https://techcorner.max-it.de/index.php?action=history&feed=atom&title=UniFi_Talk%3A_Netzwerk%2C_Sicherheit_und_FehlersucheUniFi Talk: Netzwerk, Sicherheit und Fehlersuche - Versionsgeschichte2026-10-19T06:57:57ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=UniFi_Talk:_Netzwerk,_Sicherheit_und_Fehlersuche&diff=4724&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: Firewall, Portweiterleitung, Gebührenbetrug, Telefon-VLAN, SIP ALG, NAT, Wiederherstellung2026-10-16T00:00:00Z<p>Neuer Artikel: Firewall, Portweiterleitung, Gebührenbetrug, Telefon-VLAN, SIP ALG, NAT, Wiederherstellung</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = UniFi Talk 3.x/4.x hinter einem UniFi Cloud Gateway oder fremdem Router; SIP-Trunk eines Drittanbieters<br />
| bereich = IT-Security<br />
| dauer = ca. 30–60 Minuten<br />
| rechte = Owner oder Super Admin; Zugriff auf UniFi Network und ggf. Provider-Router<br />
| stand = Oktober 2026<br />
}}<br />
'''UniFi Talk sicher betreiben und Fehler beheben''' betrifft vor allem die Schnittstelle zum Internet: Telefonanlagen sind ein beliebtes Ziel für Gebührenbetrug, bei dem Angreifer über offene SIP-Ports teure Auslandsverbindungen auf Kosten des Unternehmens aufbauen. Gleichzeitig sorgen Router-Funktionen wie SIP ALG, doppeltes NAT oder CGNAT für die typischen Fehlerbilder: einseitige Sprache, Abbrüche nach 30 Sekunden oder nicht erreichbare Telefone. Dieser Artikel zeigt die richtigen Firewall-Einstellungen, eine Fehlersuche nach Symptomen und die Wiederherstellung einer Talk-Installation.<br />
<br />
[[Datei:UniFi-Talk-Sicherheit.png|thumb|center|750px|Netzwerk und Sicherheit bei UniFi Talk: Registrierender SIP-Trunk braucht keine Portweiterleitung; IP-authentifizierter Trunk nur mit Weiterleitung von Port 6767 aus den Anbieter-IPs; nie SIP an das ganze Internet öffnen (Gebührenbetrug); SIP ALG am Provider-Router abschalten; einseitige Sprache: symmetrisches RTP; CGNAT und Dual-WAN: Failover statt Lastverteilung; Telefone im eigenen VLAN mit Zugriff auf Konsole und Ubiquiti-Dienste; Auslandsziele beim Anbieter sperren.]]<br />
<br />
== Braucht UniFi Talk Firewall-Regeln? ==<br />
{| class="wikitable"<br />
! Situation !! Was nötig ist<br />
|-<br />
| Talk hinter einem UniFi Cloud Gateway, registrierender SIP-Trunk || '''nichts''' – die Registrierung hält den Rückweg offen<br />
|-<br />
| IP-authentifizierter SIP-Trunk (ohne Registrierung) || ''Static Signaling Port'' (TCP/UDP '''6767''') aktivieren und weiterleiten – '''nur''' von den IP-Adressen des Anbieters<br />
|-<br />
| Anbieter mit mehreren Signalisierungsservern || alle Server-IPs des Anbieters in Talk eintragen<br />
|-<br />
| Firewall mit „ausgehend alles verboten“ || ausgehende Ziele beim Ubiquiti-Support erfragen<br />
|}<br />
<br />
=== Portweiterleitung richtig absichern ===<br />
Ubiquitis eigene Anleitung zeigt eine Weiterleitung ''From: Any''. Für Unternehmen gilt: '''niemals''' den SIP-Port für das ganze Internet öffnen. Offene SIP-Ports werden ständig gescannt und für Gebührenbetrug missbraucht.<br />
# In UniFi Network eine '''IP-Gruppe''' mit den Signalisierungsservern des Anbieters anlegen.<br />
# Portweiterleitung 6767 auf die Konsole mit Quelle = diese IP-Gruppe.<br />
# In der Zone-Based Firewall nur diese Quelle zulassen, siehe [[UniFi: Zone-Based Firewall konfigurieren]] und [[UniFi: Portweiterleitung und NAT konfigurieren]].<br />
Port 5060 ist für Talk nicht nötig – der statische Signalisierungsport ist 6767.<br />
<br />
== Gebührenbetrug vorbeugen ==<br />
* Beim SIP-Anbieter '''Auslands-, Satelliten- und Sonderrufnummern sperren''' und ein '''Kostenlimit''' bzw. eine Benachrichtigung bei ungewöhnlichem Umsatz einrichten.<br />
* In Talk ausgehende Sperrlisten für teure Ziele, siehe [[UniFi Talk: Smart Attendant, Rufumleitung und Voicemail]].<br />
* SIP-Passwörter lang und zufällig; TLS nutzen, wenn der Anbieter es anbietet.<br />
* Admin-Konten mit Zwei-Faktor-Anmeldung; Weiterleitungen auf externe Nummern nur für Personen, die sie brauchen.<br />
* Anruflisten regelmäßig auf nächtliche oder ausländische Verbindungen prüfen.<br />
<br />
== Telefone im eigenen VLAN ==<br />
Ein separates Sprach-VLAN ist empfehlenswert, darf aber nicht zu eng sein. Aus dem Telefon-VLAN erlauben:<br />
* Zugriff auf die '''Konsole''' (Adoption, Verwaltung, Gespräche),<br />
* ''fw-update.ubnt.com'' und ''fw-download.ubnt.com'' (TCP 443),<br />
* ''trunking.svc.ui.com'' (TCP 443), ''arbiter.svc.ui.com'' (TCP 3411), ''s3.us-west-2.amazonaws.com'' (TCP 443),<br />
* NTP (UDP 123).<br />
Zugriff aus dem Telefon-VLAN in Büro- und Server-Netze unterbinden.<br />
<br />
== Fehlersuche nach Symptom ==<br />
{| class="wikitable"<br />
! Symptom !! Ursache !! Abhilfe<br />
|-<br />
| Einseitige oder keine Sprache || SIP ALG am Provider-Router; RTP kommt nicht zurück || SIP ALG („SIP Helper“, „SIP Transformations“) abschalten; beim Anbieter symmetrisches RTP (''comedia'') aktivieren<br />
|-<br />
| Gespräch bricht nach ca. 30 Sekunden ab || SIP ALG verändert Signalisierung || SIP ALG abschalten<br />
|-<br />
| Telefone registrieren sich nur zeitweise || SIP ALG, zu strenge VLAN-Regeln || SIP ALG aus, Ziele oben freigeben<br />
|-<br />
| Keine eingehenden Anrufe || Trunk nicht registriert; IP-Trunk ohne Weiterleitung; doppeltes NAT || Trunk-Status prüfen; Port 6767 auf beiden Routern weiterleiten oder Provider-Router in Bridge-Modus<br />
|-<br />
| Anrufer hört nichts bis zum Abheben || Early Media || Einstellung bei Anbieter/Talk anpassen<br />
|-<br />
| Telefon zeigt Verbindungsfehler || Talk-Anwendung gestoppt || Talk unter ''Settings › Control Plane'' starten bzw. neu starten, Konsole neu starten<br />
|-<br />
| Probleme nach Netzausfall || veraltete Verbindungen || Talk-Anwendung stoppen und neu starten<br />
|}<br />
<br />
=== Doppeltes NAT, CGNAT, Dual-WAN ===<br />
* '''Doppeltes NAT''' (Konsole hat am WAN eine private IP): Registrierende Trunks funktionieren; IP-Trunks brauchen Weiterleitungen auf beiden Routern – besser den Provider-Router in den '''Bridge-Modus''' versetzen.<br />
* '''CGNAT''' (häufig bei Mobilfunk, Starlink, manchen Glasfaseranschlüssen): Registrierende Trunks funktionieren meist; IP-Trunks brauchen eine öffentliche IP vom Provider. ''Advanced Call Routing'' gibt es nur für das Ubiquiti-Abo.<br />
* '''Dual-WAN''': mit SIP-Trunk '''Failover''' statt Lastverteilung verwenden, damit die öffentliche IP nicht ständig wechselt, siehe [[UniFi: Hochverfügbarkeit mit Shadow Mode und WAN-Failover]].<br />
<br />
== Wiederherstellung und Umzug ==<br />
* Eine Talk-Installation ist immer nur auf '''einer''' Konsole aktiv.<br />
* Nach Werksreset oder Konsolentausch: im Site Manager die Konsole wählen, Talk-Einrichtungsassistent starten und die bisherige Installation zur Wiederherstellung auswählen; Rufnummern danach Benutzern und Telefonen zuweisen.<br />
* Regelmäßige Backups der Konsole sicherstellen, siehe [[UniFi: Updates und Firmware verwalten]].<br />
* Der '''Talk-Owner''' (verantwortlich für Abos und Abrechnung) ist eine eigene Rolle und unabhängig vom Konsolen-Owner; Übertragung unter ''Talk › Settings › System''.<br />
<br />
== Hinweise ==<br />
* '''Abnahmetest''' nach jeder Änderung an Firewall oder Internetanschluss: Anruf ein- und ausgehend, beide Richtungen hörbar, Rufnummernübermittlung.<br />
* '''Monitoring:''' Ausfall der Telefonanlage per Alarm Manager melden, siehe [[UniFi: Syslog, SIEM und SNMP anbinden]].<br />
* Bei der Absicherung von Telefonanlagen und Firewall-Konzepten unterstützt Sie die [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity-Beratung von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[UniFi Talk]] – Überblick und alle Artikel der Reihe<br />
* [[UniFi Talk: Einrichtung mit SIP-Trunk in Deutschland]]<br />
* [[UniFi: Fehlersuche-Leitfaden]]<br />
* [[VoIP]]<br />
<br />
== Links und Quellen ==<br />
* [https://help.ui.com/hc/en-us/articles/43476960093463-UniFi-Talk-Network-Firewall-Requirements Ubiquiti Help Center: UniFi Talk Network & Firewall Requirements]<br />
* [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:Netzwerk-Hardware]]<br />
[[Kategorie:IT-Security]]<br />
</div>imported>TechCorner-Redaktion