ice为什么一直连接外部服务器，一直连接外部服务器怎么回事？

ICE一直连接外部服务器，根本原因是它需要借助STUN/TURN服务器做网络地址发现和穿透，确保音视频等点对点通信能建立；只要会话还开着，它就会周期性地和这些服务器保持联络。这里的ICE指WebRTC里的交互式连接建立协议，不是某个具体软件，如果你在防火墙里看到它频繁请求外部IP，不一定代表被入侵,更可能是正常协议行为。

ICE为什么需要连接外部服务器？

ICE是WebRTC用来协商网络路径的机制，它不直接传数据，而是先收集所有可能到达对端的网络路径，再逐一测试哪条最快、最稳，这个过程依赖两类外部服务器：STUN和TURN。

• STUN服务器：告诉你的设备“从公网看你是什么地址”，设备在局域网里有私有IP，比如192.168.x.x，这个地址没法让相隔几千公里的另一个用户直接访问,STUN会返回一个公网IP和端口映射。
• TURN服务器：当两台设备互相无法直连时，TURN负责把媒体数据中继转发过去，TURN分配一个公网地址，双方都往这个地址发数据,由它转交给对方。
• 候选地址收集：ICE把本机IP、STUN反射地址、TURN中继地址全部列入候选表，然后依次做连通性测试，这个过程发生在通话接通前,但也会在通话中网络切换时再次触发。

为什么ICE会“一直”连接外部服务器？

不是连续的，而是高频次的,常见原因有三个：

• NAT保活：路由器上的NAT映射有有效期，通常在几十秒到几分钟，如果不定期向STUN服务器发送绑定性请求，公网映射就会过期，后续数据就进不来,所以ICE会每隔一段时间发一个STUN包。
• ICE重启和候选收集：网络从WiFi切到4G、移动设备跨基站漫游，或者对端重新加入通话，ICE都会重新收集候选地址，再次连接STUN/TURN。
• 多路径并行探测

  

  ：同一时刻可能有多条候选路径在测试，例如本机IPv4、IPv6、反射地址、中继地址，每条路径都需要和外部服务器交互，这种“多路齐发”看起来就像一直在连外网。

行业共识认为，一个活跃的WebRTC通话通常每15～20秒就会产生一个STUN保活请求,在弱网环境下频次会更高。

STUN和TURN服务器有什么区别？

理解两者差异，才能判断“一直连接外部服务器”是否正常。

从用户感知来看，如果浏览器的WebRTC面板里一直出现server reflexive candidate（反射候选），说明STUN机制在工作；如果出现relay candidate,说明流量已经走TURN中继了。

对比场景更直观：假设你在国内用浏览器访问一个海外WebRTC会议服务，对方服务器在美国，ICE会先尝试直连，直连失败后就会连接海外的TURN服务器，这时你看到的“一直连接外部服务器”其实是媒体流在绕路，要确认这一点，可以在Chrome地址栏输入chrome://webrtc-internals，查看候选类型，如果列表里大量出现relay,说明没有P2P直连。

什么情况会一直连接TURN服务器？

• 双方处于不同类型NAT之后，比如一方是锥形NAT，一方是对称型NAT,直连经常失败。



• 企业在防火墙上严格限制UDP，导致STUN返回的地址无法互通，只能走TURN的TCP/UDP中继。
• 移动设备信号频繁切换，IP地址变化过快,ICE始终无法稳定建立直连路径。

如何减少ICE对外部服务器的依赖？

不是所有场景都需要大量外部服务器连接，如果你自己控制WebRTC应用,可以从配置和部署两端入手。

优化ICE服务器配置

打开WebRTC初始化代码，找到iceServers数组，最常见的问题是把多个STUN和TURN全塞在一起，ICE会并行接触所有地址,建议按优先级精简：

{
  "iceServers": [
    { "urls": "stun:stun.example.com:3478" },
    {
      "urls": "turn:turn.example.com:3478",
      "username": "user",
      "credential": "pass"
    }
  ]
}

• 只保留一个国内可达的STUN,不要同时配置Google等海外STUN。
• TURN只在需要时指定,不要把不需要的中继地址提前放进去。
• 明确iceTransportPolicy，如果强制relay，就会一直走TURN；如果允许all,ICE才自行尝试直连。
• 设置合理的iceCandidatePoolSize，默认值为0,改成小数值可以减少预收集。

自建TURN服务器降低对外部服务的依赖

使用公共STUN/TURN会持续把地址信息发给第三方，如果你在运行中小型会议系统，可以用coturn部署一套内部TURN服务,以Ubuntu为例：

sudo apt update
sudo apt install coturn

编辑/etc/turnserver.conf,核心配置如下：

listening-port=3478
fingerprint
realm=example.com
server-name=turn.example.com
lt-cred-mech
user=myuser:strongpassword

启动后把WebRTC里的iceServers指向这台服务器，这样STUN和TURN流量都走自己基础设施，既不把网络拓扑暴露给外部服务商,也便于按需控制频次。

国内访问ICE外部服务器慢怎么办

如果摄像头画面持续卡顿，且WebRTC内部显示大量relay candidate，大概率是TURN服务器离你太远，对于部署在中国大陆的应用，最直接的办法是选用国内云机房的STUN/TURN，或者至少保证服务器能双向延迟小于50毫秒，可以用ping stun.example.com或tcping检查端口延迟，同时注意国内运营商对UDP限速普遍，优先将TURN配置为transport=tcp,减轻丢包。

ICE一直连接外部服务器是正常现象吗

正常，只要发起WebRTC连接，ICE就会联系外部服务器确认公网地址，这是协议设计的一部分，判断是否异常，要看连接频率和持续时间，一个持续两小时的通话，期间每20秒一个STUN保活包是正常的，一天下来也就几百次小请求，如果频率达到每秒数十次，或者连的是不明IP端口,需要检查程序是否被恶意注入。

为什么我的防火墙一直提示ICE尝试连接外部IP

因为WebRTC会动态选择端口，不固定绑定443或80，防火墙规则严格时，会把这些UDP小包识别为异常外联，建议在浏览器白名单列表中加入你使用的STUN/TURN域名，并把Wireshark过滤条件设为ip.addr == 你的STUN服务器IP，看清是否只是ICE候选检查，如果看到的是随机境外IP,则要排查是不是页面里夹带了不认识的TURN服务器。

只配置STUN服务器，不配置TURN，可以吗

可以，但连接成功率会下降，STUN能解决大部分NAT穿透，对完全锥形NAT和受限锥形NAT有效，但对对称型NAT无能为力，只配STUN，意味着ICE只能尝试P2P路径，一旦直连失败，通话就会中断，如果你做的是原生应用，且面向的都是家庭宽带用户，只配STUN可能够用；面向企业或校园网用户,建议补一个TURN兜底。