STUN, TURN et ICE en langage simple : pourquoi certains appels se connectent directement

Deux personnes cliquent sur un lien et quelques secondes plus tard elles se voient et s'entendent. Derrière ce moment tout simple, leurs navigateurs ont dû résoudre un casse-tête : comment atteindre un ordinateur situé derrière un routeur domestique et sans adresse publique ? Trois sigles décrivent la solution : STUN, TURN et ICE. Ce guide les explique en langage simple et vous dit quoi faire quand un appel refuse de se connecter.

Le problème : les routeurs cachent votre appareil

Votre portable a une adresse privée qui n'a de sens qu'à l'intérieur de votre réseau domestique. Le routeur partage une adresse publique entre tous vos appareils et traduit le trafic à l'entrée et à la sortie. C'est ce qu'on appelle la traduction d'adresses réseau (NAT). C'est pourquoi de nombreux appareils peuvent partager une connexion internet, et aussi pourquoi un inconnu sur internet ne peut pas simplement ouvrir une connexion vers votre portable.

Pour un appel direct (pair à pair), les deux côtés se trouvent derrière un tel routeur. Chaque navigateur doit découvrir comment il apparaît de l'extérieur, puis les deux doivent percer un chemin à travers leurs routeurs au même moment.

STUN : « Comment suis-je vu depuis internet ? »

Un serveur STUN est un tout petit assistant sur l'internet public. Votre navigateur lui envoie une brève requête, et le serveur répond : « Je vous vois à cette adresse publique et sur ce port. » C'est tout ce qu'il fait. Il ne transporte pas votre appel et ne voit jamais votre vidéo ni votre voix. Grâce à cette information, votre navigateur peut indiquer à l'autre côté comment le joindre.

ICE : essayer toutes les routes et choisir la meilleure

ICE est la procédure qui relie le tout. Chaque navigateur dresse une liste de routes possibles, appelées candidats :

• Candidats locaux : l'adresse propre de l'appareil, qui fonctionne quand les deux personnes sont sur le même réseau.
• Candidats STUN : l'adresse publique apprise auprès d'un serveur STUN, qui fonctionne à travers la plupart des routeurs domestiques.
• Candidats relais : une adresse sur un serveur TURN, qui fonctionne presque partout mais constitue un détour.

Les deux navigateurs échangent leurs listes, testent les combinaisons et retiennent le meilleur chemin qui fonctionne, en préférant un chemin direct. Tout cela se passe en une ou deux secondes pendant que vous voyez « connexion en cours ».

TURN : le relais quand un chemin direct est impossible

Certains réseaux ne se traversent pas directement. Certains routeurs (souvent décrits comme NAT symétrique), des pare-feu d'entreprise stricts et des réseaux qui bloquent le type de trafic utilisé par les appels empêchent une connexion directe. Dans ce cas, l'appel passe par un serveur TURN, qui joue le rôle de relais : il reçoit des paquets d'un côté et les transmet à l'autre.

Un appel relayé emprunte un trajet un peu plus long et peut donc ajouter un léger délai. Pour les personnes qui y participent, c'est toujours un appel normal, et la connexion reste chiffrée.

Un appel relayé reste-t-il privé ?

Oui. L'audio, la vidéo et les données sont chiffrés avec des clés que seuls les deux navigateurs ont convenues ; le relais transmet donc des paquets qu'il ne peut pas lire. Un relais correctement exploité fait passer le trafic en temps réel et ne le conserve pas. La différence que vous pouvez remarquer n'est pas la confidentialité mais le coût : le relais consomme beaucoup de bande passante, les fournisseurs l'utilisent donc comme solution de repli plutôt que par défaut.

Direct ou relayé : à quoi s'attendre

• Chemin

  Direct (STUN)

  De navigateur à navigateur

  Relayé (TURN)

  De navigateur à relais puis à navigateur

• Délai

  Direct (STUN)

  Le plus bas

  Relayé (TURN)

  Un peu plus élevé

• Chiffré

  Direct (STUN)

  Oui

  Relayé (TURN)

  Oui

• Fonctionne sur les réseaux stricts

  Direct (STUN)

  Pas toujours

  Relayé (TURN)

  Presque toujours

• Usage typique

  Direct (STUN)

  Réseaux domestiques et mobiles

  Relayé (TURN)

  Bureaux, écoles, hôtels, certains opérateurs mobiles

Globfone essaie d'abord un chemin direct et bascule automatiquement vers un relais. Dans le partage de fichiers, l'écran indique si le chemin actuel est direct ou relayé.

Si votre appel ne se connecte pas

1. Vérifiez les autorisations. Le navigateur doit avoir le droit d'utiliser la caméra et le micro. Cherchez une icône de caméra bloquée dans la barre d'adresse.
2. Changez de réseau. Passez du Wi-Fi du bureau aux données mobiles, ou l'inverse. De nombreux problèmes de « ne se connecte pas » viennent d'un réseau strict.
3. Désactivez un VPN. Un VPN peut gêner les chemins directs. Essayez l'appel sans lui, puis avec.
4. Mettez à jour le navigateur. Utilisez une version récente de Chrome, Edge, Firefox ou Safari.
5. Fermez les autres trafics lourds. De gros téléchargements sur la même connexion peuvent affamer un appel.
6. Réessayez avec une nouvelle salle. Créez une nouvelle salle et partagez le nouveau lien, pour que les deux côtés repartent d'une tentative de connexion propre.

Pour les curieux : voir le chemin vous-même

Les navigateurs basés sur Chromium incluent une page appelée webrtc-internals qui liste les candidats testés et la paire gagnante. Une paire dont le type est « relay » signifie que l'appel est passé par un serveur TURN. C'est un moyen pratique de voir l'idée de cet article à l'œuvre sur votre propre appel.

Essayez

Démarrez une salle dans le chat P2P de Globfone et voyez la rapidité avec laquelle deux navigateurs se connectent. Pour savoir ce qu'il advient de vos données entre-temps, lisez comment fonctionne le chat vidéo P2P sans stocker votre appel, ou revenez aux bases avec notre guide du débutant sur les appels pair à pair et la VoIP expliquée.