1. 前言
在 WebRTC、实时音视频或跨网通信场景下，开发者经常遇到这样的问题：“为什么 WebRTC 的 STUN 一旦走代理，就必须使用 SOCKS5 的 UDP 模式？”
如果不能完全理解这一点，你会在企业网络、运营商 NAT、跨境环境中遇到大量不可预期的问题：STUN 不返回、ICE 只有 host 类型、TURN fallback 导致延迟变高，最终导致 WebRTC 无法建立连接。
2. WebRTC 为什么必须依赖 STUN（且必须是 UDP）？
STUN 的核心作用是帮助 WebRTC 获取 NAT 映射的公网 IP + 端口。由于 NAT 的 UDP 映射依赖“包触发”，只有 UDP 才能在 NAT 上建立映射，因此 STUN 强制使用 UDP。
下面是一个典型的 STUN Binding Request（十六进制）：
0001 0000 2112 A442
B724 0B5B 6F74 6F6B
0006 0009 7573 6572 6E61 6D65
0008 0014 0001 4C9B 2F54 6277 3A72 6179
3. NAT 环境下 UDP 的脆弱性
UDP 在企业网络和复杂 NAT 下极容易被阻断：
• 企业防火墙直接丢弃外发 UDP
• 对称 NAT 导致 STUN 返回的映射无法用于 P2P
• CGNAT（运营商 NAT）不允许外部 UDP 打洞
4. 为什么必须是 SOCKS5？HTTP/HTTPS/WebSocket 都不行
所有 HTTP/HTTPS/WebSocket 代理只能转发 TCP，不能转发原始 UDP。因此它们都无法承载 STUN。
SOCKS5 是唯一满足以下条件的代理协议：
• 支持原始 UDP 转发
• 允许无连接的报文中继
• 支持 IPv4、IPv6 和域名
• 保持源端口一致，适配 NAT 行为
5. STUN + SOCKS5 UDP 的完整协作流程
完整流程如下：
1. 浏览器与 SOCKS5 建立 TCP 连接
2. 完成认证 → 发送 UDP ASSOCIATE
3. 代理返回中继使用的 UDP 地址
4. 浏览器将 STUN 报文封装为 SOCKS5 UDP 格式
5. 代理解封装并以原始 UDP 发往 STUN Server
6. 返回包再次封装后回到浏览器
5.1 SOCKS5 UDP 报文结构（RFC 1928）
+----+----+----+----+----------+---------+--------+
| RSV | FRAG | ATYP | DST.ADDR | DST.PORT | DATA |
+----+----+----+----+----------+---------+--------+
5.2 Python：完整 SOCKS5 UDP 解析代码
import socket
import struct
def parse_socks5_udp_packet(data: bytes):
if len(data) < 4:
return None
rsv, frag, atyp = struct.unpack("!HBB", data[:4])
if rsv != 0 or frag != 0:
return None
offset = 4
if atyp == 0x01:
addr = socket.inet_ntoa(data[offset:offset+4])
offset += 4
elif atyp == 0x03:
domain_len = data[offset]
offset += 1
addr = data[offset:offset+domain_len].decode()
offset += domain_len
elif atyp == 0x04:
addr = socket.inet_ntop(socket.AF_INET6, data[offset:offset+16])
offset += 16
else:
return None
port = struct.unpack("!H", data[offset:offset+2])[0]
offset += 2
payload = data[offset:]
return addr, port, payload
5.3 Python：构造 SOCKS5 UDP 报文
def build_socks5_udp_packet(addr: str, port: int, payload: bytes):
rsv = 0
frag = 0
try:
addr_bytes = socket.inet_aton(addr)
atyp = 0x01
except OSError:
addr_bytes = addr.encode()
atyp = 0x03
header = struct.pack("!HBB", rsv, frag, atyp)
if atyp == 0x01:
return header + addr_bytes + struct.pack("!H", port) + payload
elif atyp == 0x03:
return header + bytes([len(addr_bytes)]) + addr_bytes + struct.pack("!H", port) + payload
6. 必须依赖 SOCKS5 的典型工程场景
• 企业网络禁止外发 UDP
• 对称 NAT 无法被 STUN 单独穿透
• IPv6 / IPv4 混合环境
• 跨境网络限制 UDP 流量
• 对安全要求高的环境，所有流量必须走代理
7. 总结
STUN 必须依赖 SOCKS5 UDP 的本质原因如下：
1. STUN 协议天然依赖 UDP
2. NAT 映射依赖真实 UDP 报文
3. SOCKS5 是唯一能透明转发原始 UDP 的主流代理协议
4. 复杂网络环境中 UDP 常被直接阻断
