# ─────────────────────────────────────────────────────────────────────────────
# coturn — Produktionskonfiguration (turnserver.conf) für turn.netralax.de
#
# coturn läuft EIGENSTÄNDIG (LiveKit-internes TURN ist deaktiviert).
# TURNS (5349/TLS) läuft NICHT über Caddy und braucht daher ein EIGENES
# TLS-Zertifikat für turn.netralax.de auf der Platte (cert/pkey unten).
#
# Zertifikat besorgen — zwei Wege:
#   (a) certbot standalone (Port 80 muss frei sein, nicht von Caddy belegt):
#         certbot certonly --standalone -d turn.netralax.de
#       -> liefert /etc/letsencrypt/live/turn.netralax.de/{fullchain,privkey}.pem
#       coturn nach Renewals neu laden (z. B. certbot --deploy-hook 'systemctl reload coturn').
#   (b) Caddy-Zertifikat wiederverwenden: lasse Caddy zusätzlich turn.netralax.de
#       ausstellen und kopiere/symlinke das Zert aus Caddys data-Verzeichnis
#       (~/.local/share/caddy/certificates/...) an die Pfade unten. Achtung:
#       coturn braucht Leserechte auf cert+pkey.
#
# ufw muss offen sein: 3478/udp+tcp, 5349/tcp (TURNS), 50200-50300/udp (Relay).
# Diese Ports gehen NICHT über Caddy.
#
# external-ip auf die ÖFFENTLICHE IP der NEUEN VPS setzen.
# lt-cred-mech-User muss zu dem passen, den mint-livekit-token / die Clients
# erwarten (Platzhalter unten ersetzen).
# ─────────────────────────────────────────────────────────────────────────────

listening-port=3478
tls-listening-port=5349

# Öffentliche IP der neuen VPS.
external-ip=141.95.34.204

# Relay-Port-Range (muss in ufw offen sein).
min-port=50200
max-port=50300

realm=netralax.de

# Long-Term-Credential-Mechanismus. User-Platzhalter ersetzen
# (Format: user=NAME:PASSWORT). Passwort z. B. via `openssl rand -hex 16`.
lt-cred-mech
user=turnuser:<REPLACE_WITH_TURN_PASSWORD>

# TLS-Material für TURNS (turn.netralax.de) — siehe Kopf-Kommentar.
cert=/etc/letsencrypt/live/turn.netralax.de/fullchain.pem
pkey=/etc/letsencrypt/live/turn.netralax.de/privkey.pem

# Härtung / Korrektheit.
fingerprint
no-multicast-peers
no-cli