VoIP: einseitiger Ton oder Registrierung bricht ab (SIP ALG)
IP-Telefonie mit einseitigem Ton oder abbrechender Registrierung? Meist verstümmelt die SIP-ALG-Funktion im Router die Pakete. So schaltest du sie ab.
Aufwand:
ca. 20 Min.
Voraussetzung:
Router-Zugang, Terminal
Das Symptom
Der Anruf kommt zustande, das Display zeigt „verbunden“ – und dann Stille. Du
hörst dein Gegenüber, aber er dich nicht, oder umgekehrt. Oder das Telefon zeigt
minütlich „nicht registriert“ und wieder „registriert“, ganz von allein. Die
Leitung ist schnell, das Internet läuft, nur die Sprache will nicht.
Die „Layer 8“-Wahrheit
SIP trennt sauber zwischen der Signalisierung, die den Anruf aufbaut, und dem
eigentlichen Sprachstrom, der über separate, dynamisch ausgehandelte Ports
läuft. In diesen Aushandlungspaketen stehen IP-Adressen und Portnummern im
Klartext – und genau hier greift der Router beherzt daneben. Sein SIP-ALG,
eigentlich als Hilfe gedacht, liest die Pakete mit und schreibt die internen
Adressen für das NAT um. Nur macht es das oft fehlerhaft: Es verrechnet sich bei
den Ports oder ersetzt eine Adresse, die schon korrekt war. Das Ergebnis ist
einseitiger Ton oder eine Registrierung, die zerbricht, bevor sie steht. Die
Ironie: Die Funktion, die VoIP durch das NAT lotsen soll, ist der häufigste
Grund, warum es das nicht tut. Abschalten hilft fast immer mehr als anlassen.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.
Symptom eingrenzen
Prüfe, ob die Registrierung stabil steht oder periodisch abfällt, und ob der Ton fehlt oder nur einseitig ist. Registrierung bricht ab plus einseitiger Ton deuten beide auf denselben Verursacher: einen Router, der die SIP-Signalisierung manipuliert.
2.
SIP-Verkehr mitschneiden
Mit sngrep siehst du live, welche IP-Adressen und Ports der Router in die SIP-Pakete schreibt. Stimmt die dort genannte Adresse nicht mit deiner öffentlichen IP überein, funkt ein ALG dazwischen:
sudo sngrep
3.
SIP-ALG im Router abschalten
In der Router-Oberfläche die Option meist unter den erweiterten NAT- oder Firewall-Einstellungen suchen (Bezeichnungen wie 'SIP ALG', 'SIP-Application-Layer-Gateway' oder 'VoIP-Passthrough') und deaktivieren. Anschließend den Router neu starten, damit bestehende Verbindungen neu aufgebaut werden.
4.
Conntrack-Helfer auf einem Linux-Router entladen
Betreibst du das Gateway selbst mit Linux, übernehmen die Kernelmodule nf_conntrack_sip und nf_nat_sip die ALG-Funktion. Zum Testen entladen (nicht zerstörerisch, nur die Helfer werden entfernt):
sudo modprobe -r nf_nat_sip nf_conntrack_sip
5.
Registrierung dauerhaft absichern
Setze im VoIP-Client oder in der Telefonie-Konfiguration das vom Anbieter empfohlene Registrierungsintervall und aktiviere bei Bedarf STUN. So bleibt der NAT-Eintrag offen, ohne dass ein ALG eingreifen muss.
Häufige Fragen (FAQ)
?Warum höre ich meinen Gesprächspartner, er mich aber nicht (oder umgekehrt)?
Einseitiger Ton ist das klassische Zeichen für ein NAT-Problem im Sprachkanal. SIP handelt die eigentliche Sprache (RTP) über separate Ports aus, die in der Signalisierung als IP-Adressen und Portnummern stehen. Eine SIP-ALG-Funktion im Router schreibt diese Angaben beim Passieren um – oft falsch oder unvollständig. Dann fließen die Sprachpakete in eine Richtung ins Leere.
?Was ist SIP ALG überhaupt und warum ist es aktiv?
Ein Application Layer Gateway ist ein Helfer im Router, der SIP-Pakete mitliest und die darin enthaltenen internen Adressen an das öffentliche NAT anpassen soll. Gedacht als Erleichterung, ist es in der Praxis oft fehlerhaft implementiert und stört mehr, als es hilft. Bei vielen Consumer-Routern ist es ab Werk eingeschaltet.
?Ich habe SIP ALG deaktiviert und es geht trotzdem nicht?
Dann liegt es meist an fehlender NAT-Traversal-Konfiguration beim VoIP-Anbieter oder an einem zu kurzen Registrierungsintervall, sodass der NAT-Eintrag abläuft, bevor er erneuert wird. Prüfe die vom Anbieter empfohlene Registrierungszeit und ob STUN oder ein Outbound-Proxy nötig ist.
Belege
Diese Seite ist gegen die folgenden Primärquellen geprüft – Hersteller, Standard oder Gesetzestext. Wer es nicht glaubt, muss es nicht: Da steht, wo es nachzulesen ist.
Ein weiteres Gerät kommt nicht ins Netz, obwohl WLAN da ist? Oft ist der Adressvorrat des Routers erschöpft — zu viele Geräte, zu kleiner DHCP-Bereich.