STUN, TURN und ICE: Wie VoIP und WebRTC den Weg durch NAT und Firewall finden

Bei VoIP kennst du das Ärgernis vielleicht: Die Verbindung steht, es klingelt sogar – aber einer der beiden hört nichts, oder das Gespräch bricht ab. Erstaunlich oft liegt die Ursache nicht am Anbieter, sondern daran, dass die Sprachpakete den direkten Weg zwischen zwei Geräten nicht finden. Schuld sind NAT und Firewalls. Die Lösung heißt STUN, TURN und ICE – drei Begriffe, die vor allem beim Telefonieren im Browser eine Rolle spielen.

Das Grundproblem: NAT versteckt deine Adresse

Zu Hause und in Firmen teilen sich alle Geräte eine einzige öffentliche IP-Adresse. Dein Router übersetzt zwischen dem privaten Netz (z. B. 192.168.x.x) und dem Internet – das nennt man Network Address Translation, kurz NAT. Für normales Surfen ist das kein Problem: Dein Rechner fragt eine Webseite an, die Antwort findet zurück. Bei VoIP soll dich aber jemand von außen erreichen können, ohne dass du zuerst gefragt hast. Und da wird es kompliziert: Dein Gesprächspartner kennt nur deine öffentliche Adresse, nicht den internen Weg zu deinem Gerät. Die Sprachpakete landen im Nirgendwo.

STUN: Wie lautet meine öffentliche Adresse?

Hier kommt STUN ins Spiel (Session Traversal Utilities for NAT). Ein STUN-Server im Internet macht nichts weiter, als deinem Gerät zurückzumelden: "So, wie ich dich sehe, lautet deine öffentliche IP-Adresse und dein Port genau so." Mit dieser Information kann dein Gerät der Gegenstelle den richtigen Rückweg mitteilen. In vielen Heimnetzen reicht STUN bereits aus, damit eine direkte Verbindung zustande kommt – effizient, weil die Sprache dann auf kürzestem Weg fließt und keine Zwischenstation belastet.

TURN: Der Umweg, wenn nichts anderes geht

Manche Firmennetze und besonders strenge Firewalls lassen keine direkte Verbindung zu – etwa bei "symmetrischem NAT". Dann hilft auch STUN nicht weiter. Für diese Fälle gibt es TURN (Traversal Using Relays around NAT). Ein TURN-Server nimmt die Sprachpakete beider Seiten entgegen und leitet sie weiter, wie eine neutrale Vermittlungsstelle. Das funktioniert fast immer, hat aber einen Preis: Der gesamte Sprachverkehr läuft über diesen Server, was zusätzliche Latenz bedeutet und Bandbreite kostet. TURN ist deshalb die Rückfalllösung, nicht die erste Wahl.

ICE: Der Schiedsrichter, der den besten Weg wählt

ICE (Interactive Connectivity Establishment) ist das Verfahren, das alles zusammenbringt. ICE sammelt alle möglichen Verbindungswege – die direkte lokale Verbindung, den über STUN ermittelten öffentlichen Weg und den TURN-Umweg – und probiert sie systematisch durch. Der beste funktionierende Weg gewinnt. So bekommst du automatisch die schnellste Verbindung, die in deinem Netz überhaupt möglich ist, ohne dass du etwas einstellen musst.

Was hat das mit WebRTC zu tun?

Diese drei Techniken sind das Rückgrat von WebRTC – also der Technologie, mit der du direkt im Browser telefonierst, ohne App und ohne Installation. Wer verstehen möchte, wie eine solche Browser-Verbindung von der Kameraanforderung über das Signaling bis zum direkten Datenkanal aufgebaut wird, findet auf unserem Schwesterblog meinecodereise.de eine anschauliche Entwickler-Einführung: WebRTC für Webentwickler: Video und Audio direkt im Browser übertragen. Dort siehst du die Bausteine aus Programmierersicht – eine gute Ergänzung zu diesem eher netzwerkorientierten Überblick.

Was bedeutet das für dich in der Praxis?

Für klassische VoIP-Telefonie über einen SIP-Anbieter regelt das meist der Router und der Anbieter im Hintergrund. Relevant wird das Thema vor allem, wenn du browserbasierte Telefonie oder Videokonferenzen nutzt und Verbindungen scheitern. Ein paar Faustregeln helfen: Ein zu restriktives Firmen-Firewall kann direkte Verbindungen verhindern und TURN erzwingen. Wenn du einseitigen Ton hast, ist fast immer ein NAT- oder Firewall-Thema die Ursache. Und ein zuverlässiger STUN/TURN-Dienst ist für Geschäftskunden Gold wert.

Fazit

STUN findet deine öffentliche Adresse, TURN leitet Pakete im Notfall um, und ICE wählt aus allen Wegen den besten aus. Zusammen sorgen sie dafür, dass moderne Sprach- und Videoverbindungen trotz NAT und Firewall überhaupt zustande kommen. Du musst diese Technik nicht selbst konfigurieren – aber zu wissen, dass sie existiert, macht so manches VoIP-Rätsel mit einem Schlag erklärbar.