把它做成生产功能之前，需要先拆开协议事实、产品承诺和运行成本，三者混在一起很容易得到错误结论。 TURN 客户端能请求 relay 向任意 peer 地址发包，若不限制就能触达 relay 所在 VPC。校验必须针对二进制解析后的 IP，而非文本前缀。
TURN 是有成本的共享中继，不只是一个 ICE URL。节点需要短期授权、allocation 并发、字节核算、区域容量和滥用处置，同时保留 UDP、TCP 与 TLS 穿透能力。
落地方案的关键部件
这项能力横跨客户端、网络与服务端，局部最优很容易制造全局故障。工程决策需要同时约束两端行为、持久化事实和运维预算。
- 维护拒绝 CIDR 包括 RFC1918、loopback、link-local、ULA、multicast 与平台 metadata；规则在 permission 和 bind 两处一致执行并审计代码。
- 先定义正常、降级、取消和失败四类终态，再让界面、存储与指标消费同一状态。
- 兼容性通过显式能力协商决定，旧客户端得到可解释的降级路径，而不是进入半可用状态。
“TURN Peer 地址限制：防止中继成为内网扫描和反射工具”的交付标准是正常路径可用、异常路径收敛、资源有界，并且用户能理解系统为何采用当前状态。 这样得到的不是演示代码，而是能解释、能降级、能回滚的生产能力。
别让错误假设进入生产
最值得优先排查的是会静默留下错误事实的故障：界面看似恢复，底层队列、权限或计数却已分叉。这类问题通常在下一次动作才暴露。
- 只拒绝 10/8 会漏掉 172.16/12、192.168/16 与 IPv6；IPv4 映射 IPv6 若未规范化可绕过 v4 规则。
- 刷新或网络切换同时触发两条恢复路径，重复副作用被误当成两次真实用户操作。
- 指标标签直接包含用户或任务标识，既制造高基数成本，也让诊断数据泄露不必要的身份信息。
发布闸门应该检查什么
发布闸门应包含确定性回归、随机时序探索和真实浏览器组合。发现一次失败后保存 seed 与状态轨迹，让它永久成为可重放用例。
- 对每类保留网段、边界地址、映射格式和合法公网 peer 建 permission 与 channel，拒绝必须无网络包离开 relay。
- 在操作中途断网、切换网络并恢复，核对两端状态、持久化记录和资源计数最终一致。
- 用故障注入验证告警先于用户投诉触发，并确认值班人员能从有限证据定位到具体阶段。
最终结果应同时满足正确性、可恢复性和可解释性。任何一项只能依赖刷新页面或工程师猜测，都说明协议闭环仍不完整。