Realtime (TURN / SFU)

Realtime (TURN / SFU) nedir?

WebRTC uygulamaları için üç katmanlı bir altyapı.

GA durumu

Nasıl çalışır?

TURN

“TURN acts as a relay point for traffic between WebRTC clients like the browser and SFUs, particularly in scenarios where direct communication is obstructed by NATs or firewalls.”

Adresler:

STUN ücretsiz ve sınırsız. TLS 1.1, 1.2 ve 1.3 destekleniyor. MTU sınırı yok.

Kimlik bilgisi üretimi:

“Cloudflare will issue TURN keys, but these keys cannot be used as credentials with turn.cloudflare.com. To use TURN, you need to create credentials with an expiring TTL value.”

“You should keep your TURN key on the server side (don’t share it with the browser/app).”

curl https://rtc.live.cloudflare.com/v1/turn/keys/$TURN_KEY_ID/credentials/generate-ice-servers \
  -H "Authorization: Bearer $TURN_KEY_API_TOKEN" -H "Content-Type: application/json" \
  --data '{"ttl": 86400}'

201 dönüyor: bir stun girdisi, altı URL’li bir turn girdisi ve hex username / credential.

Desteklenmeyen RFC’ler: DTLS · TCP relaying (RFC 6062) · IPv6 extension (RFC 6156) · oAuth (RFC 7635) · TURN bandwidth taslağı · TURN-bis çift tahsis · Mobile ICE.

Ve bir nüans: “Cloudflare Realtime is available over both IPv4 and IPv6 for TURN Client to TURN server communication, however it does not issue relay addresses in IPv6.”

FIPS: “supports FIPS 140-3 when encryption is used, such as TURN over TLS.”

SFU

Application / Session / Track modeli:

“A Session in Cloudflare Realtime correlates directly to a WebRTC PeerConnection.”

“Tracks map to MediaStreamTrack… When you push a track to Cloudflare, it is assigned a unique ID.”

“Each track is available globally to be retrieved from any Session within an App.”

API:

POST /apps/{appId}/sessions/new
POST /apps/{appId}/sessions/{sessionId}/tracks/new
PUT  /apps/{appId}/sessions/{sessionId}/tracks/update
PUT  /apps/{appId}/sessions/{sessionId}/renegotiate
PUT  /apps/{appId}/sessions/{sessionId}/tracks/close
POST /apps/{appId}/sessions/{sessionId}/datachannels/establish
GET  /apps/{appId}/sessions/{sessionId}

OpenAPI şeması: /realtime/static/realtime-api-2024-05-21.yaml

Mimari:

“There are no dedicated servers for Realtime. Every server within Cloudflare’s network contributes to handling Realtime.”

“maintains a single PeerConnection per client”

Simulcast: yalnızca yönlendirme yapıyor — preferredRid, priorityOrdering (none veya asciibetical), ridNotAvailable.

Güvenlik uyarısı: “An attacker could exploit these IDs to disrupt service if your backend server does not authenticate request origins properly.” Track ID’leri global olduğu için backend’inde yetkilendirme yapman şart.

Limitler (13 Ağustos 2026):

Codec’ler: video H264, H265, VP8, VP9, AV1 · ses Opus, G.711 A-law, G.711 µ-law.

Doğrulanamayanlar: bitrate tavanı, eşzamanlı bağlantı tavanı, app başına oturum tavanı.

SDK durumu

“Cloudflare Realtime does not offer a SDK. It instead allows you to access raw WebRTC to solve unique problems… The API is deliberately simple.”

Referans uygulama: Orange Meets — github.com/cloudflare/orange, Durable Objects ile track ID takibi yapıyor.

Ne zaman kullanılır, ne zaman kullanılmaz

Kullanılır

• WebRTC uygulaman var ve NAT geçişi gerekiyorsa. TURN tam bunun için ve STUN ücretsiz.
• Çok katılımcılı görüşme kuruyorsan. SFU, mesh topolojinin ölçeklenmeme sorununu çözüyor.
• Ham WebRTC kontrolü istiyorsan. API kasten basit tutulmuş; kendi topolojini kurabiliyorsun.
• Hazır bir çözüm istiyorsan. RealtimeKit SDK’ları ile hızlı yol.
• 1.000 GB’lık ücretsiz katman senin için yeterliyse. Küçük bir uygulama için gerçekten cömert.

Kullanılmaz

MCU’ya ihtiyacın varsa. Sunucu tarafında akış birleştirme yok. Düşük güçlü istemcilerin varsa veya SIP birlikte çalışabilirliği gerekiyorsa bu ürün yetmiyor.

Ham SFU için SDK bekliyorsan. Doğrudan WebRTC yazacaksın — ve çekme yönündeki SDP rol tersleşmesi ciddi bir öğrenme eğrisi.

TURN üzerinden IPv6 röle adresi gerekiyorsa. Verilmiyor.

TCP relaying (RFC 6062) gerekiyorsa. Desteklenmiyor.

Yüksek bant genişlikli tek bir TURN tahsisi gerekiyorsa. Tahsis başına 50–100 Mbps ve 5–10 kpps limitleri var, ve aşınca sessizce paket düşüyor.

Port 53’e güveniyorsan. Chrome ve Firefox engelliyor.

Kimlik bilgisi yönetimini istemci tarafında yapmak istiyorsan. TURN anahtarını tarayıcıya veremiyorsun; sunucu tarafında TTL’li kimlik bilgisi üretmen gerekiyor.

IP izin listesi kurup unutmak istiyorsan. Enterprise sözleşmen yoksa DNS değişikliklerini 14 gün içinde yakalayan bir uyarı kurman gerekiyor.

RealtimeKit’i ücretsiz sanıyorsan. Ücretsiz katmanı yok ve dakika bazlı faturalanıyor.

Somut örnekler

TURN kimlik bilgisi üretmek (sunucu tarafında)

// Worker içinde — TURN anahtarı asla tarayıcıya gitmiyor
export default {
  async fetch(request, env) {
    const r = await fetch(
      `https://rtc.live.cloudflare.com/v1/turn/keys/${env.TURN_KEY_ID}/credentials/generate-ice-servers`,
      {
        method: "POST",
        headers: {
          "Authorization": `Bearer ${env.TURN_KEY_API_TOKEN}`,
          "Content-Type": "application/json",
        },
        body: JSON.stringify({ ttl: 86400 }),
      }
    );
    const veri = await r.json();

    // Port 53'lü URL'leri ayıkla — Chrome ve Firefox engelliyor
    for (const s of veri.iceServers ?? []) {
      if (Array.isArray(s.urls)) s.urls = s.urls.filter(u => !u.includes(":53"));
    }
    return Response.json(veri);
  },
};

İstemci tarafı

const iceServers = await (await fetch("/api/ice")).json();
const pc = new RTCPeerConnection({
  iceServers: iceServers.iceServers,
  iceTransportPolicy: "all",     // yalnızca TURN test etmek için "relay"
});

SFU — track itmek

# 1) Oturum aç
SID=$(curl -sS "https://rtc.live.cloudflare.com/v1/apps/$APP_ID/sessions/new" \
  --request POST -H "Authorization: Bearer $APP_TOKEN" \
  --json '{}' | jq -r '.sessionId')

# 2) Track it — istemcinin OFFER'ını gönderiyorsun, ANSWER dönüyor
curl -sS "https://rtc.live.cloudflare.com/v1/apps/$APP_ID/sessions/$SID/tracks/new" \
  --request POST -H "Authorization: Bearer $APP_TOKEN" \
  --json '{
    "sessionDescription": { "type": "offer", "sdp": "'"$OFFER_SDP"'" },
    "tracks": [{ "location": "local", "mid": "0", "trackName": "kamera" }]
  }' | jq

SFU — track çekmek (SDP rolü tersleniyor)

# Uzak track'i çek — bu kez SFU'dan OFFER geliyor
curl -sS "https://rtc.live.cloudflare.com/v1/apps/$APP_ID/sessions/$SID2/tracks/new" \
  --request POST -H "Authorization: Bearer $APP_TOKEN" \
  --json '{
    "tracks": [{ "location": "remote", "sessionId": "'"$SID"'", "trackName": "kamera" }]
  }' | jq '.sessionDescription.type'
# → "offer"   ← itme akışında "answer" dönüyordu

# İstemcinin answer'ını renegotiate ile gönder
curl -sS "https://rtc.live.cloudflare.com/v1/apps/$APP_ID/sessions/$SID2/renegotiate" \
  --request PUT -H "Authorization: Bearer $APP_TOKEN" \
  --json '{ "sessionDescription": { "type": "answer", "sdp": "'"$ANSWER_SDP"'" } }'

Demo 1: TURN’ü NAT arkasından gerçekten çalıştırmak

Adım 1 — Kimlik bilgisi üret ve incele

curl -sS "https://rtc.live.cloudflare.com/v1/turn/keys/$TURN_KEY_ID/credentials/generate-ice-servers" \
  -H "Authorization: Bearer $TURN_KEY_API_TOKEN" -H "Content-Type: application/json" \
  --data '{"ttl": 3600}' | jq

201 yanıtı; stun girdisi, altı URL'li turn girdisi ve hex username/credential

Altı URL’yi say ve içlerinden port 53 taşıyanları işaretle.

Adım 2 — Port 53’ün engellendiğini kanıtla

# Komut satırından çalışıyor mu
nc -zvu -w 5 turn.cloudflare.com 53
nc -zvu -w 5 turn.cloudflare.com 3478

İki portun nc çıktısı — ISP'nin 53'ü engelleyip engellemediği

Sonra tarayıcıda chrome://webrtc-internals açıp aynı ICE sunucularıyla bağlanmayı dene.

webrtc-internals'ta ICE adaylarında port 53 URL'sinin hiç denenmemesi

Adım 3 — Simetrik NAT arkasında iki istemci kur

On-prem ağında, farklı NAT’ların arkasında iki cihaz. Önce STUN olmadan bağlanmayı dene.

webrtc-internals'ta ICE durumunun failed olması

Adım 4 — STUN ile dene

const pc = new RTCPeerConnection({
  iceServers: [{ urls: "stun:stun.cloudflare.com:3478" }],
});

webrtc-internals'ta srflx adaylarının belirmesi

STUN ücretsiz ve sınırsız — çoğu senaryoda bu yetiyor.

Adım 5 — Simetrik NAT’ta TURN’e zorla

const pc = new RTCPeerConnection({
  iceServers: iceServers.iceServers,
  iceTransportPolicy: "relay",     // yalnızca TURN kullan
});

webrtc-internals'ta relay tipinde adaylar ve connected durumu

Adım 6 — Röle limitlerini test et

Yüksek bitrate’li bir akış gönder ve paket kaybını izle.

webrtc-internals istatistiklerinde packetsLost değerinin artması

Bu demoda ölçülenler:

Demo 2: SFU’da SDP rol tersleşmesini göstermek

Bu demo, ham WebRTC yazan bir ekibin en çok zaman kaybettiği noktayı önceden gösteriyor.

Adım 1 — Oturum aç

SID_A=$(curl -sS ".../apps/$APP_ID/sessions/new" --request POST \
  -H "Authorization: Bearer $APP_TOKEN" --json '{}' | jq -r '.sessionId')
echo "A oturumu: $SID_A"

sessions/new yanıtında dönen sessionId

Adım 2 — Track it ve dönen SDP tipini kaydet

curl -sS ".../apps/$APP_ID/sessions/$SID_A/tracks/new" --request POST \
  -H "Authorization: Bearer $APP_TOKEN" \
  --json '{"sessionDescription":{"type":"offer","sdp":"'"$OFFER_SDP"'"},
           "tracks":[{"location":"local","mid":"0","trackName":"kamera"}]}' \
  | jq '{tip: .sessionDescription.type, trackler: [.tracks[].trackName]}'

sessionDescription.type alanının answer olduğu jq çıktısı

Adım 3 — İkinci oturumdan aynı track’i çek

SID_B=$(curl -sS ".../apps/$APP_ID/sessions/new" --request POST \
  -H "Authorization: Bearer $APP_TOKEN" --json '{}' | jq -r '.sessionId')

curl -sS ".../apps/$APP_ID/sessions/$SID_B/tracks/new" --request POST \
  -H "Authorization: Bearer $APP_TOKEN" \
  --json '{"tracks":[{"location":"remote","sessionId":"'"$SID_A"'","trackName":"kamera"}]}' \
  | jq '{tip: .sessionDescription.type}'

Aynı uç noktanın bu kez sessionDescription.type olarak offer döndürmesi

Adım 4 — renegotiate ile answer’ı geri gönder

curl -sS ".../apps/$APP_ID/sessions/$SID_B/renegotiate" --request PUT \
  -H "Authorization: Bearer $APP_TOKEN" \
  --json '{"sessionDescription":{"type":"answer","sdp":"'"$ANSWER_SDP"'"}}' | jq

Başarılı renegotiate yanıtı ve iki tarayıcıda karşılıklı görüntü

Adım 5 — Track zaman aşımını göster

Yayını 30 saniyeden uzun süre durdur, sonra oturum durumunu sorgula.

curl -sS ".../apps/$APP_ID/sessions/$SID_A" -H "Authorization: Bearer $APP_TOKEN" \
  | jq '.tracks'

Track listesinin boşaldığını veya track'in kaybolduğunu gösteren çıktı

Adım 6 — MCU olmadığını göster

Dört katılımcılı bir görüşme kur ve bir istemcinin CPU kullanımını ölç.

Tarayıcı görev yöneticisinde dört akış çözülürken CPU kullanımı

Adım 7 — Simulcast’in ne yaptığını göster

preferredRid ile düşük katmanı seç ve aynı ölçümü tekrarla.

Düşük çözünürlüklü katman seçildiğinde CPU kullanımının düşmesi

Simulcast seçiyor, birleştirmiyor — ama seçim de yükü ciddi biçimde azaltıyor.

Bu demoda ölçülenler:

Fiyatlandırma

STUN tamamen ücretsiz ve sınırsız.

Lisanslama ve hukuki çerçeve

Hizmet tescillidir ve Cloudflare Hizmet Şartları’na tabidir.

Metadata da kişisel veri. IP adresleri ve oturum zamanlaması, KVKK kapsamında kişisel veri sayılabilir. Aydınlatma metninde “içerik işlenmiyor” demek yeterli değil — metadata’nın işlendiğini de belirtmen gerekiyor.

FIPS 140-3. “supports FIPS 140-3 when encryption is used, such as TURN over TLS.” Kamu veya düzenlemeye tabi bir sektörde çalışıyorsan bu bir dayanak — ama TURN over TLS kullanman koşuluyla.

Track ID güvenliği. “An attacker could exploit these IDs to disrupt service if your backend server does not authenticate request origins properly.” Track ID’leri app içinde global. Bir kullanıcının başka bir kullanıcının track’ini çekmesini engelleyen tek şey senin backend’indeki yetkilendirme. Bu, ürünün en kritik güvenlik sorumluluğu ve tamamen sende.

Sık yapılan hatalar

API yollarını “realtime” diye yazmak. /api/resources/realtime/ 404; doğrusu hâlâ calls.

TURN anahtarını tarayıcıya vermek. Anahtar kimlik bilgisi olarak kullanılamıyor ve sunucu tarafında kalmalı.

Port 53’lü URL’leri ICE listesinde bırakmak. Chrome ve Firefox engelliyor; trickle ICE kullanmıyorsan ayıkla.

MCU beklemek. Yok. Simulcast seçiyor, birleştirmiyor.

Ham SFU için SDK aramak. Yok — doğrudan WebRTC yazacaksın.

“does not offer a SDK” ifadesini RealtimeKit’e de uygulamak. RealtimeKit’in SDK’ları var.

Çekme akışında answer beklemek. SFU offer döndürüyor; renegotiate ile answer gönderiyorsun.

Track zaman aşımını hesaba katmamak. 30 saniye hareketsizlik sonrası çöp toplanıyor.

TURN limitlerini aşıp hata beklemek. Hata gelmiyor — sessizce paket düşüyor.

IP izin listesi kurup DNS değişikliğini izlememek. Enterprise değilsen 14 gün içinde yakalayan bir uyarı kurman gerekiyor.

Backend’de track ID yetkilendirmesi yapmamak. Track’ler app içinde global; yetkilendirme senin sorumluluğun.

RealtimeKit’in ücretsiz olduğunu sanmak. Ücretsiz katmanı yok.

IPv6 röle adresi beklemek. TURN istemci-sunucu iletişimi IPv6 üzerinden çalışıyor ama röle adresleri IPv6’da verilmiyor.

TCP relaying (RFC 6062) kullanmayı planlamak. Desteklenmiyor.