Sophos Firewall Solucionar problemas de VoIP con SIP y RTP

Los problemas de VoIP detrás de un Sophos Firewall a menudo tienen un efecto difuso: los teléfonos no registran, las llamadas se cortan, suena sin audio o la voz solo se escucha en una dirección. En la práctica, la causa rara vez se debe a un solo interruptor. La señalización SIP, el flujo de medios RTP, NAT, las reglas de firewall, los tiempos de espera UDP o el enrutamiento suelen funcionar juntos.

El artículo clasifica la solución de problemas de VoIP en Sophos Firewall como un proceso estructurado. Las medidas inmediatas conocidas, como desactivar SIP Helper o aumentar el tiempo de espera de UDP, siguen siendo importantes. Sin embargo, estos cambios no deben realizarse a ciegas, sino como parte de un proceso limpio de resolución de problemas.

¿

Qué pasa a través del firewall con VoIP?

VoIP consta aproximadamente de dos partes:

• SIP: controla el registro, el establecimiento de llamadas, la liberación de llamadas y la negociación de parámetros de medios. Los errores típicos incluyen registro fallido, llamadas que no se establecen o diálogos SIP rechazados por el proveedor.
• RTP: transporta los datos de voz durante la conversación. Los errores típicos incluyen audio faltante, audio unilateral o audio que se interrumpe después de un corto período de tiempo.SIP a menudo se ejecuta a través de UDP o TCP 5060, con SIP cifrado a menudo a través de 5061. Pero eso no es una ley. Muchos proveedores utilizan sus propios puertos, sus propios servidores proxy o requisitos adicionales para los keepalive de NAT.

RTP suele utilizar rangos de puertos UDP especificados por el proveedor, el sistema telefónico o los dispositivos finales. Para un análisis limpio, necesita los servidores SIP específicos, los rangos de puertos RTP y los protocolos de transporte del proveedor o la documentación de la PBX.

Clasificar los síntomas correctamente

Antes de realizar cualquier cambio, debes clasificar el síntoma con la mayor precisión posible.

• Error de registro: Verifique DNS, enrutamiento, regla de firewall, NAT, credenciales de proveedor o transporte SIP.
• La llamada no se conecta: Verifique la señalización SIP, la regla del firewall, Application Control y posibles bloqueos del proveedor.
• La llamada funciona pero no hay audio: Verifique el rango de puertos RTP, NAT, ruta de regreso, SD-WAN y SIP Helper.
• El audio solo se escucha en una dirección: Verifique la ruta de retorno RTP, NAT, enrutamiento, VPN y SD-WAN.
• La conversación se interrumpe después de 30, 60 o 120 segundos: Verifique el tiempo de espera de UDP, el mantenimiento de NAT, la actualización de la sesión y las expectativas del proveedor.
• Solo las llamadas entrantes no funcionan: Verifique DNAT, regla de firewall, redes de origen del proveedor y puerto compartido de PBX.
• Solo una línea WAN causa problemas: Verifique la ruta SD-WAN, la ruta de respuesta, la puerta de enlace y el enlace de IP del proveedor.

Esta clasificación le impide cambiar la configuración de SIP aunque el problema real radica en la ruta de retorno RTP o una ruta SD-WAN.

Verifique antes de realizar cambios

Antes de realizar cambios en la CLI, debe documentar el estado actual:- ¿Qué teléfonos, PBX o SBC están afectados?

• ¿Los dispositivos finales se registran directamente con el proveedor o todo funciona a través de un sistema telefónico interno?
• ¿Qué servidores SIP y rangos de puertos RTP nombra el proveedor?
• ¿Qué regla de firewall procesa el tráfico VoIP?
• ¿Está habilitado Log firewall traffic en esta regla?
• ¿Qué regla NAT se aplica al tráfico VoIP saliente y entrante?
• ¿Existen varias líneas WAN, rutas SD-WAN o VPN basadas en rutas?
• ¿El problema se hizo visible después de una actualización de firmware, cambio de proveedor o actualización de PBX?

Pruebe las reglas del firewall en Sophos Firewall ayuda al análisis de reglas. Para el flujo de paquetes real, Packet Capture en WebAdmin suele ser más significativo que una prueba de política pura.

Verifique el asistente SIP

El SIP Helper, a menudo también llamado SIP ALG, intenta reconocer paquetes SIP y adaptar la información SIP relevante para NAT. Esto puede ayudar en entornos simples. Sin embargo, también puede ser perjudicial en muchas configuraciones VoIP modernas con SBC del proveedor, PBX propio, TLS, NAT clean keepalive o rangos de puertos RTP más complejos.

Es por eso que SIP Helper es un punto de prueba útil, pero no una solución permanente general para todos los problemas.Los comandos se ejecutan a través de SSH en Sophos Firewall. Para hacer esto, conéctese al firewall y seleccione 4. Device Console. El acceso SSH sólo debe permitirse desde redes confiables. Los conceptos básicos están en Conéctese a Sophos Firewall a través de SSH.

Mostrar el estado actual del módulo:

system system_modules show

Desactivar el módulo SIP:

system system_modules sip unload

Reactivar el módulo SIP:

system system_modules sip load

⚠️ Este cambio debe realizarse en una ventana de mantenimiento o con pruebas claramente definidas. Después de deshabilitar o habilitar, se debe verificar el registro, las llamadas salientes, las llamadas entrantes y el audio en ambas direcciones.

Si el cambio no ayuda, deberías retirarlo. Es importante documentar la condición antes y después de la prueba.

Verifique y ajuste el tiempo de espera de UDP

VoIP suele utilizar UDP. Si las entradas de sesión o NAT caducan demasiado pronto, puede parecer que un registro funciona, pero las llamadas se interrumpen o las llamadas entrantes no llegan al PBX de manera confiable.

El estado actual del firewall avanzado se muestra en Device Console:

show advanced-firewall

Un valor de prueba común es 180 segundos:```shell set advanced-firewall udp-timeout-stream 180

> ⚠️ `udp-timeout-stream` no es una opción pura de control de VoIP, pero tiene un efecto más amplio en las sesiones UDP. El valor no debe establecerse arbitrariamente alto. Es mejor tener una prueba definida con documentación del valor antiguo, requisitos del proveedor y posterior control de la sesión y calidad de voz.

Si el proveedor o el sistema telefónico admite NAT keepalive, también se debe verificar esta configuración. Un mantenimiento limpio del lado de la PBX o del proveedor suele ser mejor que un valor de tiempo de espera global muy alto.

## Verifique las reglas del firewall y NAT

NAT suele estar implicada en problemas de VoIP. El Sophos Firewall no solo debe permitir SIP, sino también traducir y devolver correctamente los flujos RTP asociados en ambas direcciones.

Estos puntos suelen ser relevantes para teléfonos salientes o una centralita interna:

- regla de firewall adecuada desde la zona VoIP o zona PBX a WAN
- regla SNAT o MASQ apropiada
- Iniciar sesión en la regla del firewall
- ninguna regla que sea demasiado amplia o esté incorrectamente colocada encima de la regla VoIP
- No hay Application Control, IPS o filtrado web inesperados en este tráfico.Se agregan puntos adicionales para troncales SIP entrantes o sistemas telefónicos publicados:

- DNAT al PBX interno o SBC
- Regla de firewall con zona de destino y red de destino apropiadas
- Restricción a las redes de origen del proveedor, si es posible.
- sólo se requieren puertos SIP y RTP
- Registro y Packet Capture para pruebas.

Una regla NAT no permite el tráfico, solo traduce direcciones o puertos. Las conexiones se explican en [Comprender NAT en Sophos Firewall](/es/kb/sophos-firewall-nat-basics/). Si es necesario acceder a una PBX desde Internet, [Servidor de publicación a través de DNAT](/es/kb/sophos-firewall-dnat-servidor/) es la mejor base para la publicación real.

## Analizar RTP y dirección del idioma

Si se establece la llamada pero falta el audio, SIP ya no suele ser el problema principal. Luego hay que comprobar si el RTP fluye en ambas direcciones.

Proceso típico:

1. Tenga en cuenta el proveedor o el rango de puertos RTP de PBX.
2. Inicie Packet Capture con la IP de origen del PBX o teléfono y el rango de puertos RTP.
3. Haz una llamada de prueba.
4. Compruebe si los paquetes UDP del dispositivo interno al proveedor son visibles.
5. Compruebe si los paquetes UDP regresan del proveedor.
6. Compare NAT ID, Rule ID, In interface y Out interface.Si el RTP solo es visible saliente pero no regresa nada, el problema puede estar en el proveedor, la ruta de retorno, NAT o una estación remota ascendente. Si RTP regresa pero no se reenvía a la PBX, es más probable que exista una regla de firewall, DNAT, enrutamiento o mapeo de zonas.

Para grabaciones más precisas o exportación PCAP, `tcpdump` vía SSH puede resultar útil. El proceso se describe en [Sophos Firewall Utilice tcpdump para registros y análisis](/es/kb/sophos-firewall-recopilar-registros-de-la-herramienta-tcpdump/).

## SD-WAN, VPN y múltiples líneas WAN

VoIP es sensible a rutas asimétricas. Si SIP se ejecuta a través de una línea WAN pero RTP regresa a través de una línea diferente o una VPN basada en rutas se enruta de manera diferente, surgen errores típicos como audio unilateral.

Un error corregido en SFOS 22.0 MR1 muestra la conexión típica: después de una actualización a SFOS 22.0 GA, el audio VoIP solo podía funcionar unidireccionalmente a través de VPN basada en rutas con enrutamiento SD-WAN. En la práctica, esto significa: Siempre se debe verificar SD-WAN cuando se utiliza VoIP a través de VPN o múltiples rutas WAN.

Puntos de control importantes:- ¿Una ruta SD-WAN accede al tráfico VoIP?
- ¿SIP y RTP se enrutan a través de la misma línea WAN esperada?
- ¿Existen especificaciones del proveedor con respecto a la IP de origen o la dirección pública del remitente?
- ¿Se utiliza una ruta VPN basada en rutas con una interfaz XFRM?
- ¿Las rutas de regreso y NAT coinciden con el camino elegido?
- ¿Packet Capture muestra diferentes puertas de enlace o interfaces para direcciones de ida y vuelta?

Para las opciones SD-WAN específicas de Sophos, encaja [Paquete de respuesta de enrutamiento SD-WAN y tráfico del sistema](/es/kb/sophos-firewall-sd-wan-routing-reply-packet-system-traffic/). [Sophos Firewall Solución de problemas de IPsec](/es/kb/sophos-firewall-ipsec-troubleshooting/) también ayuda con las conexiones IPsec.

## Modelado de tráfico para VoIP

La configuración del tráfico puede estabilizar VoIP cuando las líneas son estrechas o las cargas grandes desplazan los paquetes de voz. Sin embargo, no soluciona reglas NAT incorrectas, puertos RTP faltantes y rutas de retorno incorrectas.

La configuración del tráfico es particularmente útil si:

- VoIP empeora cuando la línea de Internet está bajo carga,
- Las cargas o copias de seguridad interrumpen las conversaciones,
- varias aplicaciones utilizan la misma línea,
- Se debe dar prioridad específica a VoIP.

La configuración se describe en [Aplicación de modelado de tráfico en Sophos Firewall](/es/kb/sophos-firewall-application-traffic-shaping/). Para VoIP, no sólo se deben realizar pruebas de velocidad después de la implementación, sino también realizar llamadas de prueba reales con carga simultánea.

## Flujo práctico de resolución de problemas

1. Síntoma del documento: registro, establecimiento de llamada, audio, hora de cancelación, dirección.
2. Recopile datos del proveedor: servidor SIP, transporte, rango de puertos RTP, requisitos NAT.
3. Identifique la regla de firewall y la regla NAT.
4. Active el inicio de sesión en la regla de firewall afectada.
5. Abra Log Viewer y Packet Capture durante una llamada de prueba.
6. Compruebe si la señalización SIP se ejecuta en ambas direcciones.
7. Compruebe si RTP se ejecuta en ambas direcciones.
8. Si hay varias líneas WAN, verifique SD-WAN y la ruta de retorno.
9. Pruebe SIP Helper específicamente y documente los resultados.
1
0. Ajuste el tiempo de espera UDP únicamente de forma consciente y documentado con el valor anterior.
1
1. Después de cada cambio, pruebe el registro, las llamadas salientes, las llamadas entrantes y el audio en ambas direcciones.

Si se realizan varios cambios al mismo tiempo, la causa posterior es difícil de entender. Una prueba por cambio es mejor.

## Recopilar pruebas durante una llamada de prueba

Una prueba de VoIP sólo es útil si la hora, la dirección y el flujo de paquetes coinciden. Especialmente en el caso de los proveedores, la afirmación "El audio no funciona" no es suficiente. Necesita un caso de prueba pequeño y reproducible.
- **Hora exacta con zona horaria:** Log Viewer, Packet Capture y los registros del proveedor se pueden comparar fácilmente más adelante.
- **Dirección de llamada:** Las llamadas entrantes, las llamadas salientes y el desvío interno no se mezclan.
- **Números de teléfono o extensiones:** Los proveedores y PBX encuentran más rápidamente la llamada específica.
- **IP interna de PBX o teléfono:** Packet Capture se puede filtrar de forma estricta.
- **Servidor SIP del proveedor y rango de puertos RTP:** Los análisis SIP y RTP permanecen separados.
- **Rule ID, NAT ID, In interface y Out interface:** puedes ver qué regla y qué ruta se utilizaron realmente.
- **Resultado por prueba:** El registro, el timbre, el establecimiento de llamada, el audio izquierdo/derecho y el tiempo de finalización permanecen rastreables.

En caso de errores esporádicos, también debería hacer una copia de seguridad de los registros relevantes antes de que se sobrescriban. Para un paquete de registro limpio, encaja [Sophos Firewall Copia de seguridad de registros para soporte y análisis](/es/kb/logs-sophos-firewall-soporte-analisis/). Qué archivo de registro pertenece a qué servicio se describe en [Sophos Firewall Solución de problemas: servicios y registros](/es/kb/sophos-firewall-servicios-logs/).

## Errores comunes
- **Solo el puerto SIP habilitado, olvidé el rango del puerto RTP:** La llamada se establece pero falta el audio.
- **Existe una regla NAT, pero no hay una regla de firewall que coincida:** El tráfico se traduce pero no se permite.
- **Regla de firewall sin registro:** La solución de problemas en Log Viewer permanece ciega.
- **SIP Helper desactivado o activado en todos los ámbitos:** El problema se mueve aleatoriamente en lugar de analizarse.
- **Tiempo de espera de UDP establecido muy alto:** Las sesiones UDP globales permanecen abiertas durante un tiempo innecesariamente largo.
- **Múltiples rutas WAN sin una regla SD-WAN clara:** Es más probable que el audio unidireccional o el tráfico rechazado por el proveedor.
- **Redes de origen del proveedor no restringidas:** El servicio SIP es innecesariamente accesible desde Internet.
- **Traffic shaping entendido como sustituto de NAT/enrutamiento:** La calidad de la voz sigue siendo mala porque la causa está en otra parte.

## Reversión y documentación

Al realizar cambios en VoIP, siempre debe quedar claro cómo recuperar:- antiguo valor `udp-timeout-stream` documentado
- Estado del módulo SIP documentado antes de la prueba
- Se cambiaron las reglas de firewall y NAT anotadas con fecha y motivo.
- Llamadas de prueba registradas con dirección y hora.
- Packet Capture o registros relevantes asegurados para casos de soporte

Si el cambio no ayuda, no debería dejarse como un legado accidental. De lo contrario, las soluciones VoIP en particular serán difíciles de entender más adelante.

## Lista de verificación

- La información SIP y RTP del proveedor está disponible.
- Se identifica la regla de firewall para VoIP y el registro está activo.
- La regla NAT coincide con la dirección del tráfico.
- SIP y RTP se comprobaron por separado.
- Packet Capture muestra la dirección de ida y vuelta.
- SIP Helper sólo se probó específicamente.
- El tiempo de espera de UDP solo se cambió con un valor inicial documentado.
- Se verificaron SD-WAN, VPN y múltiples líneas WAN.
- La configuración del tráfico se utiliza únicamente para el control de calidad, no como reemplazo del enrutamiento o correcciones NAT.

## Preguntas frecuentes





  

    
¿Debería desactivar siempre SIP Helper en Sophos Firewall?
    

      No. SIP Helper puede ayudar o dificultar según el proveedor y el sistema telefónico. Se debe probar específicamente. Si la desactivación no aporta ninguna mejora, deberás restaurar el estado anterior.
    
  









  

    
¿Por qué funciona la llamada pero no se escucha nada?
    

      Entonces la señalización SIP funciona al menos parcialmente, pero el flujo de medios RTP no se ejecuta correctamente. Verifica el rango de puertos RTP, NAT, regla de firewall, ruta de retorno y, si hay varias rutas WAN, SD-WAN.
    
  









  

    
¿Un mayor tiempo de espera UDP ayuda con los problemas de VoIP?
    

      A veces sí, sobre todo en el caso de llamadas interrumpidas o registros inestables. Sin embargo, el valor tiene un impacto más amplio en las sesiones UDP y, por lo tanto, debe ser consciente, documentado y no establecerse innecesariamente alto.
    
  









  

    
¿Qué tiene de importante VoIP sobre SD-WAN?
    

      SIP y RTP deben ejecutarse por la ruta esperada. Si los viajes de ida y vuelta utilizan diferentes líneas WAN o rutas VPN, es posible que se produzcan audio unilateral o conexiones rechazadas.