如何强制WebRTC使用DTLS 1.3替代DTLS 1.2？

一、原生libwebrtc环境配置 #

如果你的桌面端是基于原生libwebrtc开发的，可从编译和运行时两个层面配置：

编译阶段 #

• 确认WebRTC版本：M79及以上版本已原生支持DTLS 1.3，确保使用对应版本。
• 启用DTLS 1.3编译开关：在GN编译参数中添加rtc_enable_dtls13=true，强制编译时开启DTLS 1.3支持。
• 依赖库检查：WebRTC默认使用BoringSSL，新版本BoringSSL已内置DTLS 1.3支持，无需额外调整。

运行阶段 #

初始化PeerConnection时，通过RTCConfiguration强制指定DTLS版本：

webrtc::PeerConnectionInterface::RTCConfiguration config;
// 限制仅使用DTLS 1.3
config.dtls_version = webrtc::DtlsVersion::DTLSv13;
// 传入配置创建PeerConnection
auto peer_connection = peer_connection_factory->CreatePeerConnection(config, nullptr, nullptr, this);

二、Electron/Chromium系桌面应用 #

若基于Electron或Chromium封装WebRTC应用，可通过Chromium命令行参数强制启用DTLS 1.3：

代码中配置（Electron主进程） #

const { app } = require('electron');

// 启用DTLS 1.3并禁用DTLS 1.2
app.commandLine.appendSwitch('enable-features', 'Dtls13');
app.commandLine.appendSwitch('disable-features', 'Dtls12');

app.whenReady().then(() => {
  // 启动应用窗口逻辑
});

命令行启动参数 #

直接在启动应用时添加参数：

# Windows
your-app.exe --enable-features=Dtls13 --disable-features=Dtls12

# Linux
./your-app --enable-features=Dtls13 --disable-features=Dtls12

三、Linux平台OpenSSL适配 #

如果你的Linux客户端基于系统OpenSSL（而非WebRTC默认BoringSSL）编译：

• 确认OpenSSL 3.0.2已开启DTLS 1.3支持（OpenSSL 1.1.1+原生支持，3.0.2完全兼容）。
• 编译WebRTC时指定使用系统OpenSSL，同时参考原生libwebrtc的运行时配置，强制设置DTLS版本为1.3。

四、验证配置生效 #

修改完成后，用Wireshark抓包验证：

• 过滤dtls协议，查看Client Hello的Version字段是否为DTLS 1.3 (0xfefd)，Server Hello的版本需与客户端一致。

内容的提问来源于stack exchange，提问作者Lugalkiennn