# Géré par Ansible (rôle turn) — ne pas modifier à la main.
# TURNS seulement (TLS), sur 127.0.0.1 : jamais exposé directement à
# Internet. Le port public 443 y arrive par le routeur Nginx (SNI, rôle
# portail), qui transmet les octets tels quels — coturn gère son propre TLS.
listening-ip=127.0.0.1
tls-listening-port={{ turn_port_tls }}
no-udp
no-tcp
no-tls-v1
no-tls-v1_1

# Relais vers JVB (rôle visio, réseau de l'hôte) : jamais vers l'extérieur,
# toujours en boucle locale.
relay-ip=127.0.0.1

cert=/etc/turnserver/cert/fullchain.pem
pkey=/etc/turnserver/cert/privkey.pem

# Authentification par secret partagé (TURN REST API), le même que
# TURN_CREDENTIALS côté Prosody (rôle visio) : Prosody calcule un couple
# nom d'utilisateur/mot de passe valable 24 h pour chaque participant, sans
# jamais donner ce secret au navigateur.
use-auth-secret
static-auth-secret={{ turn_secret }}
realm={{ turn_realm }}

fingerprint
no-cli
no-multicast-peers