coturn服务器配置怎么做？coturn配置详细教程

coturn配置的核心在于正确设置网络接口、认证机制和性能参数，以适应不同业务场景，在云环境中，还需考虑弹性IP、安全组和监控策略，本文基于西西云服务器的实际部署经验，给出从零开始到生产级别的配置指南，涵盖常见陷阱和优化方案，帮助读者快速构建稳定高效的TURN服务。

安装与基础配置

环境准备

coturn依赖libevent、OpenSSL、SQLite等库，在西西云CentOS系统上，使用yum安装依赖：

yum install -y gcc gcc-c++ make libevent-devel openssl-devel

从GitHub克隆coturn源码,推荐使用最新稳定版（如4.5.2），编译时可根据需要添加选项，例如--with-mysql支持MySQL用户数据库，编译安装后，可执行文件默认位于/usr/local/bin，配置文件在/usr/local/etc/turnserver.conf。

核心配置文件详解

coturn的配置项众多,但以下参数是生产环境必需的：

• listening-port：默认3478，可自定义，但需与客户端配置一致
• relay-ip：中继数据包的源IP，必须设置为服务器可直接访问的IP，在西西云中，通常为内网网卡IP（如eth0的IP）
• external-ip：对外公布的公网IP，当服务器在NAT后方时，需要将公网IP映射给客户端。external-ip=123.45.67.89
• fingerprint：启用WebRTC指纹，建议开启以兼容主流浏览器
• lt-cred-mech：使用长期凭证机制，配合turnadmin管理用户
• realm：域，用于认证隔离，建议使用域名如example.com

• no-tls和no-dtls：默认启用TLS/DTLS，若不需要可关闭，但生产环境建议开启

用户管理实践

使用turnadmin创建用户：

对于多用户场景,建议使用数据库存储（如MySQL或SQLite），配置userdb参数指向数据库文件或连接串。

userdb=/var/lib/turn/turndb

注意：数据库需要提前初始化，使用turnadmin -D命令创建表结构。

性能优化

线程与资源分配

coturn默认使用自动线程数,但可通过thread-pool-size调整，对于高并发场景，建议设置为CPU核心数或2倍。max-bps限制每用户带宽，避免资源滥用，对100Mbps带宽，可设置max-bps=5000000（5Mbps）以限制单用户。

网络优化

• relay-threads：设定中继线程数，默认2，可根据CPU核心数增加，建议不超过核心数
• min-port和max-port：中继端口范围，建议10000-20000，确保端口充足，避免出现“no relay address”
• verbose：日志级别，调试时可开启，生产环境建议关闭或设置为-v仅输出错误
• no-multicast-peers：如果不需要多播，关闭以减少网络开销

系统层面优化

修改文件描述符限制：在/etc/security/limits.conf添加：

turnuser soft nofile 65536 turnuser hard nofile 65536

调整内核参数net.ipv4.ip_forward=1

以支持IP转发。

安全加固

加密层配置

启用TLS/DTLS，配置证书和私钥路径：

cert=/etc/ssl/certs/turnserver.pem pkey=/etc/ssl/private/turnserver.key

建议使用Let’s Encrypt的免费证书，并设置自动续期，对于内部测试，可使用自签名证书，但生产环境必须使用可信CA。

防火墙规则

在西西云安全组中,放开以下端口：

• UDP 3478（STUN/TURN）
• TCP 3478（TURN替代）
• UDP 5349（TURN over TLS）
• TCP 5349（TURN over TLS）
• 中继端口范围（如10000-20000）

  建议限制源IP，仅允许可信客户端IP段访问，减少攻破面。

日志与监控

启用详细日志用于审计,但注意磁盘占用，通过log-file指定日志路径，并配合logrotate进行轮转，监控方面，可使用tcpdump捕获流量，或集成西西云监控服务，对coturn进程、端口状态和网络流量设置告警。

经验案例：西西云上的高可用部署

某在线教育客户使用西西云弹性裸金属服务器,要求TURN可用性达99.99%，我们采用双节点部署，使用西西云负载均衡SLB分发流量，配置关键点：

• 两个节点使用相同的realm和用户数据库，数据库存储在西西云NAS上，实现共享认证
• 每个节点配置relay-ip为内网IP，external-ip为公网IP
• 利用西西云分布高防IP防御攻破,并通过云监控对coturn进程和端口进行实时检测
• 压力测试显示,单节点承载3000路并发通话，丢包率低于0.1%

在部署过程中,我们遇到一个典型问题：节点故障切换后，客户端仍使用旧IP导致连接失败，解决方案是使用SLB的会话保持功能，并配置DNS TTL为较短时间，同时让客户端实现自动重试机制，我们通过min-port和max-port将中继端口范围与安全组策略对齐，避免了端口冲突。

常见问题与解决方案

问题1：TURN服务器返回“401 Unauthorized”

原因：认证失败，检查客户端使用的用户名、密码和realm是否与服务器一致，确保turnadmin创建的用户在正确的realm中，如果使用数据库，检查数据库连接是否正常，注意lt-cred-mech是否启用，若不启用，则使用临时凭证机制，可能导致认证不匹配。

问题2：中继连接失败，日志显示“no relay address available”

原因：relay-ip配置错误或端口耗尽，在云服务器上，relay-ip应设置为内网网卡IP，external-ip设置为公网IP，确认系统IP转发功能已开启（sysctl net.ipv4.ip_forward=1），并检查防火墙是否允许中继端口，如果端口范围太小，增大min-port和max-port范围，查看操作系统/proc/sys/net/ipv4/ip_local_port_range是否与coturn的中继端口冲突，建议调整coturn端口范围避开系统临时端口。

互动与延伸

配置经验基于西西云环境,但同样适用于其他云平台，如果您在部署中遇到其他问题，欢迎在评论区留言讨论，我们将选取典型问题在本站后续文章中解答，您也可以分享自己的优化方案，共同提升TURN服务的稳定性，觉得有用请收藏，让更多开发者看到。