关于RFC 8656中TURN服务器与Peer的传输协议及防火墙适配问题

核心结论 #

如果Peer的防火墙仅拦截未经请求的入站UDP（这是绝大多数防火墙的默认配置），TURN的UDP传输完全可以正常工作；但如果防火墙连出站UDP都彻底拦截，UDP就无法使用，此时TURN确实可以回退到TCP/TLS协议。

关键细节澄清 #

1. TURN并非只能用UDP
   你看到的文档表格描述存在局限性，RFC 8656明确支持TURN服务器与Peer之间使用UDP、TCP、TLS等多种传输协议。CoTurn作为主流的TURN实现，默认就支持UDP和TCP监听，还可以配置TLS加密传输。

2. 防火墙对UDP的拦截逻辑
   大部分防火墙的拦截规则针对的是未经主动请求的入站UDP包，而Peer与TURN服务器之间的UDP通信是Peer主动发起的出站连接，对应的回包属于“已请求的入站流量”，通常会被防火墙允许。只有当防火墙配置了极端规则（完全禁止所有UDP出站）时，UDP才会失效。

3. TCP回退的可行性
   当UDP无法使用时，WebRTC客户端会自动尝试用TCP连接TURN服务器。CoTurn可以通过配置文件开启TCP监听：

   • 在turnserver.conf中设置listening-port-tcp=3478（或其他自定义端口）
   • 若需要更隐蔽的传输，还可以配置TLS监听端口（比如443，这个端口几乎所有防火墙都会放行出站流量）：

     listening-port-tls=443
     cert=/path/to/your/cert.pem
     pkey=/path/to/your/pkey.pem
     

补充说明 #

你看到的文档中“客户端开启防火墙无法通过TCP传输”的描述，大概率是指P2P直连场景下的TCP（因为P2P TCP需要双方主动发起连接，防火墙容易拦截），而非TURN服务器的TCP传输——TURN的TCP是客户端单向连服务器的出站请求，兼容性比P2P TCP好得多。

内容的提问来源于stack exchange，提问作者Nikhil Harisinghani