部署于Kubernetes的WebRTC媒体服务器NAT穿越失效，求解决办法

一、解决Pod网关不匹配导致的UDP不通问题 #

1. 配置Service的外部流量策略为Local #

默认Kubernetes Service会将流量转发到集群内任意节点的Pod，这可能导致Pod使用节点的默认网关（而非客户端子网对应的网关）与客户端通信。将Service的externalTrafficPolicy设置为Local，可确保流量仅路由到当前节点上的Pod，Pod会使用节点对应客户端子网的网卡和网关进行通信。

示例Service配置：

apiVersion: v1
kind: Service
metadata:
  name: stun-server
spec:
  type: NodePort # 若集群有负载均衡器，可改用LoadBalancer
  externalTrafficPolicy: Local
  selector:
    app: stun-server
  ports:
    - port: 3478
      targetPort: 3478
      protocol: UDP

2. 为Pod配置多网卡或静态路由 #

如果K8s节点配备了双网卡（分别对应云子网和客户端子网），可以通过两种方式调整Pod的路由：

• 使用initContainer为Pod添加静态路由，指定前往客户端子网的流量走对应网卡：

  initContainers:
  - name: set-route
    image: busybox
    command: ["ip", "route", "add", "192.168.0.0/24", "via", "10.0.0.1"] # 替换为实际客户端子网和对应网关
    securityContext:
      privileged: true
  

• 使用Multus等CNI插件为Pod分配多个网卡，让Pod直接使用客户端子网的IP地址与客户端通信，跳过节点网关的路由问题。

二、替代STUN的IP发现方案 #

如果STUN的路由问题难以解决，可以尝试以下IP发现方式：

1. 客户端主动上报本地IP #

客户端通过JavaScript在HTTPS环境下（需用户授权）获取本地网卡IP，再通过WebRTC信令通道将IP和端口发送给媒体服务器。示例代码片段：

// 获取本地IP（仅部分浏览器支持，需HTTPS环境）
async function getLocalIP() {
  const pc = new RTCPeerConnection({ iceServers: [] });
  pc.createDataChannel('');
  await pc.createOffer();
  const candidates = await new Promise(resolve => pc.onicecandidate = e => e.candidate ? resolve(e.candidate) : null);
  const ip = candidates.address;
  pc.close();
  return ip;
}
// 将IP发送到媒体服务器的信令接口
getLocalIP().then(ip => fetch('/signaling/report-ip', { method: 'POST', body: JSON.stringify({ ip }) }));

注意：Chrome的隐私限制可能会隐藏本地IP，需要确保站点在信任列表中，或引导用户授权。

2. 部署TURN服务器作为中继 #

如果STUN无法建立直接UDP连接，改用TURN服务器（如coturn）作为流量中继。客户端和媒体服务器都通过TURN转发媒体流，无需直接通信。部署TURN时需注意：

• 开启中继端口映射，确保客户端能访问TURN的UDP/TCP端口
• 配置TURN服务器的子网路由，使其能访问客户端子网

3. 利用私有网络服务发现 #

若客户端与K8s集群在同一私有网络内：

• 客户端可通过K8s Service的DNS域名直接访问媒体服务器，避免跨子网路由问题
• 媒体服务器可通过私有DNS解析客户端主机名获取IP，无需依赖STUN

三、临时方案的局限性 #

禁用Chrome的anonymize local ips标识仅能临时解决问题，但存在明显缺陷：

• 降低用户隐私安全性
• 仅适用于Chrome浏览器，无法覆盖Firefox、Safari等其他浏览器用户
• 浏览器后续版本可能会限制该设置的修改权限

内容的提问来源于stack exchange，提问作者Gregory