Servidores TURN e STUN

Noutra perspetiva operacional, os nós TURN mantêm a continuidade para plataformas online (por exemplo, interação de áudio e vídeo sobre WebRTC) ao direcionar mensagens através de uma estação de retransmissão separada sempre que não seja possível manter uma ligação direta entre pares. A especificação TURN foi formalizada no IETF (RFC 8656) e aparece frequentemente em conjunto com o método STUN como parte das soluções de travessia NAT implementadas em WebRTC.

Ao contrário do TURN, um elemento STUN nunca transmite fluxos multimédia. Em vez disso, apenas devolve ao terminal solicitante as suas informações de endereçamento externo. Esse conjunto de dados é posteriormente integrado no modelo ICE (Interactive Connectivity Establishment) para construir alternativas server-reflexive e coordenar caminhos de conectividade entre pares comunicantes em WebRTC.

Esquema de Funcionamento do ICE

Papel do TURN no WebRTC e nas Comunicações em Tempo Real

O WebRTC (Web Real-Time Communication) depende da estrutura ICE para identificar o caminho mais eficiente para a entrega de conteúdo entre terminais. O ICE verifica se os terminais permanecem acessíveis entre si e, sempre que necessário, estabelece ligações através de STUN ou TURN.

Tipicamente, o WebRTC tenta primeiro criar um canal fiável (usando identificadores de host ou mapeamentos públicos revelados através de STUN). Sempre que o STUN se revele inadequado (por exemplo, quando os utilizadores operam atrás de NAT simétrico), o TURN é aplicado.

Embora o TURN suporte a travessia NAT nessas condições, também gera atraso adicional e aumenta a sobrecarga de processamento, porque cada pacote tem de ser reencaminhado em vez de ser transmitido diretamente entre pares. Portanto, a função essencial do TURN é garantir conectividade estável para sessões ou reuniões, mesmo nos casos em que as ligações diretas através de endereços de host ou externos permaneçam inatingíveis.

STUN vs. TURN: Qual é a Diferença?

Tanto o STUN como o TURN funcionam como mecanismos de travessia NAT cooperativos, embora resolvam objetivos distintos:

• • Protocolo STUN

O STUN identifica o endereço IP externo e a porta de rede de um dispositivo (seu candidato server-reflexive) ao enviar um pedido para um servidor STUN. Isto permite que dois terminais estabeleçam uma ligação ponto a ponto eficiente. Após a troca das informações de endereçamento, o tráfego multimédia flui diretamente entre os participantes, sem necessidade de intermediários.

Limitações: O STUN não consegue lidar com todas as categorias de NAT (por exemplo, NAT simétrico). Embora seja preferível sempre que viável devido ao atraso mínimo (sem sobrecarga de retransmissão), não é universalmente aplicável.

• • Protocolo TURN

O TURN fornece reencaminhamento de pacotes quando não é possível estabelecer uma ligação direta ponto a ponto. Ambos os participantes ligam-se ao mesmo servidor TURN, que retransmite o tráfego entre eles. Esta abordagem é especialmente útil quando o STUN falha, embora introduza latência adicional e aumente a carga do servidor, uma vez que todos os dados devem passar pela retransmissão.

Na prática: STUN e TURN são quase sempre implementados em conjunto. O ICE testa inicialmente a comunicação baseada em STUN e depois recorre ao TURN apenas como recurso, garantindo a rota mais eficiente enquanto emprega o TURN somente quando essencial.

Casos de Uso Típicos para Servidores TURN

O TURN é utilizado em ambientes onde os canais convencionais ponto a ponto são limitados por restrições de rede, mantendo uma comunicação fiável entre utilizadores mesmo em NAT simétrico. Graças ao TURN, aplicações interativas, incluindo reuniões de vídeo e trocas de voz, continuam a funcionar consistentemente.

Cenários comuns:

• • Reuniões e conferências de vídeo WebRTC

Quando vários participantes participam numa sessão, os seus sistemas criam candidatos ICE. Se a conectividade não puder ser alcançada através de identificadores de host ou STUN (devido a barreiras NAT), o TURN reencaminha os fluxos multimédia. Isto garante a estabilidade da sessão e reduz interrupções inesperadas nas chamadas.

• • Ambientes corporativos

As firewalls empresariais frequentemente restringem pacotes UDP desconhecidos ou limitam a conectividade de saída com base em valores de porta. Um serviço TURN a operar sobre a porta 443 com TLS disfarça-se como tráfego HTTPS, contornando eficazmente esses controlos.

• • Travessia NAT para VoIP

O TURN fornece comunicação ponto a ponto consistente em contextos com NAT intenso, o que permanece essencial para implementações VoIP. Ligações instáveis ou latência elevada reduzem a clareza do áudio, produzindo interrupções e artefactos de eco.

Como Funciona o TURN (Mecanismo de Travessia e Retransmissão)

A funcionalidade do TURN pode ser dividida em várias etapas:

• • Alocação (Allocation)

Quando um terminal não consegue formar um caminho direto, transmite um pedido Allocate para a instância TURN. O serviço responde distribuindo um identificador IP externo distinto e uma porta (localização de transporte de retransmissão) para reencaminhamento posterior.

• • Partilha de Candidatos (Candidate Sharing)

O terminal comunica a coordenada de retransmissão atribuída ao seu parceiro através do ICE. Ambos os participantes percebem que, se o acesso direto falhar, o tráfego pode transitar via TURN.

• • Retransmissão de Dados (Data Relaying)

Os terminais entregam segmentos de fluxo ao sistema TURN, que os transmite para o outro lado. Para qualquer um dos lados, a origem aparente do pacote corresponde ao endereço do servidor TURN, garantindo que o reencaminhamento permanece contínuo.

• • Aplicação de Permissões (Permission Enforcement)

As instâncias TURN processam exclusivamente tráfego envolvendo terminais aprovados, bloqueando atividades não autorizadas ou potencial exploração de open relay.

Configuração do Servidor TURN e Detalhes do Protocolo

Antes de ativar o TURN, devem ser considerados múltiplos fatores de implementação:

• • Infraestrutura do Servidor

Uma instância TURN pode operar quer num sistema de hardware autónomo quer dentro de uma plataforma virtual alojada, desde que mantenha um ponto final IP público disponível para todos os utilizadores. Quando a instância reside atrás de NAT, o IP externo deve ser explicitamente configurado para que os utilizadores obtenham terminais de retransmissão precisos..

• • Portas e Transportes
    • UDP (3478): a opção de entrega padrão para multimédia, oferecendo latência muito baixa.
    • TCP (3478): aplicado como alternativa sempre que o UDP esteja restrito.
    • TLS sobre TCP (5349): garante encriptação e travessia de firewall, embora introduza atraso adicional.
    • DTLS sobre UDP: fornece proteção de nível TLS enquanto mantém a eficiência do UDP.
  • Autenticação

Para reduzir a retransmissão não autorizada, o TURN aplica verificação. Tipicamente, são implementados detalhes de login persistentes ou tokens temporários (distribuídos através de uma interface REST).

• • Opções de Configuração

Os valores essenciais incluem intervalos de portas ativas, ficheiros de certificados TLS, material de segredo de autenticação e conjuntos de identificadores de transporte de retransmissão.