“ (beim MSI mit PORT=…). Im Abschnitt STUN und TURN gibt es dazu die Option „turns: auf dem eigenen TLS-Port mitführen (Mux)“. Eine geprüfte Anleitung für ein eigenes Relay auf 443 gibt es noch nicht — schreiben Sie an info@browserdesk.de.
• Kein TLS-Proxy davor. Das Relay wertet die echte Gegenstelle aus, nie einen Kopf wie X-Forwarded-For. Hinter einem Reverse-Proxy, der TLS beendet, sehen Anmelde-Bremsen und vertraute Netze nur den Proxy (B9).
• Schlüssel sichern: Docker legt in .env einen Wert BD_KEYRING_KEY an. Ohne ihn sind alle verschlüsselt gespeicherten Geheimnisse unlesbar — sichern Sie ihn getrennt vom Server (B9).
• Sicherung: Docker sichert man über den Ordner data/; Linux über /var/lib/triline/BrowserDesk/Relay und pg_dump browserdesk; Windows über %ProgramData%\Triline\BrowserDesk\Relay. Mehr in B8.
• Deinstallieren unter Windows entfernt beide Dienste, lässt die Daten unter %ProgramData%\Triline\BrowserDesk\Relay aber stehen.
• Updates: B8. Absichern: B9. Einstellungen ändern: B3.

Wenn es nicht klappt