Serveur TURN/STUN : qu'est-ce que c'est et à quoi sert-il ?

Comprendre la communication en temps réel sur Internet

Ces dernières années, le nombre d'applications nécessitant une communication en temps réel a connu une croissance exponentielle. Les plateformes de visioconférence, les outils de collaboration à distance, les services VoIP, les jeux en ligne, les systèmes de surveillance, les objets connectés et même les applications de télémédecine nécessitent tous la capacité de transmettre de l'audio, de la vidéo et des données en temps réel, avec une latence minimale et une fiabilité élevée.

Cependant, établir une communication directe entre deux appareils via Internet est loin d'être simple, notamment grâce à la traduction d'adresses réseau (NAT) et aux pare-feu qui protègent les réseaux privés. C'est là qu'interviennent deux protocoles fondamentaux : ÉTOURDIR e TOUR.

Le problème de traversée NAT

Pour comprendre l'utilité des protocoles STUN et TURN, il est essentiel d'analyser d'abord le principal obstacle qui entrave les communications peer-to-peer sur l'Internet moderne : le soi-disant Traversée NAT, ou surmonter les barrières imposées par NAT (Network Address Translation).

Qu'est-ce que NAT et pourquoi est-il utilisé ?

La technologie NAT Elle est largement utilisée dans les routeurs et les passerelles réseau pour permettre à plusieurs appareils d'un réseau local (LAN) de partager une adresse IP publique unique. En pratique, chaque appareil connecté au réseau domestique ou professionnel possède une adresse IP privée (par exemple, 192.168.1.x, 10.0.0.x), tandis que le routeur effectue la traduction d'adresse pour présenter une adresse IP publique unique au monde extérieur.

Cette opération est essentielle pour deux raisons principales :

• Sauvegarde des adresses IPv4:Les adresses IPv4 disponibles sont limitées et NAT permet de les réutiliser en interne.

• sécurité:Les appareils derrière NAT ne sont pas directement accessibles depuis Internet, ce qui réduit l'exposition aux attaques externes.

Cependant, cette barrière même qui protège les appareils introduit un défi non négligeable : le manque d'accessibilité directeDu point de vue d'un client externe, un périphérique derrière NAT n'a pas d'identité publique unique et le routeur ne sait pas à quel hôte transférer les requêtes entrantes, à moins qu'elles n'aient été précédées d'une connexion sortante (comme dans le cas d'une requête HTTP).

Pourquoi est-ce un problème dans les communications peer-to-peer ?

Cette limitation est particulièrement problématique pour les applications qui reposent sur des connexions pair-à-pair (P2P), c'est-à-dire des connexions directes entre deux appareils, sans passer par des serveurs intermédiaires. Exemples typiques :

• Services VoIP (Voix sur IP), tels que les téléphones SIP ou IP

• Plateformes de visioconférence

• Applications WebRTC comme Google Meet, Jitsi, Discord, etc.

• Logiciel de bureau à distance

• Jeux multijoueurs avec logique P2P

• Appareils IoT et domestiques intelligents qui doivent envoyer ou recevoir des commandes en temps réel

Dans ces cas, les deux parties doivent pouvoir se joindre, et doivent donc connaître leurs adresses IP publiques et leurs ports de communication respectifs. Cependant, si les deux appareils se trouvent derrière des NAT différents (un cas très courant de nos jours), une connexion directe devient impossible sans un mécanisme permettant de contourner cet obstacle.

Les complexités des différents types de NAT

Pour compliquer encore les choses, tous les NAT ne se comportent pas de la même manière. Il existe différents types de NAT, chacun présentant des caractéristiques et des niveaux de restriction différents :

• NAT à cône completUne fois le mappage établi entre l'adresse IP/port interne et l'adresse IP/port public, tout hôte peut envoyer des paquets à cette adresse publique, qui seront transmis au client interne. C'est la méthode la plus permissive.

• NAT conique restreint: Seuls les hôtes externes qui ont reçu des paquets du client peuvent lui envoyer des données.

• Port restreint cône NAT: comme le précédent, mais la restriction s'applique également sur le port distant.

• NAT symétriqueCrée un nouveau mappage pour chaque connexion sortante vers un hôte distant. C'est la méthode la plus restrictive et le principal ennemi des communications P2P.

Les applications doivent tenir compte de ces variables et s'adapter de manière dynamique. Cependant, sans outils de support comme STUN et TURN, la communication directe est souvent impossible.

L'obstacle supplémentaire des pare-feu

Pour couronner le tout, les éléments suivants entrent également en jeu : pare-feu, tant au niveau du client qu'au niveau de l'entreprise. Un pare-feu peut bloquer les connexions entrantes ou sortantes sur des ports spécifiques, empêchant ainsi le trafic peer-to-peer de circuler. Certains pare-feu sont configurés pour bloquer tout le trafic UDP, le protocole privilégié pour les communications en temps réel, ce qui rend la stabilité des connexions encore plus difficile.

La nécessité de « découvrir » son identité publique

Pour que deux pairs puissent établir une connexion directe, ils doivent savoir qui ils sont du point de vue d'Internet. Autrement dit, un appareil doit savoir l'adresse IP publique e la porte auquel le routeur a mappé sa communication. Cependant, il n'existe aucun moyen natif, dans les navigateurs ou les systèmes d'exploitation, d'obtenir cette information.

D'où la nécessité d'outils et de protocoles permettant d'obtenir ce type d'informations et de faciliter la communication entre pairs. D'où l'importance du protocole. ÉTOURDIR (pour découvrir l'identité publique) et, dans les cas les plus compliqués, de la Protocole TURN (pour signaler des données via un serveur tiers).

STUN : le premier pas vers la connexion directe

Qu'est-ce que STUN ?

ÉTOURDIR, Court pour Utilitaires de traversée de session pour NAT, est un protocole léger et simple qui permet à un appareil de déterminer son adresse IP publique et la nature du NAT qui le protège. STUN est décrit dans le RFC 5389 et est conçu pour permettre aux applications de découvrir comment elles sont vues de l'extérieur de leur réseau.

Comment fonctionne STUN ?

Lorsqu'un client souhaite établir une connexion avec un autre homologue, il envoie une requête STUN à un serveur STUN publicCe serveur répond avec l'adresse IP et le port d'où provient la requête, qui représentent l'identité publique du client. Ces informations peuvent ensuite être partagées avec l'autre homologue, en espérant que les deux puissent établir une connexion directe.

Le protocole STUN n’établit pas la connexion lui-même, mais est un moyens de découverte utile pour préparer le terrain pour une négociation ultérieure entre pairs.

Limites STUN

Bien que STUN soit extrêmement utile, il n'est pas toujours suffisant. Certains types de NAT (notamment NAT symétrique) et les pare-feu particulièrement restrictifs empêchent de toute façon les connexions directes. Dans ces cas, la communication peer-to-peer échoue et un mécanisme de secours est nécessaire : c'est là qu'intervient TURN.

TURN : le canal sécurisé pour toutes les éventualités

Qu'est-ce que TURN ?

TOUR, Court pour Traversée utilisant des relais autour de NAT, est un protocole qui permet à un client d'envoyer et de recevoir des données via un serveur relais situé sur Internet. TURN est défini par le RFC 5766 et représente l'évolution du protocole STUN, offrant une solution fiable dans toutes les conditions de réseau.

En termes simples, lorsqu'une connexion directe entre homologues est impossible, TURN agit comme intermédiaire : il reçoit les paquets d'un homologue et les retransmet à l'autre. Cela garantit une communication transparente, même si les deux appareils sont protégés par des NAT complexes ou des pare-feu restrictifs.

Comment fonctionne TURN ?

Le client contacte le Serveur TURN et nécessite l'allocation d'une ressource (une paire IP/port). Une fois allouée, le client peut utiliser ce point de terminaison public pour recevoir des paquets d'autres homologues. Lorsqu'un homologue envoie un paquet à cette adresse, le serveur TURN le transmet au client, agissant comme relais.

Contrairement à STUN, TURN consomme davantage de ressources réseau, car tout le trafic transite par le serveur TURN. Cela entraîne une latence accrue et une consommation de bande passante importante, d'où l'utilisation de TURN. solo venir ultima risorsa, lorsque STUN échoue.

STUN et TURN dans le contexte WebRTC

WebRTC (Web Real-Time Communication) est une technologie permettant aux navigateurs de communiquer en temps réel via la vidéo, l'audio et les données. Elle est utilisée par des services tels que Google Meet, Zoom, Jitsi, Discord et bien d'autres. WebRTC implémente nativement les protocoles STUN et TURN dans son architecture de connexion.

Lors de la négociation entre deux pairs (la phase de « signalisation »), WebRTC utilise un processus appelé VÉLO (Interactive Connectivity Establishment) qui teste différentes connexions « candidates » entre pairs :

1. Candidats hôtes: connexions directes sur le réseau local.

2. Candidats réflexifs du serveur: connexions obtenues via STUN.

3. Candidats au relais: connexions via le serveur TURN.

L'algorithme ICE sélectionne dynamiquement le chemin le plus efficace. WebRTC n'utilise TURN que si les deux premières options échouent.

Coturn : la norme de facto pour les serveurs STUN/TURN open source

Lorsqu'on parle d'implémentations pratiques de STUN/TURN, il est impossible de ne pas mentionner retour, le projet open source le plus répandu et le plus soutenu dans ce domaine.

Qu'est-ce que coturn ?

Coturne Il s'agit d'un serveur TURN/STUN conforme aux normes IETF, écrit en C et activement maintenu sur GitHub. Il prend en charge STUN et TURN, ainsi que des fonctionnalités avancées telles que :

• Authentification basée sur le nom d'utilisateur/mot de passe

• Prise en charge de TLS/DTLS

• Proxy IPv4 ↔ IPv6

• Prise en charge des connexions TCP et UDP

• Intégration avec des systèmes d'authentification externes

Coturn est utilisé dans de nombreux projets professionnels, à la fois dans des environnements auto-hébergés et dans des infrastructures cloud, et constitue souvent le backend des capacités de communication en temps réel à l'échelle mondiale.

Pourquoi choisir coturn ?

(I.e. Fiabilité

Coturn est un projet open source mature, utilisé depuis des années dans des environnements de production, notamment les grands systèmes VoIP, les plateformes de visioconférence, les jeux multijoueurs et les outils de collaboration en temps réel. stabilité opérationnelle Il a été largement testé dans des scénarios à fort trafic et sur des connexions internet instables. Grâce à un cycle de développement actif et à une communauté compétente, les bugs pertinents sont rapidement corrigés. Il est compatible avec un large éventail de clients et ne présente pas les instabilités courantes de certaines implémentations alternatives.

🌐 Compatibilité

Coturn est entièrement conforme aux spécifications IETF (RFC 5389, RFC 5766, RFC 5780, RFC 6062, RFC 6156), qui assure un haut niveau d'interopérabilité avec les bibliothèques et clients WebRTC, SIP et VoIP. Il s'intègre ainsi facilement à des environnements hétérogènes, sans recourir à des solutions de contournement ni à des personnalisations. Il prend en charge les deux protocoles. Étourdir qui tourne, ainsi que des fonctionnalités avancées telles que TURN-over-TLS, STUN avec authentification à long terme et allocations TCP.

🚀 Évolutivité

Coturn est conçu pour gérer charges lourdes: grâce à son architecture multithread et à l'utilisation efficace des ressources système, il peut prendre en charge des centaines ou des milliers de connexions simultanéesIl peut être déployé derrière un équilibreur de charge ou configuré pour s'exécuter en clusters, ce qui le rend adapté aux petits et aux grands projets. solutions d'entreprise à grande échelleLa possibilité d'intégrer des systèmes de journalisation et de surveillance (par exemple, via syslog ou prometheus-exporter) vous permet de garder le contrôle même dans des environnements critiques.

(I.e. sécurité

La sécurité est l’un des aspects fondamentaux de coturn : elle prend en charge authentification à long terme, TLS/DTLS pour le cryptage des flux, Restrictions IP, des filtres pour empêcher les abus du serveur (par exemple, le proxy non autorisé) et peuvent être configurés pour fonctionner uniquement dans des environnements restreints ou derrière des VPN. De plus, des restrictions précises peuvent être activées pour empêcher toute utilisation abusive par des tiers, réduisant ainsi le risque d'abus de relais ou d'attaques par déni de service.

Pour toutes ces raisons, coturn est le choix recommandé pour quiconque cherche à mettre en œuvre une solution professionnelle de traversée NAT.

Pour toutes ces raisons, retour est confirmé choix idéal Pour ceux qui recherchent une solution professionnelle pour surmonter les limitations imposées par les NAT et les pare-feu, notamment dans les contextes WebRTC et VoIP. Gratuite, hautement configurable, stable même sous forte charge, elle bénéficie du soutien d'une communauté technique compétente. Que vous développiez une application de visioconférence, un système de messagerie ou une plateforme multijoueur, coturn représente un pilier solide sur lequel construire.

Scénarios d'utilisation dans le monde réel

Voyons quelques exemples concrets où STUN et TURN sont fondamentaux :

1. Vidéoconférence d'entreprise

Une plateforme de visioconférence doit garantir que deux utilisateurs, même derrière des pare-feu d'entreprise différents, puissent communiquer de manière fluide. STUN tentera d'établir une connexion directe, mais en cas d'échec, TURN assurera la communication via un relais.

2. Assistance à distance ou application de bureau à distance

Des outils comme AnyDesk, TeamViewer ou les services d'assistance informatique doivent pouvoir établir une connexion même sur des réseaux restreints. Le recours à TURN permet un accès à distance même dans les cas les plus complexes.

3. Jeux vidéo multijoueurs peer-to-peer

De nombreux jeux en ligne utilisent la logique pair-à-pair pour réduire la charge des serveurs centraux. Avec STUN, les clients peuvent découvrir leur adresse IP publique et tenter des connexions directes. Si cela n'est pas possible, TURN assure la connexion.

4. IoT et appareils intelligents

Les appareils tels que les caméras IP, les interphones intelligents ou les capteurs intelligents doivent communiquer en temps réel avec les applications mobiles. STUN et TURN permettent cette communication même lorsque les appareils sont derrière un NAT.

Considérations de sécurité

L'utilisation des protocoles ÉTOURDIR et surtout TOUR implique une série de risques et implications en matière de sécurité qui ne doit pas être sous-estimé, en particulier dans les environnements de production ou dans les environnements exposés publiquement sur Internet. TURN, en particulier, agit en tant que relais de trafic entre deux homologues, expose son infrastructure à des abus potentiels si elle n’est pas correctement protégée.

⚠️ TURN et risque d'abus (DDoS, relais non autorisé)

Étant donné qu'un serveur TURN peut transférer le trafic vers et depuis des homologues distants, peut être utilisé comme pont pour :

• Attaques DDoS réflexives, où le trafic est acheminé via TURN pour masquer l'origine de l'attaque.

• Abus de bande passante, par des clients malveillants qui utilisent le relais pour contourner les restrictions géographiques ou les pare-feu.

• Exfiltration de données ou des communications non autorisées.

Sans un authentification stricte, quiconque connaît l'IP du serveur peut essayer de l'utiliser comme relais gratuit.

✅ Authentification et gestion des accès

Pour éviter les abus, il est essentiel que les serveurs TURN soient protégé par un système d'authentification robusteCoturn prend en charge nativement l'authentification :

• d'une location: avec des informations d'identification statiques préconfigurées.

• Dynamique (API REST TURN): qui génère des jetons temporaires signés avec HMAC et expiration, particulièrement utiles pour les environnements WebRTC.

L'utilisation de l'API REST TURN est aujourd'hui hautement recommandé, car il vous permet de limiter temporairement et de manière granulaire l'accès aux clients légitimes.

De plus, vous pouvez :

• Restreindre l'accès à des éléments spécifiques Plages IP.

• Configurer temps mort e limites de bande passante par session.

• Intégrer des systèmes de limitation de débit pour se protéger contre les connexions massives ou automatisées.

• Activez le journalisation complète des allocations TURN, utiles pour détecter des comportements suspects ou enquêter sur des anomalies.

🔒 Utilisation de TLS et DTLS

La protection des communications doit être assurée non seulement au niveau applicatif, mais aussi au niveau du transport. Coturn prend en charge :

• TURN over TLS (TCP+TLS)

• TURN over DTLS (UDP+DTLS)

• STUN sur TLS/DTLS

Ces modes cryptent la signalisation et les flux multimédias, empêchant interception par des tiers et en améliorant la confidentialité et intégrité des communications entre pairs.

L'utilisation de TLS/DTLS est particulièrement recommandée dans les contextes sensibles, où les pairs sont situés sur des réseaux non fiables (par exemple, Wi-Fi public, environnements d'entreprise mixtes, sessions WebRTC).

🛡️ Une configuration sécurisée avec coturn

Coturn met à disposition tous les outils nécessaires Pour mettre en œuvre une infrastructure TURN sécurisée :

• Authentification dynamique avec expiration

• Filtrage IP et contrôle d'allocation

• Prise en charge TLS et DTLS

• Journalisation détaillée pour l'audit et le diagnostic

• Possibilité d'exécuter le service avec des privilèges limités

Une configuration soignée et consciente Elle permet d'atténuer les risques et de protéger l'infrastructure contre les abus ou les attaques externes. Il est essentiel d'intégrer la sécurité dès le début du processus de conception, et non comme une mesure corrective ultérieure.

L'adoption de STUN et TURN est essentielle pour garantir une communication directe dans les scénarios de traversée NAT. Cependant, ce n'est pas du « plug and play »: il est nécessaire d'accompagner la mise en œuvre avec mesures de sécurité techniques, organisationnelles et procédurales.

Coturne, s'il est configuré correctement, représente une solution fiable, sûr et hautement contrôlable, parfait pour les environnements où la sécurité n'est pas une option mais une exigence.

conclusion

Les protocoles STUN et TURN sont des composants clés pour les communications en temps réel sur Internet. STUN permet la découverte d'adresses publiques et la négociation directe de connexions, tandis que TURN offre une solution de secours, même dans les scénarios les plus complexes.

Sans ces protocoles, des technologies comme WebRTC ne fonctionneraient tout simplement pas dans de nombreux environnements réels. C'est précisément pourquoi, lors de la conception de services de VoIP, de visioconférence ou de communication peer-to-peer, il est essentiel de déployer des serveurs STUN/TURN fiables, sécurisés et performants.

Si vous envisagez d'installer et de configurer un serveur TURN/STUN pour votre infrastructure, Chez MANAGED SERVER SRL, nous avons une expérience consolidée dans la mise en œuvre et la gestion de serveurs basés sur coturnNous pouvons vous aider à concevoir une solution évolutive, sécurisée et performante adaptée à votre cas d'utilisation spécifique.