STUN, TURN e ICE en cristiano: por qué algunas llamadas se conectan directamente

Dos personas hacen clic en un enlace y unos segundos después se ven y se oyen. Detrás de ese momento tan simple, sus navegadores tuvieron que resolver un rompecabezas difícil: ¿cómo se llega a un ordenador que está detrás de un router doméstico y no tiene dirección pública? Tres siglas describen la solución: STUN, TURN e ICE. Esta guía las explica en lenguaje llano y te dice qué hacer cuando una llamada se niega a conectar.

El problema: los routers ocultan tu dispositivo

Tu portátil tiene una dirección privada que solo tiene sentido dentro de tu red doméstica. El router comparte una dirección pública entre todos tus dispositivos y traduce el tráfico al entrar y salir. Esto se llama traducción de direcciones de red (NAT). Por eso muchos dispositivos pueden compartir una conexión a internet, y también por eso un desconocido de internet no puede abrir sin más una conexión con tu portátil.

Para una llamada directa (entre pares), ambos lados están detrás de un router así. Cada navegador necesita averiguar cómo se ve desde fuera y luego ambos deben abrir un camino a través de sus routers en el mismo momento.

STUN: «¿Cómo me ve internet?»

Un servidor STUN es un ayudante muy pequeño en la internet pública. Tu navegador le envía una petición breve y el servidor responde: «Te veo en esta dirección pública y este puerto». Eso es todo lo que hace. No transporta tu llamada y nunca ve tu vídeo ni tu voz. Con esa información, tu navegador puede decirle al otro lado cómo alcanzarlo.

ICE: probar todas las rutas y elegir la mejor

ICE es el procedimiento que lo une todo. Cada navegador elabora una lista de rutas posibles, llamadas candidatos:

• Candidatos locales: la propia dirección del dispositivo, que funciona cuando ambas personas están en la misma red.
• Candidatos STUN: la dirección pública averiguada con un servidor STUN, que funciona a través de la mayoría de routers domésticos.
• Candidatos de relé: una dirección en un servidor TURN, que funciona casi en todas partes pero es un rodeo.

Los dos navegadores intercambian sus listas, prueban las combinaciones y eligen el mejor camino que funcione, prefiriendo uno directo. Todo esto ocurre en uno o dos segundos mientras ves «conectando».

TURN: el relé cuando un camino directo es imposible

Algunas redes no se pueden cruzar directamente. Ciertos routers (a menudo descritos como NAT simétrico), cortafuegos corporativos estrictos y redes que bloquean el tipo de tráfico que usan las llamadas impiden una conexión directa. En ese caso la llamada pasa por un servidor TURN, que actúa como una estación de relevo: recibe paquetes de un lado y los reenvía al otro.

Una llamada retransmitida toma una ruta algo más larga, así que puede añadir un pequeño retraso. Para quienes participan sigue siendo una llamada normal, y la conexión sigue estando cifrada.

¿Sigue siendo privada una llamada retransmitida?

Sí. El audio, el vídeo y los datos se cifran con claves que solo han acordado los dos navegadores, así que el relé reenvía paquetes que no puede leer. Un relé bien gestionado pasa el tráfico en tiempo real y no lo conserva. La diferencia que puedes notar no es de privacidad sino de coste: retransmitir consume mucho ancho de banda, así que los proveedores lo usan como respaldo y no como opción por defecto.

Directa o retransmitida: qué esperar

• Camino

  Directa (STUN)

  De navegador a navegador

  Retransmitida (TURN)

  De navegador a relé y a navegador

• Retraso

  Directa (STUN)

  El más bajo

  Retransmitida (TURN)

  Algo mayor

• Cifrada

  Directa (STUN)

  Sí

  Retransmitida (TURN)

  Sí

• Funciona en redes estrictas

  Directa (STUN)

  No siempre

  Retransmitida (TURN)

  Casi siempre

• Uso típico

  Directa (STUN)

  Redes domésticas y móviles

  Retransmitida (TURN)

  Oficinas, colegios, hoteles, algunos operadores móviles

Globfone prueba primero un camino directo y recurre automáticamente a un relé. En el intercambio de archivos, la pantalla muestra si la ruta actual es directa o por relé.

Si tu llamada no conecta

1. Comprueba los permisos. El navegador debe tener permiso para usar la cámara y el micrófono. Busca un icono de cámara bloqueada en la barra de direcciones.
2. Cambia de red. Pasa del Wi-Fi de la oficina a datos móviles, o al revés. Muchos problemas de «no conecta» se deben a una red estricta.
3. Desactiva la VPN. Una VPN puede interferir con las rutas directas. Prueba la llamada sin ella y luego con ella.
4. Actualiza el navegador. Usa una versión actual de Chrome, Edge, Firefox o Safari.
5. Cierra otro tráfico pesado. Las descargas grandes en la misma conexión pueden dejar sin recursos a una llamada.
6. Vuelve a intentarlo con una sala nueva. Crea una sala nueva y comparte el nuevo enlace, para que ambos lados empiecen un intento de conexión limpio.

Para los curiosos: ve la ruta tú mismo

Los navegadores basados en Chromium incluyen una página llamada webrtc-internals que enumera los candidatos probados y el par que ganó. Un par cuyo tipo es «relay» significa que la llamada pasó por un servidor TURN. Es una forma práctica de ver la idea de este artículo funcionando en tu propia llamada.

Pruébalo

Inicia una sala en el chat P2P de Globfone y comprueba lo rápido que se conectan dos navegadores. Para saber qué ocurre con tus datos mientras tanto, lee cómo funciona el videochat P2P sin guardar tu llamada, o vuelve a lo básico con nuestra guía para principiantes sobre llamadas entre pares y VoIP explicado.