RTPEngine DTLS密钥不匹配致通话30秒中断，寻求技术支持

问题背景 #

当前架构链路：

• SIP流：FreeSWITCH → OpenSIPS（WSS协议）→ Chrome端JSSIP/WebRTC客户端
• RTP流：FreeSWITCH → RTPEngine → Chrome端JSSIP/WebRTC客户端

客户端已成功注册至OpenSIPS，SIP协议转换环节正常，但RTPEngine与JSSIP客户端间媒体传输异常，FreeSWITCH因检测不到媒体流在30秒后自动挂断通话。核心错误日志如下：

ERR [crypto] Failed to init DTLS connection: key values mismatch 
WARNING [core] ICE restart detected, but reset not allowed at this point
ERR [rtcp] SRTCP output wanted, but no crypto suite was negotiated

排查与解决方案 #

1. 调整RTPEngine的DTLS与加密配置 #

当前rtpengine_flags仅禁用SDES加密，但未明确启用WebRTC依赖的DTLS-SRTP，导致密钥协商失败。建议修改参数：

$var(rtpengine_flags) = "RTP/SAVPF SDES-no DTLS=force rtcp-mux-offer replace-session-connection replace-origin ICE=permissive address-family=IP4 out-iface=pub in-iface=pub crypto-suite=AES_CM_128_HMAC_SHA1_80";

• 添加DTLS=force强制启用DTLS握手，替代SDES加密
• 指定crypto-suite=AES_CM_128_HMAC_SHA1_80明确加密套件，确保与JSSIP客户端兼容
• 将ICE=force改为ICE=permissive，放宽ICE重启的限制策略

2. 启用RTPEngine的ICE重启允许 #

日志提示ICE重启被禁止，需修改RTPEngine核心配置文件（如/etc/rtpengine/rtpengine.conf），添加或调整：

allow-ice-restart=yes

该配置允许RTPEngine在检测到ICE重启请求时重置会话，避免协商中断。

3. 验证OpenSSL环境兼容性 #

结合源码排查结果，需确认：

• RTPEngine依赖的OpenSSL版本（建议1.1.1及以上）是否支持Chrome/JSSIP使用的DTLS 1.2+协议及密钥交换算法
• 编译RTPEngine时是否启用--enable-dtls和--enable-srtp选项，确保DTLS-SRTP模块正常加载

4. 抓包与日志深度分析 #

• 抓取RTPEngine与客户端间的DTLS握手包，定位密钥交换阶段的不匹配节点（如客户端/服务端密钥参数不一致）
• 查看RTPEngine独立日志（如/var/log/rtpengine/rtpengine.log），获取DTLS错误的详细堆栈信息，精准定位问题根源

内容的提问来源于stack exchange，提问作者Chris Zhang