ICE: surface bot's local candidates + offer host-network compose mode

[queueeee]

Diagnose aus dem letzten Live-Lauf

ICE-Race-Fix von PR #14 ist drin und hat gefruchtet — keine "addIceCandidate without remote description" Warnings mehr. Aber ICE schlägt trotzdem fehl, jetzt offen sichtbar:

Connection(0) Check CandidatePair(('172.18.0.5', 49510) ->
                                  ('192.168.178.29', 52891)) FAILED
Connection(0) Check CandidatePair(('172.18.0.5', 49510) ->
                                  ('87.79.86.36',   52891)) FAILED
Connection(0) ICE failed

Der Bot hat nur EINE lokale Candidate-IP: 172.18.0.5. Das ist die Docker-Bridge-IP. Kein srflx-Candidate vom STUN, keine Relay-Candidate vom TURN. Ohne externe Adresse kann der Viewer nicht zurückreichen, NAT-Punch ist mangels öffentlicher Bot-Adresse nicht möglich.

Root cause: Die Docker-Bridge-NAT-Schicht frisst STUN-Responses oder verbiegt sie so, dass aiortc keine srflx baut.

Was dieser PR macht

Zwei Sachen:

1. stream_publisher.local_ice_candidates Log vor dem Senden der Offer-SDP — listet alle Bot-Candidates die aiortc nach Gathering produziert hat. Zeile zeigt kinds=['host'] versus kinds=['host', 'srflx'] versus mit Relay → in einem Log sehen ob STUN/TURN was beigetragen haben.

2. docker-compose Profiles — bridge (default, alles wie vorher) vs. host:

services:
  bot:        # profiles: ["", "bridge"]   <-- default
  bot-host:   # profiles: ["host"]         <-- network_mode: host

Beide nutzen das gleiche Image. Der host-Modus eliminiert die Docker-Bridge-NAT — Bot sieht die echte Host-LAN/WAN-IP, STUN funktioniert, Viewer können den Bot direkt erreichen.

Trade-off host vs bridge

	bridge (default)	host
WebRTC ICE	scheitert ohne externe IP	funktioniert mit Host-IP
Port 8080	nur 127.0.0.1 (lokaler Reverse-Proxy nötig)	bindet Host-Port direkt
TS6-Server	über ts6-net Docker-Netzwerk	über 127.0.0.1 oder LAN-IP
Isolation	gut	schwächer (Host-Network sichtbar)

Operator commands

Wechsel auf host-mode:

cd /opt/ts6-stream-bot
git pull
docker compose down
# .env anpassen: TS6_HOST muss vom Host aus erreichbar sein, z.B.
#   TS6_HOST=127.0.0.1
# (statt "teamspeak-server" was nur im Docker-Netzwerk auflösbar war)
docker compose --profile host up -d --build
docker compose logs -f

Wenn der host-Mode aus irgendeinem Grund nicht geht (z.B. Host-Port 8080 belegt, TS6-Server nicht via 127.0.0.1 erreichbar): dann TURN aktivieren statt host-mode. In .env:

TURN_URL=turn:openrelay.metered.ca:80
TURN_USERNAME=openrelayproject
TURN_PASSWORD=openrelayproject

Dann docker compose down && docker compose up -d. Im neuen Lauf sollte local_ice_candidates kinds=['host', 'relay'] erscheinen und das Relay durchpeitschen.

Test plan

• ruff check src tests — clean
• mypy --strict — clean
• pytest — 219 passed
• Live: redeploy in einem der beiden Modi. Erwarteter Log:
  local_ice_candidates kinds=['host', 'srflx'] (mind. host+srflx).
  Wenn nur kinds=['host'] weiterhin → TURN nötig.

https://claude.ai/code/session_016DuCjRJK995Tj9aDhhB9at

---

Generated by Claude Code