Servidores TURN explicados: cómo pasa el vídeo a través de redes restrictivas

De vez en cuando, una pantalla compartida, una videollamada o la conexión de control de un presentador se niega a conectarse en una red concreta, aunque funcione en cualquier otro sitio. Nueve de cada diez veces, el culpable es una conexión directa bloqueada, y la solución es un servidor TURN. Servidores TURN explicados de forma sencilla: son el relé que mantiene funcionando una conexión peer-to-peer cuando la red no permite que dos dispositivos se comuniquen directamente.

Si alguna vez te has preguntado por qué tu herramienta de presentaciones necesita un ajuste de «relay» o «TURN», esta es la respuesta, y merece la pena entenderla tanto si estás solucionando una conexión caída esta misma noche como si estás evaluando lo que promete una herramienta en materia de red antes de comprarla.

Por qué a veces fallan las conexiones directas

WebRTC, la tecnología que hay detrás de la mayoría de las herramientas de vídeo y control peer-to-peer, prefiere conectar dos dispositivos directamente entre sí. Es eficiente y rápido: ningún tercero se interpone entre el teléfono del presentador y el ordenador anfitrión que ejecuta las diapositivas. El problema es que una conexión realmente directa depende de que ambos dispositivos sean accesibles desde internet abierto, y la mayoría no lo son.

Los routers domésticos usan NAT (Network Address Translation, traducción de direcciones de red) para compartir una única dirección IP pública entre muchos dispositivos, lo que ya complica las conexiones directas. Las redes corporativas y de los recintos van más allá: a menudo bloquean por completo el tráfico UDP o restringen las conexiones salientes a una breve lista de puertos permitidos. STUN, un protocolo más ligero, puede resolver los casos sencillos de NAT ayudando a dos dispositivos a descubrir su dirección pública. No puede resolverlo todo.

Qué hace realmente TURN

TURN, Traversal Using Relays around NAT, es el respaldo precisamente para esa situación. Definido en el RFC 8656 del IETF, funciona dando a ambos dispositivos una dirección de relé a la que enviar el tráfico en lugar de enviárselo el uno al otro. El relé simplemente reenvía los paquetes entre ambos lados.

Hay tres aspectos clave en cómo lo hace:

STUN, TURN y TURNS: en qué se diferencian

Estas tres siglas se usan indistintamente y no debería ser así:

Esa última fila importa más de lo que parece. Una red que lo bloquea todo excepto el tráfico HTTPS estándar en el puerto 443 seguirá dejando pasar una conexión TURNS, porque para esa red es idéntica a la navegación web normal. Este es exactamente el mecanismo que explica por qué los cortafuegos corporativos bloquean las herramientas de presentación, y por qué las buenas consiguen pasar de todos modos.

Cómo usa Cliqer TURN

Los clientes de escritorio y web de Cliqer intentan primero una conexión WebRTC directa, protegida con DTLS y SRTP. Si la red la bloquea, la conexión recurre automáticamente a un relé TURN cifrado, incluida una ruta TURNS por el puerto 443 para las redes que solo permiten tráfico web estándar saliente. Las credenciales TURN se generan en cada solicitud con un tiempo de vida de 24 horas y rotan automáticamente, en lugar de ser valores fijos en el código que un cliente reutiliza indefinidamente.

Nada de esto requiere configuración por tu parte. El respaldo se produce de forma automática e invisible, tanto si presentas desde la oficina de casa como desde un centro de congresos blindado. Si quieres ver al completo cómo se protege el resto de la conexión, consulta ¿es seguro WebRTC? y la documentación de Seguridad y redes.

Lo que te cuesta un relé, y lo que no

La retransmisión mediante TURN no sale gratis en términos de ingeniería. Enrutar el tráfico a través de un tercer punto añade una pequeña latencia en comparación con una conexión directa, y consume más ancho de banda por parte del operador del relé. Lo que no te cuesta es seguridad: el relé nunca descifra la carga útil, así que una red blindada no te obliga a elegir entre «funciona» y «es privado».

En el caso concreto de la pantalla compartida, donde cada cien milisegundos adicionales se notan más que en una simple señal de avance de diapositiva, abordamos el panorama general de la latencia en cómo hicimos la pantalla compartida cuatro veces más rápida y cómo solucionar la latencia de la pantalla compartida en reuniones híbridas.

Cómo solucionar una conexión que no se establece

1. Prueba a conectarte brevemente a un punto de acceso móvil. Si la conexión funciona ahí pero no en la red del recinto, el problema es la red, no la aplicación.
2. Comprueba si la aplicación tiene un indicador visible de «relé» o «tipo de conexión», y confirma que está intentando usar TURN en lugar de fallar sin más.
3. Confirma que se permite el tráfico HTTPS saliente en el puerto 443, ya que un respaldo TURNS por el 443 es la última línea de defensa en las redes más restrictivas.
4. Si nada de eso funciona, plantéaselo al equipo de TI del recinto o de la oficina indicando los puertos y protocolos concretos de la documentación del proveedor, en lugar de un aviso genérico de «no funciona».

Si estás evaluando el comportamiento de red como parte de una revisión más amplia de proveedores, inclúyelo en la lista de comprobación de seguridad para software de presentaciones completa, ya que es fácil pasar por alto cómo gestiona una herramienta las redes restrictivas hasta el día en que importa.

Preguntas frecuentes

Empieza ya

Si presentas desde recintos, oficinas de clientes o cualquier lugar con una red que no controlas, prueba Cliqer gratis y comprueba el respaldo automático en acción, o lee la descripción general de seguridad completa para saber cómo se protege cada capa de la conexión.