Android WebRTC跨ISP无法建立Peer连接——添加TURN后仍失败求助

遇到这种TURN服务器Trickle ICE测试正常，但实际应用里部分网络还是连不上的情况，我之前踩过不少坑，咱们一步步排查解决：

1. 先确认TURN服务器的网络端口是否完全开放 #

AWS实例的安全组和Ubuntu本地防火墙（ufw）是最容易忽略的点：

• 确保安全组开放了3478（TCP/UDP）（TURN默认端口）和5349（TCP/UDP）（TLS加密端口），同时要开放turn.conf里配置的min-port到max-port的端口范围（中继用的媒体端口）。
• 用命令测试端口可达性：

  # 测试TCP端口
  nc -zv <你的TURN服务器IP> 3478
  # 测试UDP端口
  nc -zvu <你的TURN服务器IP> 3478
  

• 很多ISP会封锁UDP端口，这时候要强制应用使用TCP或TLS连接TURN服务器，修改代码里的TURN URL：

  // 改用TCP传输
  iceServers.add(PeerConnection.IceServer.builder("turn://<TURN_IP>:3478?transport=tcp")
          .setUsername("TURN_USER_NAME").setPassword("TURN_PASSWORD").createIceServer());
  // 或者用加密的TLS端口
  iceServers.add(PeerConnection.IceServer.builder("turns://<TURN_IP>:5349")
          .setUsername("TURN_USER_NAME").setPassword("TURN_PASSWORD").createIceServer());
  

2. 检查TURN服务器的认证配置是否匹配 #

如果你的coturn用了长期密码认证（lt-cred-mech），要确保：

• turn.conf里添加了user=TURN_USER_NAME:TURN_PASSWORD，和代码里的用户名密码完全一致。
• 如果用的是临时凭证（基于时间戳的哈希认证），固定用户名密码会失效，需要在应用里动态生成凭证：
  比如先在turn.conf里开启use-auth-secret和static-auth-secret=你的密钥，然后用以下逻辑生成用户名和密码：

  // 生成带有效期的用户名（当前时间+1小时）
  String username = String.valueOf(System.currentTimeMillis() / 1000 + 3600);
  // 用HMAC-SHA1生成密码哈希
  String password = generateHmacSha1(username, "你的static-auth-secret");
  // 然后配置IceServer
  iceServers.add(PeerConnection.IceServer.builder(TURN_SERVER_1)
          .setUsername(username).setPassword(password).createIceServer());
  

3. 验证ICE候选的收集与优先级 #

开启WebRTC的详细日志，确认应用是否真的收集到了TURN的relay类型候选：

• Android端可以开启内部追踪器：

  PeerConnectionFactory.initialize(PeerConnectionFactory.InitializationOptions.builder(context)
          .setEnableInternalTracer(true).createInitializationOptions());
  

  然后查看logcat里的ICE日志，搜索relay关键词，确认有没有成功获取中继候选。
• 有些网络下，STUN的反射候选可能无法连通，但WebRTC会优先尝试这些候选，导致没轮到TURN就失败。可以尝试调整ICE传输策略为relay（强制只用TURN中继）来测试：

  PeerConnection.RTCConfiguration rtcConfig = new PeerConnection.RTCConfiguration(iceServers);
  rtcConfig.iceTransportsType = PeerConnection.IceTransportsType.RELAY;
  

  （注意：这只是测试用，生产环境建议用默认的ALL策略）

4. 检查TURN的Realm配置是否一致 #

如果coturn的turn.conf里设置了realm=你的域名或IP，那么代码里的IceServer需要同步设置Realm：

iceServers.add(PeerConnection.IceServer.builder(TURN_SERVER_1)
        .setUsername("TURN_USER_NAME").setPassword("TURN_PASSWORD")
        .setRealm("你的realm值").createIceServer());

Realm不匹配会导致TURN认证失败，进而无法获取中继候选。

5. 抓包确认TURN服务器的中继数据传输 #

如果以上步骤都没问题，用Wireshark在TURN服务器上抓包，查看是否有来自两个设备的中继数据请求：

• 过滤规则：udp port 3478 or tcp port 3478
• 确认设备是否成功和TURN服务器建立了中继连接，以及数据是否被正确转发。

内容的提问来源于stack exchange，提问作者niranj1997