如何为 WebRTC 设置安全的 TURN 服务器（Coturn）

如果你曾使用 WebRTC 构建过语音或视频通话功能，想必听说过 TURN 服务器。它们是幕后英雄，即使用户位于严格的防火墙、移动网络或企业 NAT 之后，也能确保你的通话连接。

事实上，WhatsApp Business、Google Meet、Zoom等众多实时通信系统均采用这项技术。本文讲介绍如何自行部署 TURN 服务器——实现安全、私密且具备生产环境就绪性的解决方案。

什么是TURN服务器？以及为何需要它

TURN（基于中继穿越NAT技术）是 WebRTC ICE 框架的重要组成部分。当两个用户尝试建立连接时，浏览器会首先通过 STUN 服务器尝试建立直接点对点连接。但当双方都位于限制性 NAT 网络后方时，此方法会失败——这时就需要 TURN 服务器介入。

TURN 服务器在双方用户间中继音视频流量，确保通话得以建立。

若无TURN服务器：

使用 4G/5G 或企业 Wi-Fi 的用户可能会遇到通话失败的情况。
文件传输和数据通道可能会卡住或根本无法启动。

正因如此，WhatsApp Business、Telegram 和 Google Meet 等应用均在后台依赖TURN，它正是保障实时通信可靠性的桥梁。

设置 TURN 服务器

步骤 1：准备环境

Kubernetes 集群（EKS、GKE 或 K3s）
指向节点或负载均衡器的 DNS 记录（例如 turn.example.com）
用于凭证的 Kubernetes 密钥

创建密钥（此操作可避免敏感数据出现在 YAML 文件中）：

kubectl create secret generic turn-secret \
  --from-literal=TURN_USERNAME=myturnuser \
  --from-literal=TURN_PASSWORD=supersecurepassword \
  -n namespace

步骤 2：Coturn Pod 配置

以下是一个干净的、可用于生产环境的清单文件，其中已移除所有运行时元数据：

apiVersion: v1
kind: Pod
metadata:
  name: coturn
  namespace: rtc
  labels:
    app: coturn
spec:
  hostNetwork: true
  dnsPolicy: ClusterFirstWithHostNet
  containers:
    - name: coturn
      image: coturn/coturn:4.7.0
      imagePullPolicy: Always
      args:
        - -n
        - --log-file=stdout
        - --fingerprint
        - --lt-cred-mech
        - --realm=your-domain.com
        - --user=$(TURN_USERNAME):$(TURN_PASSWORD)
        - --listening-port=3478
        - --min-port=49152
        - --max-port=65535
        - --external-ip=YOUR_PUBLIC_IP/YOUR_INTERNAL_IP
      ports:
        - name: udp-3478
          containerPort: 3478
          hostPort: 3478
          protocol: UDP
      env:
        - name: TURN_USERNAME
          valueFrom:
            secretKeyRef:
              name: turn-secret
              key: TURN_USERNAME
        - name: TURN_PASSWORD
          valueFrom:
            secretKeyRef:
              name: turn-secret
              key: TURN_PASSWORD
  restartPolicy: Always

执行：

kubectl apply -f coturn-pod.yaml

运行后，你的 TURN 服务器即已上线并准备就绪。

步骤 3：隐藏敏感信息

不希望公开暴露域名、节点IP或凭证，以下是保护隐私的方法：

使用负载均衡器或 CloudFront 代理隐藏节点真实 IP。
使用中立子域名（如 relay.example.net）替代应用程序域名。
禁用详细日志记录，防止凭证出现在标准输出中。
始终使用 Kubernetes Secrets 注入环境变量——切勿硬编码凭证。

若在 AWS 部署，请将 Coturn 节点置于网络负载均衡器(NLB)之后，或分配弹性 IP 地址以保持节点私密性但可访问。

步骤 4：配置应用环境

现在在应用程序或 .env 文件中设置 TURN 配置：

TURN_URL=turn:relay.example.net:3478
TURN_USERNAME=myturnuser
TURN_PASSWORD=supersecurepassword

然后将其添加到你的 WebRTC 配置中：

const pc = new RTCPeerConnection({
  iceServers: [
    {
      urls: 'turn:relay.example.net:3478',
      username: TURN_USERNAME,
      credential: TURN_PASSWORD
    }
  ]
});

现在，你的用户可通过你的 TURN 中继建立连接，即使位于 NAT 或企业防火墙之后。