SIP/RTP如何判定两个通信端点处于同一局域网？

• 核心判定依据来自SDP报文中的候选地址：所有支持ICE协商的SIP端点，在INVITE、200OK这类携带SDP的信令中，会同时上报两类媒体地址：一类是通过STUN探测、注册流程暴露给平台的公网映射地址，另一类是终端本地网卡配置的私网IP地址（覆盖10.0.0.0/8、172.16.0.0/12、192.168.0.0/16三个标准私网保留段）。
• ICE协商阶段的优先级排序规则：云平台或者终端做媒体路径协商时，会对两端上报的所有候选地址做优先级排序，同私网网段的地址对优先级最高，其次是公网P2P地址对，优先级最低的是云端TURN/媒体服务器中继地址。只要两端上报的私网IP属于同一子网，协商逻辑就会默认两端处于同一局域网，优先尝试私网P2P直连。
• 部分厂商的扩展判定规则：除了私网网段匹配，部分SIP实现还会补充判定条件，比如两端公网IP归属同一AS号、STUN探测到的NAT类型一致、公网IP属于同一C段，满足条件时也会判定为同局域网，优先走P2P路径。

• 两个测试终端虽然注册用的公网IP完全独立、且防火墙已经做了双向隔离，但只要终端本地配置的私网IP属于同一私网网段（比如两端都配置为192.168.1.x段），就会被ICE协商逻辑判定为同局域网终端，优先选用私网直连路径下发媒体协商结果。
• 防火墙拦截了两端私网之间的RTP流量后，如果SIP实现的ICE失败切换逻辑不完善——比如连通性校验超时时间设置过长、未开启路径失败自动回退到中继的策略，呼叫就会一直卡在这个不通的P2P路径上，不会自动切换到云端桥接转发路径，最终出现通话接通但无音频的现象。
• 少部分云PBX平台会默认开启“同出口终端P2P直通”特性，即使两个终端公网IP不同，只要平台识别到两个公网IP归属同一个上层路由出口域，也会强制下发P2P媒体策略，跳过云端中继。

这类误判问题在云PBX测试、多区域隔离的企业VoIP部署中非常普遍，通用处理方式如下：

• 终端侧调整：在SIP终端配置中关闭私网候选地址上报，仅保留公网候选地址；或直接关闭ICE协商功能，强制媒体流走平台中继。
• 平台侧调整：在云电话系统后台关闭同局域网自动P2P的全局策略，针对测试号码单独配置强制媒体中继规则；调优ICE连通性校验参数，私网路径探测失败后1-2秒内自动切换到中继路径。
• 测试场景适配：如果需要验证防火墙隔离下的通话逻辑，可将两个测试终端的私网IP调整为完全不重叠的网段（例如一端使用10.0.1.0/24段，另一端使用192.168.100.0/24段），避免触发私网网段匹配逻辑。

内容的提问来源于stack exchange，提问作者Adam