UniFi Talk: Netzwerk, Sicherheit und Fehlersuche
Auf einen Blick
| Gilt für | UniFi Talk 3.x/4.x hinter einem UniFi Cloud Gateway oder fremdem Router; SIP-Trunk eines Drittanbieters |
|---|---|
| Bereich | IT-Security |
| Dauer | ca. 30–60 Minuten |
| Rechte | Owner oder Super Admin; Zugriff auf UniFi Network und ggf. Provider-Router |
| Stand | Oktober 2026 |
UniFi Talk sicher betreiben und Fehler beheben betrifft vor allem die Schnittstelle zum Internet: Telefonanlagen sind ein beliebtes Ziel für Gebührenbetrug, bei dem Angreifer über offene SIP-Ports teure Auslandsverbindungen auf Kosten des Unternehmens aufbauen. Gleichzeitig sorgen Router-Funktionen wie SIP ALG, doppeltes NAT oder CGNAT für die typischen Fehlerbilder: einseitige Sprache, Abbrüche nach 30 Sekunden oder nicht erreichbare Telefone. Dieser Artikel zeigt die richtigen Firewall-Einstellungen, eine Fehlersuche nach Symptomen und die Wiederherstellung einer Talk-Installation.
Braucht UniFi Talk Firewall-Regeln?
| Situation | Was nötig ist |
|---|---|
| Talk hinter einem UniFi Cloud Gateway, registrierender SIP-Trunk | nichts – die Registrierung hält den Rückweg offen |
| IP-authentifizierter SIP-Trunk (ohne Registrierung) | Static Signaling Port (TCP/UDP 6767) aktivieren und weiterleiten – nur von den IP-Adressen des Anbieters |
| Anbieter mit mehreren Signalisierungsservern | alle Server-IPs des Anbieters in Talk eintragen |
| Firewall mit „ausgehend alles verboten“ | ausgehende Ziele beim Ubiquiti-Support erfragen |
Portweiterleitung richtig absichern
Ubiquitis eigene Anleitung zeigt eine Weiterleitung From: Any. Für Unternehmen gilt: niemals den SIP-Port für das ganze Internet öffnen. Offene SIP-Ports werden ständig gescannt und für Gebührenbetrug missbraucht.
- In UniFi Network eine IP-Gruppe mit den Signalisierungsservern des Anbieters anlegen.
- Portweiterleitung 6767 auf die Konsole mit Quelle = diese IP-Gruppe.
- In der Zone-Based Firewall nur diese Quelle zulassen, siehe UniFi: Zone-Based Firewall konfigurieren und UniFi: Portweiterleitung und NAT konfigurieren.
Port 5060 ist für Talk nicht nötig – der statische Signalisierungsport ist 6767.
Gebührenbetrug vorbeugen
- Beim SIP-Anbieter Auslands-, Satelliten- und Sonderrufnummern sperren und ein Kostenlimit bzw. eine Benachrichtigung bei ungewöhnlichem Umsatz einrichten.
- In Talk ausgehende Sperrlisten für teure Ziele, siehe UniFi Talk: Smart Attendant, Rufumleitung und Voicemail.
- SIP-Passwörter lang und zufällig; TLS nutzen, wenn der Anbieter es anbietet.
- Admin-Konten mit Zwei-Faktor-Anmeldung; Weiterleitungen auf externe Nummern nur für Personen, die sie brauchen.
- Anruflisten regelmäßig auf nächtliche oder ausländische Verbindungen prüfen.
Telefone im eigenen VLAN
Ein separates Sprach-VLAN ist empfehlenswert, darf aber nicht zu eng sein. Aus dem Telefon-VLAN erlauben:
- Zugriff auf die Konsole (Adoption, Verwaltung, Gespräche),
- fw-update.ubnt.com und fw-download.ubnt.com (TCP 443),
- trunking.svc.ui.com (TCP 443), arbiter.svc.ui.com (TCP 3411), s3.us-west-2.amazonaws.com (TCP 443),
- NTP (UDP 123).
Zugriff aus dem Telefon-VLAN in Büro- und Server-Netze unterbinden.
Fehlersuche nach Symptom
| Symptom | Ursache | Abhilfe |
|---|---|---|
| Einseitige oder keine Sprache | SIP ALG am Provider-Router; RTP kommt nicht zurück | SIP ALG („SIP Helper“, „SIP Transformations“) abschalten; beim Anbieter symmetrisches RTP (comedia) aktivieren |
| Gespräch bricht nach ca. 30 Sekunden ab | SIP ALG verändert Signalisierung | SIP ALG abschalten |
| Telefone registrieren sich nur zeitweise | SIP ALG, zu strenge VLAN-Regeln | SIP ALG aus, Ziele oben freigeben |
| Keine eingehenden Anrufe | Trunk nicht registriert; IP-Trunk ohne Weiterleitung; doppeltes NAT | Trunk-Status prüfen; Port 6767 auf beiden Routern weiterleiten oder Provider-Router in Bridge-Modus |
| Anrufer hört nichts bis zum Abheben | Early Media | Einstellung bei Anbieter/Talk anpassen |
| Telefon zeigt Verbindungsfehler | Talk-Anwendung gestoppt | Talk unter Settings › Control Plane starten bzw. neu starten, Konsole neu starten |
| Probleme nach Netzausfall | veraltete Verbindungen | Talk-Anwendung stoppen und neu starten |
Doppeltes NAT, CGNAT, Dual-WAN
- Doppeltes NAT (Konsole hat am WAN eine private IP): Registrierende Trunks funktionieren; IP-Trunks brauchen Weiterleitungen auf beiden Routern – besser den Provider-Router in den Bridge-Modus versetzen.
- CGNAT (häufig bei Mobilfunk, Starlink, manchen Glasfaseranschlüssen): Registrierende Trunks funktionieren meist; IP-Trunks brauchen eine öffentliche IP vom Provider. Advanced Call Routing gibt es nur für das Ubiquiti-Abo.
- Dual-WAN: mit SIP-Trunk Failover statt Lastverteilung verwenden, damit die öffentliche IP nicht ständig wechselt, siehe UniFi: Hochverfügbarkeit mit Shadow Mode und WAN-Failover.
Wiederherstellung und Umzug
- Eine Talk-Installation ist immer nur auf einer Konsole aktiv.
- Nach Werksreset oder Konsolentausch: im Site Manager die Konsole wählen, Talk-Einrichtungsassistent starten und die bisherige Installation zur Wiederherstellung auswählen; Rufnummern danach Benutzern und Telefonen zuweisen.
- Regelmäßige Backups der Konsole sicherstellen, siehe UniFi: Updates und Firmware verwalten.
- Der Talk-Owner (verantwortlich für Abos und Abrechnung) ist eine eigene Rolle und unabhängig vom Konsolen-Owner; Übertragung unter Talk › Settings › System.
Hinweise
- Abnahmetest nach jeder Änderung an Firewall oder Internetanschluss: Anruf ein- und ausgehend, beide Richtungen hörbar, Rufnummernübermittlung.
- Monitoring: Ausfall der Telefonanlage per Alarm Manager melden, siehe UniFi: Syslog, SIEM und SNMP anbinden.
- Bei der Absicherung von Telefonanlagen und Firewall-Konzepten unterstützt Sie die Cybersecurity-Beratung von m.a.x. it.
Siehe auch
- UniFi Talk – Überblick und alle Artikel der Reihe
- UniFi Talk: Einrichtung mit SIP-Trunk in Deutschland
- UniFi: Fehlersuche-Leitfaden
- VoIP
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
