Team Data GmbH - IT-Systemhaus Osnabrück Logo
WhatsApp
0541 50798808
Fernwartung

SIP-ALG deaktivieren: warum VoIP-Anbieter es verlangen

Kurz gesagt: SIP-ALG ist eine Router- oder Firewall-Funktion, die in die SIP-Signalisierung von Telefonaten eingreift. Weil Telefonanbieter und Telefonanlagen NAT heute selbst sauber lösen, stört das eher, als dass es hilft. NFON empfiehlt dringend, SIP-ALG zu deaktivieren, peoplefone fordert dasselbe.

Stand: 03.11.2026

Was ist SIP-ALG überhaupt?

ALG steht für Application Layer Gateway. Viele Router und Firewalls bringen für SIP, das Protokoll für den Verbindungsaufbau bei VoIP, so einen Helfer mit. Bei manchen Herstellern heißt er auch „SIP Helper“, so nennt ihn auch NFON in seinem Merkblatt. Gedacht war er, um Telefonate durch NAT zu bringen, also durch die Adressumsetzung zwischen deinem internen Netz und dem Internet.

Das Problem: Moderne Telefonanlagen, Telefone und Anbieter kümmern sich längst selbst darum. peoplefone schickt zum Beispiel alle 30 Sekunden Pakete an das registrierte Gerät (NAT Keep Alive), damit die Ports offen bleiben und eingehende Anrufe ankommen. Greift dann zusätzlich der Router in die SIP-Pakete ein, arbeiten zwei Mechanismen gegeneinander.

Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.

Woran merke ich, dass SIP-ALG stört?

Die Anbieter nennen typische Fehlerbilder, die auf falsche Einstellungen an Router oder Firewall hindeuten:

  • Eingehende Anrufe kommen nur unregelmäßig an.
  • Gespräche brechen mittendrin ab.
  • Das Telefon registriert sich nicht.
  • Die Sprache ist nur in eine Richtung zu hören.

peoplefone empfiehlt bei unregelmäßigen eingehenden Anrufen und Abbrüchen, die Parameter von VoIP-Gerät, Router und Firewall zu prüfen. Bei fehlender Registrierung oder einseitiger Sprache kann laut peoplefone die Firewall die Sprachpakete blockieren. In der Praxis ist ein aktives SIP-ALG einer der ersten Punkte, die wir bei diesen Symptomen kontrollieren.

Wie deaktiviere ich SIP-ALG?

Wo die Option sitzt, hängt vom Gerät ab. Das Vorgehen ist aber immer ähnlich:

  1. Melde dich an der Weboberfläche deines Routers oder deiner Firewall an.
  2. Such in den Bereichen NAT, Firewall, VoIP oder Anwendungsfilter nach „SIP ALG“, „SIP Helper“ oder „SIP Application Layer Gateway“.
  3. Deaktiviere die Funktion und speichere.
  4. Starte Router oder Firewall neu, damit bestehende Verbindungen neu aufgebaut werden.
  5. Starte danach auch die Telefone oder die Telefonanlage neu, damit sie sich frisch registrieren.
  6. Teste eingehende und ausgehende Gespräche, auch längere über mehrere Minuten.

Manche Geräte verstecken die Option oder setzen sie nach Firmware-Updates zurück. Prüfe die Einstellung deshalb nach jedem größeren Update erneut.

Welche Firewall-Einstellungen verlangt NFON außerdem?

Das NFON-Merkblatt zu Plug & Play 2.0 nennt neben SIP-ALG weitere Punkte:

  • UDP-NAT-Timeout: 120 bis 130 Sekunden.
  • Consistent NAT: aktivieren, wenn vorhanden.
  • Store & Forward: für Verbindungen von und zur Telefonanlage deaktivieren.
  • ICMP Typ 3 (Destination Unreachable) nicht blockieren, sonst scheitert die Ermittlung von Übertragungsparametern.
  • UDP-Fragmentierung muss möglich sein, weil Pakete größer als 1500 Byte werden können. Sonst funktionieren unter anderem BLF, Nicht Stören und Rufumleitungen fehlerhaft.
  • Ausgehende Freigaben für SIP, RTP und weitere Dienste per UDP und TCP in das Netz 109.68.96.0/21, dazu Provisionierung über TCP 80, 83, 443 und 18443, NTP über UDP 123 und DNS über UDP 53.

Filterregeln auf Basis von DNS-Namen empfiehlt NFON nicht.

Und was gilt bei peoplefone?

peoplefone empfiehlt, SIP-ALG zu deaktivieren und NAT Keep Alive am Gerät zu aktivieren. Für Gigaset-IP-Geräte soll der STUN-Server stun.peoplefone.com eingetragen werden. Wird der Verkehr in beide Richtungen kontrolliert, nennt peoplefone diese Ports:

  • Signalisierung: UDP/TCP 5060, UDP/TCP 6000, TLS 5061
  • Sprache: UDP 8000 bis 60000
  • Session-Timeouts: udp-connect und udp-deliver je 300 Sekunden

Für Deutschland nennt peoplefone den Adressbereich 185.190.125.1 bis 185.190.125.31. Aus Sicherheitsgründen soll nur die Kommunikation zwischen Firewall und peoplefone erlaubt werden. Prüf die Angaben vor der Umsetzung trotzdem gegen die aktuelle Seite des Anbieters, denn Adressbereiche ändern sich.

So unterstützen wir dich

Wir konfigurieren Firewalls für Unternehmen in Osnabrück und Umgebung so, dass Telefonie und Sicherheit zusammenpassen, entfernte Standorte per Fernwartung. Dabei richten wir die Regeln passend zu deinem Telefonanbieter ein und nicht pauschal. Mehr dazu auf unserer Seite zu Firewalls für Unternehmen.

Häufige Fragen

Ist SIP-ALG ein Sicherheitsrisiko?

Die Anbieter begründen ihre Empfehlung mit Funktionsproblemen, nicht mit Sicherheit. Es geht um stabile Anrufe, Registrierung und Sprache in beide Richtungen.

Muss ich nach dem Abschalten Ports freigeben?

Das hängt davon ab, ob deine Firewall ausgehenden Verkehr filtert. Wenn ja, brauchst du die Freigaben, die dein Anbieter nennt.

Welchen UDP-Timeout soll ich einstellen?

NFON nennt für den UDP-NAT-Timeout 120 bis 130 Sekunden. peoplefone nennt für udp-connect und udp-deliver je 300 Sekunden. Richte dich nach deinem Anbieter.

Quellen