NAT 与防火墙在 WebRTC 中的影响
本文面向工程实践，系统解释网络地址转换器（NAT）与防火墙的工作原理及其对 WebRTC 的具体影响，涵盖：NAT 类型、地址/端口映射与过滤、UDP/TCP/TLS 的可达性差异、ICE（STUN/TURN）如何在受限网络下建立连接，以及在真实部署中的规避策略与取舍。
一、基础概念
- NAT（Network Address Translator）：将私有地址转换成公网地址，对外呈现为少量可路由的 IP。NAT 常在家庭路由、企业网出口出现。
- 防火墙：基于策略过滤或阻断数据包，可按方向（入站/出站）、协议（UDP/TCP）、端口、应用签名等进行控制。
- WebRTC 传输：优先使用 UDP 进行低时延传输；必要时通过 TURN/TCP 或 TURN/TLS 中继实现可达性；媒体层使用 DTLS/SRTP 加密。
二、常见 NAT 类型与行为
- Full Cone（全圆锥）：内网主机对外建立的映射端口，任何外部主机都可直接访问该端口；打洞成功率高。
- Restricted Cone（受限圆锥）：仅允许先前通信过的外部主机 IP 访问映射端口；需配合 STUN 返回的目标地址。
- Port Restricted Cone（端口受限圆锥）：同时限制外部主机 IP 与端口；打洞难度更高。
- Symmetric NAT（对称）：不同外部目标地址会产生不同的映射端口；P2P 打洞极难，通常需要 TURN 中继。
三、防火墙策略对 WebRTC 的影响
- 阻断 UDP：最常见的企业策略之一；会导致直连失败或频繁丢包与抖动。
- 仅开放 80/443：逼迫流量走 TCP/TLS；TURN/TLS 中继成为常态，延迟与成本升高。
- 深度包检测（DPI）与代理：可能重置或延迟长连接，影响握手与媒体连续性。
结论：在严苛策略下，优先使用 TURN/TLS（端口 443）以提高可达性；直连成功率显著降低。
四、ICE：在受限网络中建立连接
ICE（Interactive Connectivity Establishment）结合 STUN 与 TURN，为 WebRTC 发现与测试候选路径：
- 候选收集 ：
- Host 候选：本地网卡 IP 与端口。
- Server Reflexive（srflx）：通过 STUN 获取外网可见地址。
- Relay（TURN）：在 TURN 服务器上分配中继地址（UDP/TCP/TLS）。
- 连通性检查：尝试不同候选对，优先选择可达且低时延的路径。
- 策略与优先级 ：一般优先 Host > srflx > relay；在
RELAY策略下仅使用 TURN。
五、UDP 受阻时的回退：TURN/TCP/TLS
- 回退逻辑：当 Host/srflx 失败或不稳定时，使用 TURN 中继；若 UDP 不通则选择 TURN/TCP 或 TURN/TLS。
- 传输与加密：媒体仍是 SRTP（通过 DTLS 握手）；仅底层承载改为 TCP/TLS。
- 代价：队头阻塞导致时延增加；云端中继的带宽/出网计费增加；整体成本高于直连。
六、工程实践与建议
- 优先直连 ：默认
ALL策略，让 ICE 自动选择最佳路径；能直连就直连。 - 就近部署：STUN/TURN 服务器与用户同区域，降低跨区与出网成本。
- 码率与缓冲：启用带宽自适应（REMB/TWCC），保守码率；增大播放缓冲以提高稳定性。
- 重传与错误恢复：使用 RTCP NACK/PLI；音频启用 Opus FEC/冗余。
- 安全与合规：鉴权、审计与日志；会话空闲时及时断开，节省中继资源。
七、速查总结
- 家用路由多为 Cone 类 NAT，直连成功率高；企业出口常为对称 NAT + 严格防火墙，TURN/TLS 必备。
- WebRTC 目标是"尽量低时延 + 尽量高可达性"；实际工程中需按网络环境在直连与中继间权衡。
- 成本与体验的取舍：TURN 中继提升稳定性但增加延迟与成本；直连低延迟但在受限网络下易失败。