TURN-сервер

← Журнал

Когда сотрудник звонит через IP-телефонию из офиса, домашней сети или с мобильного, его устройство почти всегда находится за NAT. В большинстве случаев соединение устанавливается напрямую, но примерно в каждой четвёртой сессии прямого канала не получается. Именно для таких ситуаций и нужен TURN-сервер. Он гарантирует, что звонок состоится, даже когда сеть этому сопротивляется.

Что такое TURN и STUN

Чтобы понять, зачем бизнесу TURN, нужно разобраться с двумя протоколами, которые работают в связке: STUN и TURN. Оба помогают проходить трафик через NAT, но делают это по-разному.

STUN-сервер: определение и принцип работы

STUN (Session Traversal Utilities for NAT) — лёгкий протокол, который помогает устройству за NAT узнать свой публичный IP-адрес и порт. Механика простая: клиент отправляет запрос на stun сервер, тот фиксирует, с какого внешнего адреса пришёл пакет, и возвращает эти данные обратно. Дальше устройства пытаются соединиться напрямую, peer-to-peer.

Stun сервер не участвует в передаче голоса или видео — он только сообщает адреса. Если тип NAT позволяет входящие пакеты от источника, с которым клиент уже общался, соединение устанавливается. По данным телеметрии Chrome, прямые соединения через STUN удаются в 75–80% случаев.

TURN-сервер: когда прямого соединения недостаточно

TURN (Traversal Using Relays around NAT) включается, когда STUN не справляется. Turn сервер работает как ретранслятор: он принимает медиапоток от одного участника и передаёт его другому. Весь голос, видео и данные идут через этот промежуточный узел.

Это создаёт дополнительную нагрузку: один двусторонний HD-видеозвонок через TURN может потреблять до 4 Мбит/с суммарно — примерно по 2 Мбит/с на каждое направление. Но именно такой подход гарантирует связь там, где прямое соединение невозможно. Примерно 20–25% всех сессий требуют ретрансляции — это не исключение, а штатный сценарий.

STUN vs TURN: ключевые различия

Почему возникает проблема NAT и зачем нужен TURN

NAT (Network Address Translation) — механизм, который подменяет внутренние IP-адреса устройств на один внешний. Он экономит IPv4-адреса и защищает сеть, но ломает сквозную IP-телефонию: SIP-пакеты и медиапоток не могут пробиться к устройству без публичного адреса.

Типы NAT и их влияние на SIP-трафик

Симметричный NAT — главный сценарий для TURN

Именно Symmetric NAT делает turn сервер обязательной частью инфраструктуры. Он встречается в корпоративных сетях с высокими требованиями к безопасности, в мобильных сетях с Carrier-Grade NAT (CGN) и в большинстве точек доступа Wi-Fi в отелях, коворкингах и бизнес-центрах.

Если оба участника звонка находятся за Symmetric NAT, STUN не поможет. В таких условиях turn сервер для sip — единственный способ доставить голосовой трафик от абонента к SIP-серверу и обратно.

Основные сценарии использования TURN-сервера

SIP-телефония и VoIP

Классический сценарий: IP-телефон или софтфон за NAT пытается зарегистрироваться на SIP-сервере и совершить звонок. Сигнальные сообщения SIP обычно проходят через NAT с помощью механизмов вроде SIP ALG или keep-alive, но медиапоток (RTP) идёт по отдельному каналу. Без TURN сервера для SIP голос может идти только в одну сторону или не проходить вовсе — это называется проблемой односторонней слышимости. TURN с этим справляется: принимает RTP-поток от клиента за NAT и направляет его на SIP-сервер или другому участнику.

WebRTC: браузерные звонки и видеоконференции

WebRTC использует фреймворк ICE, который последовательно перебирает кандидатов: сначала local-адреса, затем STUN-кандидаты (srflx), и в последнюю очередь — TURN-кандидаты (relay). Крупные видеоконференц-сервисы держат собственные TURN-реле именно потому, что без них часть пользователей просто не смогла бы подключиться к конференции.

Корпоративные сети со строгими политиками файрвола

В банках, госучреждениях и крупных компаниях файрволы часто блокируют UDP-трафик и нестандартные порты. Решение — TURN-TLS. Сервер разворачивают на порту 443: с точки зрения файрвола такой трафик выглядит как обычный HTTPS и беспрепятственно проходит даже через самые строгие политики безопасности. Стандарт предусматривает три протокола: TURN-UDP (низкая задержка), TURN-TCP (выше надёжность) и TURN-TLS (максимальная проходимость).

Мобильные устройства и сети 4G/LTE/5G

Мобильные операторы массово используют Carrier-Grade NAT — а это почти всегда Symmetric NAT. Когда сотрудник звонит через софтфон с телефона в LTE-сети, STUN практически бесполезен. TURN-сервер в этом сценарии не резервный, а основной механизм доставки медиатрафика.

Настройка SIP через NAT с помощью TURN-сервера

Типовая архитектура: SIP-клиент — TURN — SIP-сервер

Стандартная схема: SIP-клиент (IP-телефон или софтфон) регистрируется на SIP-сервере, а для медиатрафика указывает TURN-сервер как ретранслятор. При звонке RTP-поток идёт от клиента на TURN, а оттуда — к второму участнику. Базовая конфигурация использует UDP/TCP порт 3478, для защищённого канала — TURN-TLS на порту 5349, для обхода строгих файрволов — альтернативный порт 443.

Типичные ошибки при настройке

При самостоятельной настройке sip через nat с использованием TURN-сервера администраторы часто допускают одни и те же ошибки:

• Отсутствие аутентификации — открытый TURN-сервер быстро находят и используют посторонние, расходуя пропускную способность.
• Узкий диапазон портов — при росте числа одновременных звонков новые сессии не могут установиться.
• Один сервер без резервирования — выход TURN из строя означает полную остановку голосовой связи для всех, кто за Symmetric NAT.
• Статические пароли — долгоживущие учётные данные без ротации создают риск компрометации.

Что TURN-сервер даёт бизнесу

На практике TURN-сервер закрывает три критичных вопроса.

Гарантия соединения. Без TURN каждый четвёртый-пятый звонок просто не пройдёт. Для отдела продаж это потеря лидов, для поддержки — недовольство клиентов.

Стабильная работа распределённых команд. Сотрудники могут работать из дома, коворкинга или в поездке. Качество связи не зависит от того, за каким типом NAT находится устройство.

Совместимость с любой сетевой инфраструктурой. TURN-TLS на порту 443 проходит даже через самые строгие корпоративные файрволы — без согласования изменений в политиках безопасности.

Разбор статьи от ИИ Perplexity

← Читать Журнал