如何让两个使用STUN穿透NAT的Java客户端建立P2P连接

核心错误逻辑 #

你当前的代码默认目标地址是公网直连可达的，但NAT后的公网地址端口并不具备直接可达性，你抓包看到的RST包也不是你的客户端代码返回的，是对端NAT设备返回的——NAT设备只会放行内部主机先主动访问过的外部地址的入站流量，对未在映射规则里的入站连接，直接丢弃或者返回RST包。

必须补充的NAT打洞流程 #

对于非对称NAT场景，你必须按顺序执行以下操作才能建立连接：

• 两个客户端各自通过STUN服务器获取自身的公网IP、端口，同时记录自身的内网IP、端口
• 双方必须交换彼此的公网、内网地址信息（这就是信令服务器的核心作用，你没有信令服务器的话测试时需要手动同步两边的地址）
• 两个客户端同时向对方的公网地址发送1个探测包，这个操作会在各自的NAT设备上添加允许对端地址入站的映射规则
• 等待100~200ms后，再正式建立连接、传输业务数据，此时就能正常通信

其他低成功率原因排查 #

• 如果使用TCP做P2P传输，本身打洞成功率就远低于UDP，多数家用/运营商NAT对TCP端口映射的留存时间很短、规则更严格，非必要场景优先切换为UDP实现
• 你开启UPnP后仅少数连接成功，基本就是对端为对称NAT导致的：对称NAT会给每个不同的目标地址分配不同的出口端口，你从STUN服务器拿到的端口仅对STUN服务器有效，对其他目标地址的出口端口完全不同，自然无法打洞成功，这种场景只能通过中继服务器中转流量
• 部分运营商会封锁P2P流量，或者部署了运营商级NAT，即便你操作完全正确也无法打洞成功，必须要有中继服务做兜底

内容的提问来源于stack exchange，提问作者Varian Wrynn