5349 是什么

5349 是 STUN 与 TURN 的加密端口。WebRTC 用 STUN 发现自己的公网映射，用 TURN 在直连失败时经过服务器中继媒体；默认的 3478 承载明文 UDP 与 TCP，5349 则承载 TLS 与 DTLS 变体，在封锁 UDP 或要求加密的企业网络中成为主要通道。

和 3478 的关系

典型部署中两者同时开启：客户端先尝试直连与 UDP 中继，失败后回退到基于 TCP 与 TLS 的 5349。视频会议在受限网络里黑屏或只有声音没有画面，往往就与只放行 3478 有关。

基本信息

典型使用场景

• 为自建视频会议或在线课堂提供穿透与中继服务
• 企业网络封锁 UDP 时让客户端改走加密 TCP 通道完成中继
• 排查「能登录但看不到画面」时确认 5349 是否放行
• 为公网可用的实时音视频应用估算中继带宽
• 安全核查时确认中继服务是否启用临时凭据鉴权

中继服务配置要点

# /etc/turnserver.conf
# listening-port=3478          # 默认通道
# tls-listening-port=5349      # 加密通道
# fingerprint
# use-auth-secret               # 临时凭据鉴权
# static-auth-secret=<随机串>
# cert=/etc/ssl/turn.crt
# pkey=/etc/ssl/turn.key

连通与证书检查

openssl s_client -connect turn.example.com:5349 </dev/null | head -5   # TLS 握手
nc -zv turn.example.com 3478                                          # 基础端口连通性
systemctl status coturn | head -5                                     # 服务状态

端口分工

鉴权方式怎么选

公网可用的中继服务必须依赖临时凭据而不是固定账号：客户端先申请有有效期的凭据，再据此申请中继地址，凭据过期即失效。固定账号一旦写进前端代码，任何打开页面的人都能免费使用你的中继带宽，账单会在月底才显现。