自托管服务器

CrossDesk 的信令服务与 TURN 中继由独立的 CrossDesk Server 项目维护。本页说明部署入口与当前客户端的配置方法；服务端文件请使用同一 Release 中的配套版本。

1. 部署服务端

以下步骤面向已安装 Docker Engine 和 Compose 插件的 Linux 服务器；先确认 docker compose version 可用。当前 Compose 使用主机网络，分别运行信令服务和 Coturn。

按服务端部署文档，从其 Releases 下载 compose.yaml 和 env.example，放到同一目录。在该目录执行：

cp env.example .env

用文本编辑器修改 .env，至少核对以下内容，填写完成后再启动。完整参数以配套的环境文件为准，也可参考服务端仓库的环境变量示例。

配置	填写内容
`CROSSDESK_IMAGE`	与下载的配置匹配的固定发布 tag
`EXTERNAL_IP` / `INTERNAL_IP`	服务器真实公网 / 内网 IP；不要直接使用示例地址
`CROSSDESK_SERVER_PORT`	信令端口，例如 `9099`
`COTURN_PORT`	中继端口，例如 `3478`
`MIN_PORT` / `MAX_PORT`	TURN 媒体端口范围
`COTURN_AUTH_SECRET`	信令服务与 Coturn 的共享密钥；不填入客户端
`COTURN_STATELESS_NONCE_SECRET`	独立生成、持久保存的 nonce 密钥
`CROSSDESK_DATA_DIR` / `CROSSDESK_LOG_DIR`	数据、证书和日志的持久化位置

两个密钥分别用 openssl rand -hex 32 生成。防火墙及云安全组需允许信令端口 TCP、中继端口 TCP/UDP，以及所选媒体端口范围 UDP。容器挂载和网络配置见官方 Compose 文件。

保存配置后，校验并启动：

sudo docker compose config -q
sudo docker compose pull
sudo docker compose up -d
sudo docker compose ps

使用自签证书时，先按证书信任步骤在两端导入根证书，再检查连接状态。

切换服务器后请重新核对本机 ID；设备身份与服务端相关，旧服务上的 ID 不应直接套用。

客户端通过 TLS 连接信令服务。证书必须覆盖填写的域名 / IP，且被客户端系统信任。使用受信任 CA 签发的证书时按服务端说明配置证书链；使用自签证书时，需要信任自己部署的根证书。

默认的证书生成脚本只将 EXTERNAL_IP 写入证书的地址范围；使用这份证书时，客户端应填写该 IP。改用域名需要配置包含该域名的证书。已有证书存在时，启动脚本会复用它们，修改 .env 中的 IP 不会自动更新证书。

默认证书文件位于服务端数据目录下的 certs/。将自己服务器的 api.crossdesk.cn_root.crt 下载到客户端机器，再执行对应平台命令；不要导入来源不明的根证书。

Windows（管理员 PowerShell）：

certutil -addstore "Root" "C:\path\to\api.crossdesk.cn_root.crt"

Ubuntu / Debian：

sudo cp /path/to/api.crossdesk.cn_root.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates

macOS：

sudo security add-trusted-cert -d -r trustRoot \
  -k /Library/Keychains/System.keychain /path/to/api.crossdesk.cn_root.crt

完成后重新打开客户端。自签证书并不等于没有加密，但根证书信任和主机名校验必须正确配置。