Para que serve a porta 5060
Quando um telefone IP liga, ele envia um convite SIP (INVITE) ao servidor do provedor ou do PABX pela 5060. Os dois lados combinam endereços e codecs, e o áudio passa a fluir em fluxos RTP separados, em portas UDP altas. Por isso uma chamada pode completar e mesmo assim ficar muda: a sinalização passou, mas o áudio não.
Telefones e softphones mantêm um registro periódico com o servidor. Essa conexão de saída mantém o mapeamento do NAT aberto, e é por ela que as chamadas recebidas chegam. Na maioria das instalações domésticas, isso dispensa redirecionar a 5060.
Quem usa a porta 5060 na prática:
- Telefones IP e adaptadores ATA ligados a um provedor de VoIP
- PABX IP em empresas (Asterisk e derivados, sistemas comerciais)
- Softphones no computador e no celular
- Troncos SIP entre o PABX e a operadora de telefonia
A porta 5060 no Brasil
Quando a linha fixa vem junto com a internet de fibra, o roteador ou a ONT da operadora costuma cuidar da parte VoIP sozinho, com configurações fornecidas por ela. Nesses casos não mexa no SIP do equipamento sem orientação do suporte, porque uma regra errada pode derrubar o telefone.
O que diz o registro da IANA
A 5060 é a porta padrão do SIP em UDP e TCP; a versão com TLS (sips) fica na 5061. O SIP só cuida da sinalização (chamar, tocar, atender, desligar). O áudio viaja por RTP em outras portas UDP, numa faixa definida pelo aparelho ou pelo provedor.
| Nome do serviço | Protocolo | Descrição no registro | Referência |
|---|---|---|---|
| sip | ProtocoloTCP | Descrição no registroSIP | ReferênciaRFC 3263 |
| sip | ProtocoloUDP | Descrição no registroSIP | ReferênciaRFC 3263 |
É seguro deixar a porta 5060 aberta?
Robôs varrem a 5060 o tempo todo procurando PABX com ramais de senha fraca. Ao conseguir registrar um ramal, o invasor faz ligações às custas da vítima, principalmente internacionais, num tipo de golpe conhecido como fraude de tarifação. A conta chega dias depois.
Proteja ramais com senhas longas, restrinja quem pode se registrar, bloqueie destinos que você não usa e, se o PABX precisar receber conexões, aceite apenas os IPs do provedor de tronco SIP.
Como acessar o serviço sem expor a porta 5060
Para telefones e aplicativos registrados num provedor, não abra nada: o registro de saída resolve. Se as chamadas falham, o problema costuma estar no SIP ALG do roteador ou no tempo do NAT, e não na falta de porta aberta.
Para um PABX que recebe troncos ou ramais remotos, redirecione a 5060 (ou a 5061, com TLS) e a faixa RTP configurada no PABX, sempre com o firewall limitando a origem aos IPs do provedor. Ramais remotos ficam mais seguros por VPN.
Como testar a porta 5060
O SIP costuma rodar em UDP, e o verificador de portas testa TCP. O resultado só é conclusivo se o seu PABX aceitar SIP em TCP. Para telefones registrados num provedor, o melhor teste é o status de registro no próprio aparelho.
Problemas comuns com a porta 5060
Áudio de um lado só ou chamada muda
A sinalização passou, mas o RTP não. Causas comuns: SIP ALG do roteador reescrevendo os pacotes de forma errada, faixa RTP bloqueada ou aparelho anunciando o IP interno. Se o seu roteador tem a opção SIP ALG, a documentação do provedor ou do aparelho pode recomendar desativá-la; teste com e sem.
O ramal desregistra sozinho e para de receber ligações
O NAT do roteador esqueceu o mapeamento antes do próximo registro. Reduza o intervalo de registro no aparelho ou ative o envio de pacotes de manutenção (keep-alive), se houver.
Ligações estranhas na conta do PABX
Sinal clássico de ramal invadido. Troque todas as senhas, revise as regras de discagem, bloqueie destinos internacionais que você não usa e limite o acesso à 5060 por IP.