TURN-Server erklärt: Wie Video durch restriktive Netzwerke gelangt

Hin und wieder weigert sich eine Bildschirmfreigabe, ein Videoanruf oder die Steuerverbindung der Vortragenden schlicht, in einem bestimmten Netzwerk eine Verbindung aufzubauen, obwohl es überall sonst funktioniert. In neun von zehn Fällen ist eine blockierte Direktverbindung schuld, und die Lösung ist ein TURN-Server. TURN-Server einfach erklärt: Sie sind das Relay, das eine Peer-to-Peer-Verbindung am Laufen hält, wenn das Netzwerk nicht zulässt, dass zwei Geräte direkt miteinander kommunizieren.

Falls Sie sich je gefragt haben, warum Ihr Präsentationstool überhaupt eine Einstellung für „Relay“ oder „TURN“ braucht, finden Sie hier die Antwort. Es lohnt sich, das zu verstehen, egal ob Sie heute Abend eine abgebrochene Verbindung untersuchen oder vor dem Kauf die Netzwerkversprechen eines Tools prüfen.

Warum Direktverbindungen manchmal scheitern

WebRTC, die Technologie hinter den meisten Peer-to-Peer-Tools für Video und Steuerung, verbindet zwei Geräte bevorzugt direkt miteinander. Das ist effizient und schnell: Keine dritte Partei sitzt zwischen dem Smartphone der Vortragenden und dem Host-Computer, auf dem die Folien laufen. Das Problem: Eine echte Direktverbindung setzt voraus, dass beide Geräte im offenen Internet erreichbar sind, und das sind die meisten Geräte nicht.

Heimrouter nutzen NAT (Network Address Translation), um eine öffentliche IP-Adresse auf viele Geräte zu verteilen, was Direktverbindungen bereits erschwert. Firmen- und Veranstaltungsnetzwerke gehen noch weiter: Sie blockieren UDP-Verkehr oft vollständig oder beschränken ausgehende Verbindungen auf eine kurze Liste freigegebener Ports. STUN, ein schlankeres Protokoll, kann einfache NAT-Fälle lösen, indem es zwei Geräten hilft, ihre öffentliche Adresse zu ermitteln. Alles lösen kann es nicht.

Was TURN tatsächlich macht

TURN, Traversal Using Relays around NAT, ist das Fallback für genau diese Situation. Es ist in IETF RFC 8656 definiert und funktioniert, indem es beiden Geräten eine Relay-Adresse gibt, an die sie ihren Datenverkehr senden, statt direkt aneinander. Das Relay leitet die Pakete einfach zwischen beiden Seiten weiter.

Dabei kommt es auf drei Dinge an:

STUN, TURN und TURNS: Worin liegt der Unterschied?

Diese drei Akronyme werden oft synonym verwendet, sollten es aber nicht:

Diese letzte Zeile ist wichtiger, als sie aussieht. Ein Netzwerk, das alles außer normalem HTTPS-Verkehr auf Port 443 blockiert, lässt eine TURNS-Verbindung trotzdem durch, denn für dieses Netzwerk sieht sie genauso aus wie gewöhnliches Surfen im Web. Genau dieser Mechanismus steckt dahinter, warum Firmen-Firewalls Präsentationstools blockieren und warum gute Tools trotzdem durchkommen.

Wie Cliqer TURN nutzt

Die Desktop- und Web-Clients von Cliqer versuchen zuerst eine direkte WebRTC-Verbindung, gesichert mit DTLS und SRTP. Blockiert das Netzwerk diese, wechselt die Verbindung automatisch auf ein verschlüsseltes TURN-Relay, einschließlich eines TURNS-Pfads über Port 443 für Netzwerke, die ausgehend nur normalen Webverkehr zulassen. TURN-Zugangsdaten werden pro Anfrage mit einer Gültigkeitsdauer von 24 Stunden erzeugt und automatisch rotiert, statt fest einprogrammierte Werte zu sein, die ein Client unbegrenzt wiederverwendet.

Nichts davon erfordert eine Einrichtung Ihrerseits. Das Fallback geschieht automatisch und unsichtbar, ob Sie aus dem Homeoffice präsentieren oder aus einem abgeschotteten Konferenzzentrum. Wenn Sie das vollständige Bild davon möchten, wie der Rest der Verbindung gesichert ist, lesen Sie Ist WebRTC sicher? und die Dokumentation zu Sicherheit & Netzwerk.

Was ein Relay kostet und was nicht

TURN-Relaying ist technisch gesehen nicht kostenlos. Das Routing des Datenverkehrs über einen dritten Punkt erhöht die Latenz im Vergleich zu einer Direktverbindung geringfügig und verbraucht auf Seiten des Relay-Betreibers mehr Bandbreite. Was es Sie nicht kostet, ist Sicherheit: Das Relay entschlüsselt die Nutzdaten nie, ein abgeschottetes Netzwerk zwingt Sie also nicht zur Wahl zwischen „es funktioniert“ und „es ist privat“.

Speziell bei der Bildschirmfreigabe, wo jede zusätzlichen hundert Millisekunden deutlicher auffallen als bei einem einfachen Signal zum Folienwechsel, behandeln wir das größere Thema Latenz in Wie wir die Bildschirmfreigabe viermal schneller gemacht haben und Latenz bei der Bildschirmfreigabe in hybriden Meetings beheben.

Fehlerbehebung, wenn keine Verbindung zustande kommt

1. Verbinden Sie sich kurz über einen mobilen Hotspot. Funktioniert die Verbindung dort, aber nicht im Netzwerk des Veranstaltungsorts, liegt das Problem am Netzwerk, nicht an der App.
2. Prüfen Sie, ob die App eine sichtbare Anzeige für „Relay“ oder „Verbindungstyp“ hat, und vergewissern Sie sich, dass sie TURN versucht, statt einfach zu scheitern.
3. Stellen Sie sicher, dass ausgehendes HTTPS auf Port 443 erlaubt ist, denn ein TURNS-Fallback über 443 ist in den restriktivsten Netzwerken die letzte Verteidigungslinie.
4. Wenn nichts davon hilft, wenden Sie sich an das IT-Team des Veranstaltungsorts oder Büros, und zwar mit den konkreten Ports und Protokollen aus der Dokumentation des Anbieters statt mit einer allgemeinen Meldung wie „es funktioniert nicht“.

Wenn Sie das Netzwerkverhalten im Rahmen einer umfassenderen Anbieterprüfung bewerten, nehmen Sie diesen Punkt in die vollständige Sicherheits-Checkliste für Präsentationssoftware auf, denn wie ein Tool mit restriktiven Netzwerken umgeht, wird leicht übersehen, bis zu dem Tag, an dem es darauf ankommt.

FAQ

Jetzt starten

Wenn Sie an Veranstaltungsorten, in Büros von Kunden oder überall dort präsentieren, wo Sie das Netzwerk nicht kontrollieren, testen Sie Cliqer kostenlos und erleben Sie das automatische Fallback in Aktion, oder lesen Sie die vollständige Sicherheitsübersicht, um zu erfahren, wie jede Ebene der Verbindung geschützt ist.