coturn配置文件详解：从基础设置到高级选项
【免费下载链接】coturn coturn TURN server project 
项目地址: https://gitcode.com/GitHub_Trending/co/coturn
TURN（Traversal Using Relays around NAT）服务器是实时通信（RTC）应用中解决NAT穿透问题的关键组件。coturn作为一款开源TURN服务器，其配置文件的优化直接影响音视频通话质量。本文将系统解析coturn核心配置项，从网络监听、认证机制到安全防护，助你快速搭建稳定可靠的媒体中继服务。
一、基础网络配置
coturn通过监听端口接收客户端请求，默认配置文件位于examples/etc/turnserver.conf。核心网络参数需根据服务器环境调整：
1.1 端口设置
listening-port=3478 # UDP/TCP默认端口
tls-listening-port=5349 # TLS/DTLS默认端口
min-port=49152 # 中继端口范围起始值
max-port=65535 # 中继端口范围结束值
提示：云服务器需确保上述端口在防火墙和安全组中开放，且NAT网关需配置端口映射以支持RFC 5780规范的NAT行为检测。
1.2 地址绑定
listening-ip=0.0.0.0 # 监听所有IPv4地址
listening-ip=:: # 监听所有IPv6地址
relay-ip=192.168.1.100 # 中继服务使用的内网IP
external-ip=203.0.113.5/192.168.1.100 # 公网/内网IP映射（NAT环境必填）
对于AWS EC2等云环境，需通过external-ip指定公网IP与内网IP的映射关系，确保客户端能正确获取中继地址。
二、认证与用户管理
coturn支持多种认证机制，生产环境推荐使用长期凭证或REST API动态认证：
2.1 长期凭证模式
lt-cred-mech # 启用长期凭证机制
realm=example.com # 认证域名
user=alice:0x12345678 # 静态用户（格式：用户名:密钥）
userdb=/var/db/turndb # SQLite用户数据库路径
密钥生成需使用turnadmin工具：
turnadmin -k -u alice -r example.com -p securepassword
2.2 REST API认证（推荐）
use-auth-secret # 启用REST API认证
static-auth-secret=your_secure_secret # 静态密钥
rest-api-separator=: # 时间戳与用户名分隔符
客户端需按timestamp:username格式生成用户名，并用HMAC-SHA1算法计算密码：
import hmac
import time
timestamp = int(time.time()) + 3600 # 有效期1小时
username = f"{timestamp}:user123"
password = hmac.new(b"your_secure_secret", username.encode(), "sha1").digest().hex()
三、数据库集成
对于大规模部署，coturn支持MySQL、PostgreSQL等数据库存储用户信息：
3.1 PostgreSQL配置
psql-userdb="host=db.example.com dbname=coturn user=turn password=dbpass connect_timeout=30"
数据库表结构定义见turndb/schema.sql，包含用户表turnusers_lt和密钥表turn_secret。
3.2 Redis缓存配置
redis-userdb="ip=127.0.0.1 port=6379 dbname=0 password=redispass" # 用户数据库
redis-statsdb="ip=127.0.0.1 port=6379 dbname=1" # 统计信息数据库
Redis适用于需要分布式部署或高并发场景，可显著提升认证性能。
四、安全加固
4.1 TLS/DTLS加密
cert=/etc/turn/server.crt # TLS证书路径
pkey=/etc/turn/server.key # 私钥路径
cipher-list="ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384" # 加密套件
证书可通过Let's Encrypt免费获取，推荐使用ECDSA证书以获得更好的性能。
4.2 访问控制
no-loopback-peers # 禁止环回地址访问
no-multicast-peers # 禁止多播地址访问
denied-peer-ip=10.0.0.0/8 # 禁止私有网络访问（按需配置）
通过allowed-peer-ip和denied-peer-ip可精确控制中继目标地址，防止内网资源暴露。
五、性能优化
5.1 资源限制
user-quota=10 # 单用户最大会话数
total-quota=1000 # 服务器总会话数上限
max-bps=512000 # 单会话最大带宽（512kbps）
bps-capacity=10485760 # 服务器总带宽（10Mbps）
5.2 线程与并发
relay-threads=4 # 中继服务线程数（建议等于CPU核心数）
cpus=4 # 覆盖系统CPU检测（容器环境适用）
对于高并发场景，可通过aux-server配置辅助服务节点实现负载均衡：
aux-server=192.168.1.101:3478
aux-server=192.168.1.102:3478
udp-self-balance # 启用UDP流量自动均衡
六、日志与监控
6.1 日志配置
verbose # 启用详细日志
log-file=/var/log/turnserver.log # 日志文件路径
simple-log # 禁用日志轮转（配合logrotate使用）
new-log-timestamp # 启用ISO-8601时间戳
6.2 Prometheus监控
prometheus # 启用Prometheus指标导出
prometheus-port=9641 # 监控端口
prometheus-username-labels # 启用用户名标签（注意内存占用）
监控指标包括会话数、中继流量、错误率等，可通过Grafana构建可视化面板。
七、典型场景配置示例
7.1 WebRTC应用基础配置
listening-port=3478
tls-listening-port=5349
listening-ip=0.0.0.0
external-ip=203.0.113.5/192.168.1.100
lt-cred-mech
realm=webrtc.example.com
static-auth-secret=your-secret-key-here
cert=/etc/letsencrypt/live/example.com/fullchain.pem
pkey=/etc/letsencrypt/live/example.com/privkey.pem
verbose
log-file=/var/log/turnserver.log
7.2 高可用集群配置
listening-port=3478
relay-ip=10.0.0.10
external-ip=198.51.100.5/10.0.0.10
use-auth-secret
static-auth-secret=cluster-shared-secret
redis-userdb="ip=10.0.0.20 dbname=0 password=redis-pass"
total-quota=5000
prometheus
alternate-server=10.0.0.11:3478
alternate-server=10.0.0.12:3478
八、常见问题排查
-
中继连接失败：检查
external-ip配置是否正确，通过turnutils_uclient测试：turnutils_uclient -u alice -w password -s turn.example.com -p 3478 -
TLS握手错误：验证证书链完整性，确保私钥权限正确（600权限）。
-
高CPU占用：检查
relay-threads配置是否合理，避免端口范围过大导致的文件描述符耗尽。 -
内存泄漏：禁用
prometheus-username-labels，或升级至coturn 4.5.2+版本。
通过合理配置coturn，可有效解决NAT穿透问题，保障WebRTC等实时通信应用的稳定性。建议定期查阅官方文档docs/Configuration.md获取最新配置指南。
【免费下载链接】coturn coturn TURN server project 项目地址: https://gitcode.com/GitHub_Trending/co/coturn
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
