工程上最危险的不是完全不可用，而是在理想环境里正常、进入真实网络和真实数据量后悄悄失去边界。 对称映射会针对不同目标生成不同外部端口。向 STUN 获得的 srflx 端口不一定能接收发往另一 peer 的包，因此候选看似正常却检查失败。
网络诊断必须区分观察事实与推断结论。候选类型、选中路径和阶段耗时可以证明连接过程，完整 IP 或一次探测结果既不必要，也不足以代表真实可达性。
工程边界与取舍
这项能力横跨客户端、网络与服务端，局部最优很容易制造全局故障。工程决策需要同时约束两端行为、持久化事实和运维预算。
- 使用多个独立 STUN 地址比较映射作为诊断迹象，但不做脆弱端口预测；ICE 在短预算内检查后尽快启用已就绪 relay candidate。
- 为状态写出唯一所有者、版本号和终态；任何回调只能修改自己创建的版本。
- 重试必须带幂等键、退避和截止时间；超过截止时间后建立新任务，而不是继续复活旧回调。
“对称 NAT 为什么难直连：映射依赖目标，STUN 地址不能复用”的交付标准是正常路径可用、异常路径收敛、资源有界，并且用户能理解系统为何采用当前状态。 这样得到的不是演示代码，而是能解释、能降级、能回滚的生产能力。
生产环境会怎样出错
生产问题往往发生在两个正确动作同时到达时。需要逐条检查迟到消息、重复执行、资源耗尽和版本交叉，而不是只补当前堆栈显示的那一行。
- 串行等待所有直连超时后才申请 TURN 会让连接多等十几秒；仅凭 NAT 类型标签强制 TURN 又可能误判可直连路径。
- 刷新或网络切换同时触发两条恢复路径，重复副作用被误当成两次真实用户操作。
- 只在理想数据量下测试，真实的大文件、长会话或高并发会越过隐含上限并产生级联故障。
把测试跑成闭环
发布闸门应包含确定性回归、随机时序探索和真实浏览器组合。发现一次失败后保存 seed 与状态轨迹，让它永久成为可重放用例。
- 在 endpoint-independent、address-dependent 和 endpoint-dependent NAT 组合中记录候选检查时间、最终路径与串并行 TURN 策略差异。
- 让刷新、取消、超时和远端完成在同一调度窗口发生，断言系统只产生一个终态和一次副作用。
- 分别覆盖直连、中转、弱网、后台标签页和移动端，报告不能只给平均值或一次成功截图。
最终交付标准应当是：正常路径足够快，异常路径能够收敛，用户意图不会被自动恢复覆盖，运维人员也能从有限而安全的证据定位问题。