Настройка работы Р7-Команда за NAT (reverse proxy + stun/turn)

Print Friendly, PDF & EmailРаспечатать/сохранить в PDF

Схема сетевого взаимодействия:

Настройка работы Р7-Команда за NAT (reverse proxy + stun/turn)

Внесение записей в глобальный DNS:

1) Перед инсталляцией рекомендуется внести необходимые записи в глобальный dns, для возможности работы приложения, после всех указанных ниже действий. Необходимо задать три А записи: Для названия сервера управления, для медиа сервера и Coturn сервера. Пример записей ниже: Настройка работы Р7-Команда за NAT (reverse proxy + stun/turn)

На сервере с ролями reverse proxy и stun/turn:

Установка производилась на ОС Debian 11. Предполагается что на данном сервере имеется сетевой адаптер с прямым белым ip адресом, а также второй сетевой интерфейс с доступом в корпоративную сеть. Либо имеется один сетевой интерфейс без белого ip адреса и используется Port forwarding для такого сервера. 2) Установите Nginx и Coturn TURN если они еще не установлены:
apt install nginx coturn -y
3) Запустите службу nginx и добавьте её в автозагрузку:
systemctl enable --now nginx
4) Создайте файл для сервера управления /etc/nginx/conf.d/team_proxy.conf со следующим содержимым:
map $http_host $this_host {
"" $host;
default $http_host;
}
map $http_x_forwarded_proto $the_scheme {
default $http_x_forwarded_proto;
"" $scheme;
}
map $http_x_forwarded_host $the_host {
default $http_x_forwarded_host;
"" $this_host;
}
map $http_upgrade $proxy_connection {
default upgrade;
"" close;
}
server {
listen 80;
server_name {DNS_NAME_TEAM} ;
server_tokens off;
## Redirects all traffic to the HTTPS host
return 301 https://$server_name$request_uri;
}
server {
listen 443 ssl http2;
server_name {DNS_NAME_TEAM};
ssl_certificate {PATH_TO_CERTIFICATE};
ssl_certificate_key {PATH_TO_KEY};
ssl_session_timeout 24h;
ssl_session_cache shared:SSL:16m;
ssl_session_tickets on;
ssl_prefer_server_ciphers on;
ssl_ciphers AES256+EECDH:AES256+EDH:!aNULL;
add_header Strict-Transport-Security "max-age=31536000;";
location / {
proxy_pass https://{IP_SERVER_TEAM};
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection $proxy_connection;
proxy_set_header X-Forwarded-Host $the_host;
proxy_set_header X-Forwarded-Proto $the_scheme;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
}
Где,
  • {PATH_TO_CERTIFICATE} — полный путь до ssl сертификата (для домена team.domain.ru). для защищённого соединения HTTPS, например /etc/ssl/fullchain.pem;
  • {PATH_TO_KEY} — полный путь до ключа от сертификата, например /etc/ssl/privkey.pem;
  • {IP_SERVER_TEAM} — приватный ip адрес сервера, где установлен сервер управления команд, например, 192.168.1.12;
  • {DNS_NAME_TEAM} — dns имя для сервера управления, которое Вы прописали, например, team.domain.ru
5) Создайте файл для медиа сервера /etc/nginx/conf.d/media_proxy.conf со следующим содержимым:
server {
listen 80;
listen 443 ssl http2;
server_name {IP_SERVER_MEDIA};
gzip on;
gzip_disable "msie6";
gzip_vary on;
gzip_proxied any;
gzip_comp_level 6;
gzip_buffers 32 16k;
gzip_min_length 256;
gzip_types application/atom+xml
application/geo+json
application/javascript
application/x-javascript
application/json
application/ld+json
application/manifest+json
application/rdf+xml
application/rss+xml
application/xhtml+xml
application/xml
font/eot
font/otf
font/ttf
image/svg+xml
text/css
text/javascript
text/plain
text/xml;
proxy_next_upstream error timeout http_502 http_503 http_504 http_429 ;
if ($scheme = http) {
return 301 https://$server_name$request_uri;
}
ssl_session_timeout 24h;
ssl_session_cache shared:SSL:16m;
ssl_session_tickets on;
ssl_prefer_server_ciphers on;
ssl_ciphers AES256+EECDH:AES256+EDH:!aNULL;
add_header Strict-Transport-Security "max-age=31536000;";
ssl_certificate {PATH_TO_CERTIFICATE};
ssl_certificate_key {PATH_TO_KEY};
location / {
proxy_pass_request_headers on;
proxy_pass_request_body on;
proxy_set_header Host $host;
proxy_pass https://{IP_SERVER_MEDIA};
proxy_http_version 1.1;
proxy_pass_header Set-Cookie;
proxy_pass_header P3P;
real_ip_header X-Forwarded-For;
}
}
Где,
  • {PATH_TO_CERTIFICATE} — полный путь до ssl сертификата (для домена media.domain.ru). для защищённого соединения HTTPS, например /etc/ssl/fullchain.pem;
  • {PATH_TO_KEY} — полный путь до ключа от сертификата, например /etc/ssl/privkey.pem;
  • {IP_SERVER_MEDIA} — приватный ip адрес сервера, где установлен медиа сервер команд, например, 192.168.1.11;
  • {DNS_NAME_MEDIA} — dns имя для медиа сервера, которое Вы прописали, например, media.domain.ru
6) Перезапустите службу nginx:
systemctl restart nginx
7) Отредактируйте файл для coturn роли /etc/turnserver.conf приведя его содержимое к виду: Дальнейшая конфигурация предполагает использования STUN и TURN ролей на данном сервере. Это пример конфигурации.
listening-ip=0.0.0.0 # Прослушивать все IP-адреса
external-ip={EXTERNAL_IP}
relay-ip={RELAY_IP}
relay-ip={RELAY_IP}
fingerprint
lt-cred-mech
user={CREDENTIAL}
realm={DNS_NAME_COTURN}
syslog
min-port=10000
max-port=30000
log-file=/tmp/turnserver.log
verbose
Verbose
Где,
  • {EXTERNAL_IP} — внешний белый ip адрес (как пример задан на этапе 1) ;
  • {RELAY_IP} — необходимо указать как внутренний адрес, заданный на одном из сетевых адаптеров, так и внешний адрес сервера, укажите их на разных строках;
  • {CREDENTIAL} — учетная запись для авторизации на turn сервере (пример: mediauser:12345678);
  • {DNS_NAME_COTURN} — dns имя для coturn сервера, которое Вы прописали в глобальном DNS, например, stunturn.domain.ru
8) Перезапустите службу coturn:
systemctl restart coturn

Установите медиа сервер по инструкции:

Установку можно производить по инструкции (раздел 6), за исключением части пунктов, где требуется коррекция: https://support.r7-office.ru/team/team_install/team_install/ 9) Пропишите записи DNS в /etc/hosts
127.0.0.1 localhost
{INTERNAL_IP} media.domain.ru
{DNS_NAME_COTURN_LOCAL} stunturn.domain.ru stunturn
Где,
  • {INTERNAL_IP} — необходимо указать внутренний адрес медиа сервера;
  • {DNS_NAME_COTURN_LOCAL} — необходимо указать внутренний адрес, до сервера с ролями reverse proxy и stun/turn (обязательно оставьте имя сервиса без домена, как пример: stunturn).
10) После запуска скрипта установка, с выбором установки медиа сервера, вы можете увидеть запись. Настройка работы Р7-Команда за NAT (reverse proxy + stun/turn) Так как наша конфигурация подразумевает установку в закрытом контуре, выберите пункт <Все равно продолжить> 11) Продолжите установку медиа сервера по инструкции. 12) После завершения установки, создайте конфигурационный файл /etc/media/media.properties.d/media.properties со следующим содержимым:
com.mind.media.profile.webrtc.relayCandidates=true
com.mind.media.profile.webrtc.reflexiveCandidates=true
  • com.mind.media.profile.webrtc.relayCandidates=true: Эта строка включает использование ретрансляционных кандидатов (relay candidates) для соединения WebRTC. Ретрансляционные кандидаты используются, когда два клиента WebRTC не могут установить прямое соединение друг с другом (например, если они находятся за NAT). В этом случае, сервер TURN (или STUN) выступает в качестве ретранслятора, позволяя клиентам обмениваться данными через него;
  • com.mind.media.profile.webrtc.reflexiveCandidates=true: Эта строка включает использование рефлексивных кандидатов (reflexive candidates) для соединения WebRTC. Рефлексивные кандидаты позволяют клиентам узнать свой внешний IP- адрес, даже если они находятся за NAT. Это важно, так как некоторые устройства не могут получить свой внешний IP-адрес напрямую.
13) В конфигурационном файле /etc/xcoder/xcoder.conf дополните секцию webrtc_rtpgw авторизационными данными:
webrtc_rtpgw
{
pool_min_free 100
workers_per_process 64
port_range_begin 20000
port_range_end 30000
turn_hosts
{
stunturn:3478
{
protocol "tcp"
username "mediauser"
password "12345678"
}
}
stun_hosts
{
"stunturn:3478"
}
}
}
Где,
  • stunturn:3478 — это имя хоста и порт coTURN сервера (он же указан в /etc/hosts) ;
  • username — имя пользователя для аутентификации на сервере coTURN;
  • password — пароль для аутентификации на сервере coTURN.
14) Перезапустите зависимые службы для применения изменений:
systemctl restart nginx.service opensips.service xcoder-media.service

Установите сервер управления по инструкции:

Установку можно производить по инструкции (раздел 7), за исключением части пунктов, где требуется коррекция: https://support.r7-office.ru/team/team_install/team_install/ 15) Пропишите записи DNS в /etc/hosts
127.0.0.1 localhost
{INTERNAL_IP} media.domain.ru
Где,
  • {INTERNAL_IP} — необходимо указать внутренний адрес медиа сервера.
16) После запуска скрипта установка, с выбором установки сервера управления, вы дойдете до пункта. Настройка работы Р7-Команда за NAT (reverse proxy + stun/turn) где необходимо указать url медиа сервера. 17) Создайте директорию для считывания конфигурационного файла
mkdir /root/.team/config.d
18) После завершения установки, создайте конфигурационный файл /root/.team/config.d/ss-production.properties с настройками для stun/turn сервера со следующим содержимым:
mind.stun.url=stun:stunturn.domain.ru:3478
mind.turn.url=turn:stunturn.domain.ru:3478
mind.turn.username=mediauser
mind.turn.password=12345678
Где,
  • mind.stun.url=stun:stunturn.domain.ru:3478: определяет адрес и порт сервера STUN (Session Traversal Utilities for NAT). Сервер STUN используется для определения внешнего IP-адреса и порта устройства, находящегося за NAT. В примере адрес сервера STUN — stunturn.domain.ru, а порт — 3478;
  • mind.turn.url=turn:stunturn.domain.ru:3478: определяет адрес и порт сервера TURN (Traversal Using Relays around NAT). Сервер TURN используется для ретрансляции трафика WebRTC, когда два устройства не могут установить прямое соединение друг с другом (например, если они находятся за NAT). В этом случае, сервер TURN выступает в качестве посредника, позволяя устройствам обмениваться данными через него. В примере адрес сервера TURN — stunturn.domain.ru, а порт — 3478;
  • mind.turn.username=mediauser: определяет имя пользователя для аутентификации на сервере TURN;
  • mind.turn.password=12345678: определяет пароль для аутентификации на сервере TURN.
19) Перезапустите сервер управления для применения изменений:
reboot
В данной конфигурации задержка в начале звонка, составляющая от 6 до 12 секунд до попадания в комнату, является стандартным показателем
Была ли полезна статья?
Позвольте нам стать лучше