Kurumsal güvenlik duvarı (Firewall) arkasında e-Duruşmaya bağlanırken 'ICE Connection Failed / Medya sunucusuna bağlanılamadı' hatası alıyoruz; hangi WebRTC UDP portları ve STUN/TURN IP blokları açılmalıdır?

Kurumsal ağlarda (FortiGate, SonicWall, Sophos, pfSense vb.) çalışan donanımsal güvenlik duvarlarında e-Duruşma bağlantısının 'ICE Connection Failed' veya 'Medya sunucusuna bağlanılamadı' uyarısıyla kopması, Adalet Bakanlığı e-Duruşma sisteminin kullandığı WebRTC (Web Real-Time Communication) protokolünün NAT aşma ve ses/görüntü aktarım paketlerinin güvenlik duvarı kurallarına veya DPI (Derin Paket İncelemesi) filtrelerine takılmasından kaynaklanır.

WebRTC bağlantısı kurulurken istemci ile bakanlık medya sunucuları arasında STUN/TURN sunucuları üzerinden oturum adayları (ICE candidates) toplanır. Güvenlik duvarınız bu paketleri engellediğinde sinyalleşme tamamlansa bile medya akışı (RTP/SRTP) başlayamaz. Bu sorunu çözmek için sistem/ağ yöneticinizin güvenlik duvarı üzerinde şu teknik yapılandırmaları uygulaması gerekir:

1. Gerekli Port ve Protokol Tanımları:
   • TCP 443 (HTTPS / WSS): Sinyalleşme ve WebSocket bağlantıları için *.edurusma.adalet.gov.tr ve *.uyap.gov.tr alan adlarına çift yönlü izin verilmelidir.
   • UDP 3478 ve UDP 5349 (STUN/TURN): NAT arkasındaki istemcilerin dış IP adresini öğrenmesi ve röle sunucusuna erişebilmesi için STUN protokolü çıkışlarına izin verilmelidir.
   • UDP 10000 - 20000 (RTP/RTCP Medya Akışı): Gerçek zamanlı ses ve görüntü paketlerinin aktarıldığı dinamik UDP port aralığı dışa doğru (outbound) açık olmalıdır. Kurumsal kurallarda bu portlar varsayılan olarak kapalıysa görüntü asla gelmez.
2. SIP ALG ve H.323 Denetimini Kapatın: FortiGate veya SonicWall üzerinde varsayılan olarak açık gelen SIP ALG (Application Layer Gateway) ve VoIP denetim mekanizmaları WebRTC paket başlıklarını bozarak ICE el sıkışmasını düşürür. CLI üzerinden config system settings -> set sip-helper disable ve set sip-nat-trace disable komutlarıyla SIP oturum yardımcısı devre dışı bırakılmalıdır.
3. SSL / DPI İncelemesinden Muafiyet (Bypass): Güvenlik duvarınızda HTTPS trafiğini çözen Deep Packet Inspection (DPI / SSL Inspection) aktifse, Adalet Bakanlığı WebRTC sunucularının kullandığı mTLS ve DTLS-SRTP sertifika zincirleri kırılır ve tarayıcı güvenlik gerekçesiyle medya akışını bloke eder. *.adalet.gov.tr FQDN adresleri SSL Inspection muafiyet (whitelist) listesine eklenmelidir.
4. MTU ve Paket Parçalanması: Kurumsal VPN veya PPPoE hatlarında MTU boyutu 1492 veya daha düşükse UDP paket parçalanması yaşanabilir. Arayüz MTU değerinin 1500 olduğundan ve MSS Clamping ayarının doğru yapıldığından emin olunmalıdır.