coturn服务器是做什么用的？部署coturn服务器有什么好处，TURN服务如何搭建？

coturn服务器是干什么的？简单说，它是架设在公网上的中继服务，专门帮两个网络里的设备打通音视频通话，是WebRTC技术里绕不开的关键角色。今天咱们不聊晦涩协议，用大白话拆开讲清楚：它解决什么问题、什么时候必须用、怎么快速上手。

coturn服务器是干什么的？先理解它解决的核心难题

想象你在公司内网（IP是192.168.1.5），同事在家用路由器（IP是192.168.0.8），你们都想视频通话，但彼此看到的都是局域网私有地址，谁也没法直接连上对方，这就像两个人都在各自小区里，知道对方门牌号，但中间隔着保安亭和围墙，敲门根本敲不到。

coturn服务器就充当了那个能互相转交包裹的”公共收发室”，它部署在公网上，有固定IP，当通信双方直接连不上时，数据包先发给这个公共收发室，再由它转交给对方，这就是行业内常说的TURN中继机制。

它和STUN、ICE是什么关系？一次说清

很多教程把这三个词混在一起,其实分工很明确：

• STUN（会话穿越工具）：只负责”问路”，客户端问它：我的公网地址是多少？如果两边能通过这个地址直连，那就不需要coturn了，它轻量，不转发数据。
• coturn（TURN服务）：既是”问路员”又是”快递员”，它提供STUN功能帮你找公网地址，更重要的是，当找不到直达路时，它亲自帮你转发所有音视频数据，所有数据流都经过它。
• ICE（交互式连接建立）：是”调度中心”，它帮你把所有可能的连接方式列出来（直连、通过STUN打洞、通过TURN中继），按优先级挨个尝试，哪个成功用哪个。

行业共识认为,不能只部署STUN服务器不部署TURN服务器，因为现实网络中有大量对称型NAT（企业防火墙、校园网等），打洞成功率很低，据统计，如果不部署TURN中继，约10%-20%的跨网络通话会失败，coturn就是保证那最后百分之百成功率的兜底方案。

什么时候需要部署coturn服务器？场景自查清单

不是所有项目都要立刻上coturn,下面几种情况，你大概率需要它：

• 做WebRTC音视频通话APP：无论是1对1还是多人会议，只要目标用户分布在全国甚至全球，就必须有coturn，家庭宽带用户之间直连成功率还行，但移动网络（4G/5G）和部分企业网络非常难穿透。
• 网站有在线客服、视频面试、远程协助功能：这些场景对连接成功率要求极高，用户不会容忍”点了半天接不通”。
• 物联网设备远程控制：摄像头、智能门锁等设备通常藏在NAT后面，没有公网IP，coturn能保证控制端随时连上设备。

coturn服务器和自建STUN/turn服务的成本对比

自建coturn的硬件成本其实很低,最便宜时一台云服务器即可，核心成本是带宽，音视频流量是持续消耗的，一个1080p通话，大约每秒需要2-4Mbps码率，如果同时有100人在线通话，峰值带宽就是几百Mbps，这就是为什么提到coturn服务器价格问题，云厂商按流量计费会相对昂贵。

自建方案和购买云服务商TURN服务的取舍,可以参考：

结论很直接：只要月流量超过一定规模（比如数十TB），自建coturn会划算得多。

coturn服务器部署实操：从零到能用的关键步骤

新手最容易卡在”配了但连不上”，下面给你一套经过验证的配置思路，环境是基于Ubuntu 22.04的云主机。

第一步：安装和基础配置

安装很简单,一条命令即可（此处用命令示意）：

sudo apt update && sudo apt install coturn -y

安装后,先编辑配置文件 /etc/turnserver.conf，务必确认这几个参数：

• listening-port=3478（默认端口，防火墙必须放行UDP/TCP）
• listening-ip=<你的公网IP>（如果服务器只有一个IP，就填这个）
• realm=<你的域名>（可以随便起个名字，但不能为空）
• userdb=/var/lib/turn/turnuserdb.conf（管理用户账号）

第二步：创建用户并验证服务

coturn要设置访问凭证,防止被恶意刷流量（非常重要，不然会收到天价账单），创建用户：

turnadmin -a -u your_username -p your_password -r your_domain

启动服务后,用这个命令测试是否正常工作：

turnutils_uclient -T -p 3478 -u your_username -w your_password your_server_ip

看到Total success之类的输出，说明服务通了。

第三步：配置防火墙和证书（TLS）

除了3478,TLS端口5349也建议开启（用于加密传输），云平台的安全组规则和服务器防火墙（ufw）都要放行：

ufw allow 3478/tcp
ufw allow 3478/udp
ufw allow 5349/tcp
ufw allow 5349/udp

证书配置在 /etc/turnserver.conf 里指定：

cert=/etc/ssl/certs/your_cert.pem
pkey=/etc/ssl/private/your_key.key

第四步：和WebRTC应用对接

前端代码（以JavaScript为例）需要配置ICE服务器列表，urls部分可以同时写STUN和TURN地址：

var iceServers = [
  { urls: 'stun:your_server_ip:3478' },
  {
    urls: 'turn:your_server_ip:3478?transport=udp',
    username: 'your_username',
    credential: 'your_password'
  }
];

这里要留意,WebRTC的iceServers配置错误是最常见的问题，很多开发者忘记配置username和credential，或者把TURN和STUN地址写反，导致连接不稳定。

coturn和stun有什么区别？别再只搭STUN了

这大概是搜索”coturn服务器配置”时最迷惑的问题，一句话总结：STUN是找路，TURN是走路，coturn把这两件事都干了。

• STUN服务器：帮你找到自己公网IP，尝试打洞，如果打洞成功，数据不走服务器，所以STUN服务器带宽成本极低，甚至1核1G的小鸡（低配VPS）都能扛。
• coturn服务器：在打洞失败时，所有音视频数据都从它中转，这就意味着它对服务器的带宽、并发连接数、CPU处理能力要求高得多。

带宽和延迟，选配coturn时先想清楚

做coturn服务器推荐配置选择时,别只盯CPU。带宽是第一瓶颈，建议：

• 2-5人小规模测试：2核4G机器，带宽按10Mbps起步
• 几十人内部系统：4核8G，带宽买100Mbps或按量付费
• 大规模生产环境（数百人同时在线）：8核以上，带宽建议500Mbps或采用多地域集群

延迟方面,coturn会增加一跳，通常增加10-50毫秒延迟，对语音通话影响不大，对视频也能接受，但如果你做的是实时性要求极高的游戏语音，建议优先优化路由，把TURN服务器部署在用户集中的区域，尽量让数据少绕路。

coturn服务器部署常见坑点诊断

UDP不通，只有TCP能用

许多云厂商的防火墙默认只放行TCP

，或安全组规则写得比较严格，TURN主要走UDP（性能和穿透性更好），检查命令：

netstat -lunp | grep 3478

如果没有输出,说明进程没监听UDP，或者被防火墙拦了。NAT回环问题很常见：你自己发起测试时，如果客户端和TURN服务器在同一局域网，需要额外配置，否则会连接超时。

配置了TURN但浏览器还是直连失败

重点排查ICE候选类型，在浏览器Console里输入 pc.onicecandidate，看返回的candidate类型，如果只有host和srflx，没有relay，说明TURN配置没生效，或凭证错误，注意检查credential是放在credential字段还是password字段，新版API要求是credential。

流量被刷，云账单暴涨

务必开启认证（use-auth-secret或用户数据库），并且不要在公网配置里写死static-auth-secret太简单的值，加入以下安全设置：

no-multicast-peers
no-loopback-peers
denied-peer-ip=10.0.0.0/8
denied-peer-ip=192.168.0.0/16
denied-peer-ip=172.16.0.0/12

是阻止局域网地址被利用来发起内网穿透扫描,隐私和安全防护一定不能省。

coturn服务器到底值不值得自建

如果你的业务是长期做音视频,且有一定用户规模（日活几百人以上），自建coturn是省钱的必由之路，起步阶段用云厂商的TURN服务快速上线，等流量成本高于一台服务器租金时，再迁到自建方案，别忘了：

• 公网IP（至少1个）
• 防火墙放行UDP和TCP的3478端口（以及5353端口用于TURN over TLS）
• 开启认证防止流量被刷
• 保证服务器带宽充足,CPU和内存反而是次要的

关于coturn服务器，你可能还想问这3件事

Q1：coturn服务器没有公网IP能部署吗？

不能,它的核心功能就是为处于不同NAT后的客户端提供公网可达的中继点，如果没有公网IP，客户端无法连接到它，中继功能也就无从谈起，云服务器通常默认带有公网IP，内网环境自建则不行。

Q2：用coturn作为WebRTC服务器，能完全替代信令服务器吗？

不能,coturn只管音视频数据的传输通道，不做信令交换，信令（比如SDP协商、加入房间消息）还需要你自己用WebSocket或Socket.io等单独搭建一套服务，两者是互补关系。

Q3：coturn与mediasoup等其他SFU服务器是什么关系？

coturn是TURN/STUN服务器，负责解决网络穿透；mediasoup是SFU（选择性转发单元）媒体服务器，负责接收和转发各端的音视频流，大型WebRTC架构中，两者往往同时存在：coturn负责打通连接，mediasoup负责混流和分发，互不替代。