WebRTC中Coturn服务正常但跨网视频无法传输问题求助

已知前提：同网环境下通话正常，Coturn服务已通过通用检测工具验证公网可达，前端站点托管在Heroku平台。

核心排查方向1：ICE候选交换链路完整性 #

• 分别在两台跨网设备上打开浏览器自带的WebRTC内部调试页面，抓取通话全流程的ICE候选收集、交换记录，确认两端都完整拿到了三类候选地址：本地内网地址、公网NAT映射地址、Coturn中继地址
• 重点核查：同网环境下通信直接通过本地内网候选即可连通，根本不会触发中继逻辑，极易出现Trickle ICE单独测试正常，但实际业务流程中因为信令传输截断、前端ICE配置错误，导致对端根本没收到relay中继候选的情况
• 检查前端初始化RTCPeerConnection时的ICE服务器配置：确认Coturn的连接地址、认证用户名、临时凭证没有配置错误，尤其要检查有没有手滑把iceTransportPolicy参数设为"host"这类仅允许本地候选的硬限制

核心排查方向2：Coturn部署的隐蔽配置疏漏 #

• 核查Docker容器的端口映射规则：确认3478端口、40000-65535端口段的UDP流量全部正确映射到容器内，很多人只映射了3478的TCP端口，忘记映射整段UDP媒体端口，这种配置下单端口测试能过，但实际中继时随机选择的端口是完全不通的
• 核查Coturn的配置文件：因为服务部署在路由器后方，必须在配置里显式设置external-ip参数为当前网络的公网出口IP，否则Coturn会把内网地址作为中继候选返回给客户端，跨网设备拿到的是路由根本不可达的内网地址，自然无法建立连接
• 核查路由器的端口转发规则：确认所有开放的端口规则都是针对UDP协议的媒体流量，仅开TCP规则完全无法支撑WebRTC的常规媒体传输；如果你的宽带是动态公网IP，还要确认前端配置的Coturn公网地址没有和当前实际公网IP脱节
• 核查Coturn的凭证逻辑：确认前端生成的临时认证凭证有效期足够长，不会出现信令连接建立后、跨网中继链路协商时，凭证已经过期被Coturn拒绝的情况

核心排查方向3：Heroku平台的特有适配问题 #

• 确认WebRTC协商的全流程没有因为Heroku的连接超时规则被打断：Heroku托管的WebSocket连接在无传输55秒后会被主动断开，如果跨网网络延迟过高导致协商超时，会直接出现SDP、ICE候选没交换完就断连的情况
• 确认Coturn的TCP中继配置兼容受限网络环境：如果两侧网络都禁止UDP出网，需要Coturn开放443端口的TCP中继入口，否则客户端无法通过TCP中继打通链路
• 排查Heroku出口网络对Coturn的访问拦截：确认平台出口的防火墙没有拦截指向Coturn服务的UDP流量，避免跨网客户端连不上中继节点。

快速定位故障点的验证方法 #

• 临时修改前端配置，强制所有WebRTC连接走relay中继模式，再测试跨网连通性：如果强制走中继后可以正常通话，说明故障出在P2P候选的跨网路由环节，Coturn本身运行正常；如果强制走中继依然无法连通，直接回头排查Coturn的端口映射、认证、地址配置即可
• 登录Coturn所在的设备查看实时流量：发起跨网通话时，如果没有检测到来自公网的UDP媒体流量，说明路由器端口转发、公网IP配置存在直接故障，不需要排查前端逻辑。

内容的提问来源于stack exchange，提问作者Trần Đạt