Réseau, routeur et internet pour la téléphonie

Un téléphone IP est un appareil du réseau de l'établissement au même titre qu'une caisse ou qu'un ordinateur : il passe par internet via votre routeur pour joindre notre PBX. Presque toujours, cela « fonctionne tout seul », et quand cela ne fonctionne pas, ce sont trois ou quatre réglages du routeur, identiques chez toutes les marques, qui sont en cause. Sur cette page : ce qu'il faut exactement au réseau, où désactiver le « helper » gênant SIP ALG sur les routeurs des marques courantes, et combien d'internet il faut pour un appel.

Ce qu'il faut saisir dans le téléphone lui-même (serveur, identifiant, mot de passe) — voir l'aperçu « Configuration des téléphones SIP ». Vérification du son après toute modification du réseau — test d'écho *43 (voir « Comment vérifier le réseau »).

En bref : cinq règles#

1. Aucune redirection de ports n'est nécessaire. Le téléphone se connecte lui-même au PBX depuis l'intérieur de votre réseau — il n'y a jamais de connexions entrantes depuis l'extérieur.
2. Désactivez SIP ALG sur le routeur (aussi appelé « SIP Helper », « SIP Passthrough »). C'est la cause la plus fréquente de « l'appel se coupe au bout de 30 secondes » et de « on ne m'entend pas » — où il se trouve chez votre marque.
3. Le téléphone — sur le réseau de service, de préférence par câble. Pas sur le Wi-Fi invité : les appareils y sont isolés les uns des autres, et il y a souvent une page de connexion que le téléphone ne franchira pas.
4. Il faut peu d'internet, mais de façon stable : environ 100 kbit/s dans chaque sens par conversation. Ce qui compte, ce n'est pas le débit, mais que le canal ne soit pas saturé « à fond » — surtout en émission.
5. Après toute intervention sur le réseau, composez *43. Le point vert dans l'administration indique l'enregistrement, pas le son.

Comment un appel passe par le réseau#

 Téléphone IP ──► routeur de l'établissement ──► internet ──► PBX Cenaly
 (192.168.x.x)   (NAT : remplace             fournisseur   sip.<votre domaine>
                  l'adresse par l'externe)                 ou machine dédiée

Tout le trafic est initié par le téléphone :

1. Le téléphone envoie au PBX un enregistrement (port 5060). Le routeur retient : « les paquets venant de ce port externe — pour le téléphone 192.168.x.x » — c'est ce qu'on appelle la traduction d'adresses (NAT).
2. Le PBX répond, puis envoie les appels entrants là d'où vient l'enregistrement, — par le même « trou » dans le routeur. C'est pourquoi aucune redirection de ports n'est nécessaire : la porte, c'est le téléphone lui-même qui l'a ouverte.
3. La voix (RTP), le téléphone commence aussi à l'envoyer lui-même, et le PBX répond en voix à l'adresse et au port d'où elle est venue.

D'où deux conditions sans lesquelles la communication se casse : le routeur ne doit pas réécrire le contenu des paquets SIP (c'est ce que fait SIP ALG) et ne doit pas oublier le « trou » tant que le téléphone reste silencieux entre les appels (c'est le keep-alive). Les deux sont détaillés ci-dessous.

Ports pour l'administrateur réseau#

La règle est unique : autoriser le sortant vers l'adresse du PBX et les réponses à celui-ci (un pare-feu « stateful » ordinaire le fait lui-même). Les règles entrantes et la redirection de ports ne sont pas nécessaires.

L'adresse du PBX est un nom, pas une IP : elle est indiquée dans la fenêtre « Identifiants du poste » (sip.<votre domaine> pour le circuit commun ou le nom de votre machine dédiée). Ne saisissez pas d'IP « de mémoire » dans les règles et ne la reprenez pas de cette page — elle n'y figure pas exprès.

SIP ALG — à désactiver sur le routeur#

De quoi s'agit-il. SIP ALG (Application Layer Gateway ; selon les marques, « SIP Helper », « SIP Passthrough », « ALG pour SIP ») est une fonction du routeur qui « aide » la téléphonie : elle s'immisce dans les paquets SIP et en réécrit les adresses. Elle a été conçue pour les anciens téléphones qui ne savaient pas fonctionner derrière un NAT. Notre PBX sait le faire elle-même (voir le bloc ci-dessus), et le routeur avec son « aide » ne fait que gêner.

Comment cela casse. Il réécrit souvent mal, ou seulement la moitié des paquets. Signes typiques :

• l'appel se coupe pile au bout de ~30 secondes après la réponse — l'accusé de réponse (ACK) est parti au mauvais endroit, et l'une des parties raccroche sur expiration du délai ;
• on n'entend qu'un seul côté ou il n'y a aucun son — l'adresse est remplacée dans la description du flux vocal ;
• le téléphone s'enregistre par intermittence, les appels entrants n'arrivent qu'une fois sur deux.

La mécanique de ces pannes est détaillée dans les pages « L'appel se coupe » et « Pas de son, on entend d'un seul côté ». Ici — où la désactiver.

« En sortie d'usine : non indiqué dans la documentation » signifie que le fabricant n'écrit pas si l'ALG est activé au départ — allez voir par vous-même. Les chemins proviennent des manuels officiels des fabricants (liste dans les « Sources ») ; sur un autre firmware, les noms des rubriques peuvent légèrement différer.

Si le routeur vient du fournisseur d'accès (terminal optique, « boîtier » de l'opérateur internet) et que la rubrique est introuvable — le menu est généralement réduit. Appelez votre fournisseur d'accès et demandez : « désactivez SIP ALG sur mon routeur » ou « passez le terminal en mode pont (bridge) », si votre propre routeur se trouve derrière.

Après la désactivation, redémarrez le routeur et les téléphones (les anciennes entrées NAT subsistent jusqu'au redémarrage ou à l'expiration du délai), puis composez *43.

NAT, double NAT et keep-alive#

Keep-alive. Le routeur garde en mémoire le « trou » ouvert pour le téléphone tant que du trafic y passe. Si le téléphone reste silencieux plus longtemps que le délai d'expiration UDP du routeur, l'enregistrement est supprimé — et l'appel entrant n'atteint pas le téléphone, même si le point vert reste affiché quelques minutes dans l'interface d'administration (« les appels sortants fonctionnent, les entrants non »). Sur les routeurs sous Linux (utilisé par de nombreux modèles domestiques et opérateurs), le délai par défaut est de 30 secondes pour les flux UDP unidirectionnels et de 120 secondes pour les flux avec réponses ; chez MikroTik — 30 secondes et 3 minutes.

C'est pourquoi :

• dans le téléphone, activez le NAT keep-alive (aussi appelé « NAT Keep-alive », « Keep Alive Interval », « UDP keep-alive ») avec un intervalle de 15–30 secondes, si cette option existe ;
• ou basculez le téléphone sur TCP — les routeurs maintiennent une connexion TCP bien plus longtemps (notre PBX accepte le TCP sur le même port 5060) ;
• de son côté, le PBX interroge chaque téléphone toutes les 60 secondes — cela aide, mais sur un routeur avec un délai de 30 secondes, cela ne suffit pas à lui seul.

Le double NAT — c'est lorsque votre propre routeur se trouve derrière le routeur de l'opérateur ou le terminal optique, et que les deux font du NAT. Notre PBX ne voit que l'adresse la plus externe et fonctionne quand même, mais : le SIP ALG doit être désactivé sur les deux appareils, et le keep-alive doit tenir dans le plus court des deux délais. La meilleure option est de passer l'appareil de l'opérateur en mode pont (bridge), pour n'avoir qu'un seul NAT.

L'internet mobile et l'IP « grise » de l'opérateur (CGNAT) — c'est le même double NAT, sauf que le niveau externe appartient à l'opérateur et n'est pas configurable. Cela fonctionne, mais le keep-alive est particulièrement important : les délais chez les opérateurs sont parfois courts.

Câble, Wi-Fi, PoE, VLAN et QoS#

• Le câble vaut mieux que le Wi-Fi. Connectez le téléphone de bureau avec un câble. Le Wi-Fi ajoute de la latence et des pertes, surtout en salle où les clients partagent le réseau ; lors du passage entre points d'accès, la conversation peut être interrompue.
• Le réseau invité n'est pas fait pour les téléphones. L'isolation des clients y est généralement activée (les appareils ne se voient pas entre eux — un ordinateur ne pourra pas ouvrir l'interface web du téléphone) et il y a parfois une page de connexion (« captive portal ») que le téléphone ne peut pas franchir.
• Pour se déplacer en salle — le DECT, pas le téléphone Wi-Fi. Les combinés DECT fonctionnent sur leur propre radio, ne dépendent pas du Wi-Fi et tiennent la charge plus longtemps.
• Alimentation par PoE. La plupart des téléphones de bureau sont alimentés par le commutateur selon la norme PoE 802.3af — pas besoin de bloc d'alimentation séparé. Si le commutateur n'a pas de PoE, le bloc d'alimentation est souvent vendu séparément. Les visiophones et les appareils avec modules d'extension peuvent nécessiter du PoE+ (802.3at).
• Le softphone sur smartphone en Wi-Fi perd son enregistrement lors du passage au réseau mobile — voir « Softphones ».

Combien de bande passante internet faut-il#

Un appel via notre standard téléphonique occupe environ 87 kbit/s dans chaque sens — identique pour les codecs G.711 (A-law/µ-law) et G.722. Prévoyez une marge de 100 kbit/s par appel — en réception comme en émission.

Deux précisions sur lesquelles on se trompe souvent :

• Un appel entre deux téléphones au sein de l'établissement, c'est deux flux via internet, et non zéro : la voix passe toujours par le standard (chaque téléphone — vers le standard et retour). Comptez les téléphones qui parlent simultanément, pas les appels.
• Le goulot d'étranglement, c'est l'émission. En ADSL, en internet mobile et sur de nombreux forfaits, le débit d'émission est plusieurs fois inférieur au débit de réception. Si le canal d'émission est occupé par des caméras, une sauvegarde cloud ou du streaming vidéo, la voix commencera à se couper, même quand « le débit au test est bon ».

La qualité prime sur le débit. Pour une conversation correcte, il faut :

Le standard affiche ces mêmes chiffres pour chaque test *43 dans le journal des appels.

Internet mobile. Un appel consomme environ 0,6 Mo par minute dans chaque sens, soit environ 1,2 Mo par minute au total, ou environ 72 Mo par heure de conversation.

Comment vérifier le réseau#

1. Test d'écho *43 depuis le téléphone qui pose problème : tonalité → votre propre voix. Comment interpréter les quatre résultats (tonalité sans voix, silence, haché) — dans l'aperçu : « Vérification de la qualité de la liaison ». Parlez au moins 10 secondes — les pertes, la gigue et le délai apparaîtront alors dans le journal des appels.
2. Un appel du standard vers le poste (fiche du poste → « Vérification » → « Appeler le poste ») teste le chemin retour — précisément la « brèche » dans le routeur par laquelle arrivent les appels entrants.
3. Le même test depuis un autre réseau (téléphone ou softphone via internet mobile) répond rapidement à la question : le réseau de l'établissement est-il en cause ?

Si quelque chose ne va pas — diagnostic par symptômes :

• Ne s'enregistre pas : messages et codes d'erreur
• Pas de son, audible dans un seul sens, écho, « robot »
• L'appel se coupe au bout de 30 secondes ou de 15–30 minutes
• Tous les symptômes — diagnostic

Sécurité#

• N'exposez pas directement le téléphone, l'ATA ou la passerelle à internet : ne redirigez pas 5060 vers eux, ne les placez pas en DMZ et ne leur attribuez pas d'IP « publique ». Internet est scanné en permanence par des robots — un appareil ouvert se met à appeler la nuit depuis des numéros comme « 100 » ou « 1000 », et dans le pire des cas il est utilisé pour des appels payants. Notre schéma n'a pas du tout besoin de redirection.
• Changez le mot de passe d'usine de l'interface web du téléphone (admin/admin et similaires) — sinon quiconque sur le réseau de l'établissement, y compris un Wi-Fi invité sans isolation, peut ouvrir les réglages et lire l'identifiant.
• Si le téléphone propose une option « accepter le SIP uniquement du serveur/proxy » (Allow SIP from proxy only, Accept SIP from registrar only) — activez-la.
• Mettez à jour le firmware des téléphones et du routeur depuis les sources officielles du fabricant.

Questions fréquentes#

Une adresse IP statique (« blanche ») est-elle nécessaire pour l'établissement ?#

Non. Le téléphone se connecte lui-même au standard téléphonique, et celui-ci le mémorise par son adresse externe réelle, quelle qu'elle soit. Cela fonctionne aussi bien derrière une IP « grise » de fournisseur d'accès que via un internet mobile.

Faut-il rediriger les ports 5060 et 10000–20000 sur le routeur ?#

Non, et il ne faut pas essayer : la redirection du port 5060 vers le téléphone le rend visible pour les scanners depuis internet. Il suffit que le routeur laisse passer le trafic sortant (c'est ainsi qu'il est configuré en usine).

Je n'ai pas trouvé SIP ALG dans mon routeur. Que faire ?#

Regardez dans les sections NAT, « Pare-feu », « Sécurité », « WAN », « Composants ». S'il n'y a pas d'entrée, il est possible que votre modèle n'ait pas d'ALG du tout ; vérifiez avec *43 et un appel de plus d'une minute. Si les appels se coupent au bout de 30 secondes et que le routeur appartient au fournisseur d'accès, demandez au fournisseur de désactiver SIP ALG ou de passer l'appareil en mode pont.

Les appels entrants n'arrivent que les premières minutes après l'allumage du téléphone#

Signe classique d'un enregistrement NAT expiré sur le routeur : le téléphone reste silencieux au-delà du délai d'expiration UDP, et le routeur oublie où transmettre les appels entrants. Activez sur le téléphone le NAT keep-alive sur 15–30 secondes ou passez le transport en TCP. Pour plus de détails, voir « L'appel se coupe » et la section « NAT, double NAT et keep-alive ».

Un routeur mobile avec SIM nous suffira-t-il ?#

Pour 1–3 conversations simultanées, généralement oui : il faut environ 0,1 Mbit/s par conversation dans chaque sens. Le point faible, c'est l'instabilité : au-delà de 3 % de pertes et de 300 ms de latence, la conversation deviendra inconfortable. Vérifiez avec *43 à l'heure de pointe et regardez les chiffres dans le journal des appels.

Peut-on mettre les téléphones sur le Wi-Fi invité ?#

Mieux vaut éviter. Dans un réseau invité, l'isolation des clients et la page de connexion sont souvent activées, et les invités partagent la bande passante avec leurs vidéos : la voix commencera à se couper à l'heure la plus chargée. Réservez aux téléphones un réseau de service ou un VLAN.

Sections liées#

• Vue d'ensemble : connecter un téléphone au standard téléphonique — identifiants, test d'écho *43, réinitialisation aux paramètres d'usine
• Softphones : Zoiper, MicroSIP, Linphone
• Diagnostic par symptômes
• Pas d'enregistrement : messages et codes d'erreur
• Pas de son, audible dans un seul sens, écho, « robot »
• L'appel se coupe

Sources#

• Keenetic : Application-layer gateway (ALG) for SIP — https://support.keenetic.com/explorer/kn-1613/en/51136-application-layer-gateway--alg--for-sip.html ; installation et suppression de composants (Component options, redémarrage automatique) — https://support.keenetic.com/explorer/kn-1613/en/16326-os-components-installation-removal.html ; idem en russe (Netcraze) : https://support.netcraze.ru/challenger/nc-3910/ru/16326-os-components-installation-removal.html , nom du composant — https://support.netcraze.ru/challenger/nc-3910/ru/16327-os-component-description.html
• MikroTik RouterOS : NAT → NAT Helpers (/ip firewall service-ports) — https://help.mikrotik.com/docs/spaces/ROS/pages/3211299/NAT ; Connection tracking (udp-timeout 30 s, udp-stream-timeout 3 min) — https://help.mikrotik.com/docs/spaces/ROS/pages/130220087/Connection+tracking
• TP-Link : Archer AX55 v4 User Guide (Advanced > Security > ALG) — https://static.tp-link.com/upload/manual/2023/202312/20231201/1910013469_Archer%20AX55_UG_REV4.0.0.pdf ; FAQ 343 pour les modems xDSL (Advanced > NAT Forwarding > ALG) — https://www.tp-link.com/us/support/faq/343/ ; FAQ 2422 pour Deco — https://www.tp-link.com/us/support/faq/2422/ ; Omada Gateway User Guide (Transmission > NAT > ALG) — https://static.tp-link.com/upload/manual/2026/202603/20260311/Omada%20Gateway%20(New%20VI)_UG.pdf
• D-Link : DIR-X1530, manuel utilisateur v4.0.1 (Дополнительно / ALG/Passthrough) — https://ftp.dlink.ru/pub/Router/DIR-X1530/Description/DIR-X1530_A1_User%20Manual_v.4.0.1._13.07.22_RU.pdf ; DIR-842 rev B manual 2.01 (Advanced > Firewall > Advanced Settings > SIP) — https://support.dlink.com/resource/products/DIR-842/REVB/DIR-842_REVB_MANUAL_2.01_EN_US.PDF
• Zyxel : VMG8825-T50K User's Guide (Network Setting > NAT > ALG) — https://download.zyxel.com/VMG8825-T50K/user_guide/VMG8825-T50K_V5.13_5.50.pdf ; ATP500 ZLD 4.60 web help (Configuration > Network > ALG) — http://webhelp.zyxel.com/wohView/help_docs/ATP500_V4.60_ABFU/ZW%20ATP/h_ALG.html
• ASUS : [Wireless Router] WAN - NAT Passthrough Introduction (SIP Passthrough, valeurs par défaut) — https://www.asus.com/support/faq/1011727/
• NETGEAR : How do I disable SIP ALG on my NETGEAR device using the router web interface? (« By default NETGEAR routers have SIP ALG turned ON ») — https://kb.netgear.com/30796/How-do-I-disable-SIP-ALG-on-my-NETGEAR-device-using-the-router-web-interface ; Orbi User Manual — https://www.downloads.netgear.com/files/GDC/RBK50/Orbi_UM_EN.pdf
• DrayTek : Enable ALG on Vigor Router (NAT >> ALG, firmware 3.8.5+) — https://www.draytek.com/support/knowledge-base/5598 ; DrayTek UK : SIP ALG (désactivé par défaut, sys sip_alg 0) — https://www.draytek.co.uk/support/guides/kb-sip-alg
• AVM : IP-Telefon oder Internettelefonie-Software im FRITZ!-Heimnetz einsetzen (Wissensdokument #268) — https://fritz.com/service/wissensdatenbank/dok/FRITZ-Box-7590/268_IP-Telefon-oder-Internettelefonie-Software-im-FRITZ-Heimnetz-einsetzen/
• Ubiquiti : UniFi Talk Network Firewall Requirements (« UniFi Cloud Gateways do not apply SIP ALG ») — https://help.ui.com/hc/en-us/articles/43476960093463-UniFi-Talk-Network-Firewall-Requirements
• Tenda : manuel AC6/AC7/AC8/AC10/AC11 (pas d'option SIP ALG) — https://www.tendacn.com/prod/api/download/3926 ; User Guide of DSL Modem Router V15 (Advance > Services > ALG) — https://static.tenda.com.cn/other/qrcoder/Web%20User%20Guide-V15.pdf
• Fortinet : FortiGate 7.6 Administration Guide — SIP ALG and SIP session helper — https://docs.fortinet.com/document/fortigate/7.6.6/administration-guide/147933/sip-alg-and-sip-session-helper
• OpenWrt : kmod-nf-nathelper-extra — https://openwrt.org/packages/pkgdata/kmod-nf-nathelper-extra ; Firewall configuration (auto_helper) — https://openwrt.org/docs/guide-user/firewall/firewall_configuration
• Documentation du noyau Linux : Netfilter Conntrack Sysfs variables (nf_conntrack_udp_timeout = 30 s, nf_conntrack_udp_timeout_stream = 120 s) — https://docs.kernel.org/networking/nf_conntrack-sysctl.html
• RFC 3581 — Symmetric Response Routing (rport) — https://www.rfc-editor.org/rfc/rfc3581
• RFC 3550 — RTP et RTCP (en-tête RTP 12 octets, rapports RTCP) — https://www.rfc-editor.org/rfc/rfc3550
• Code du PBX : ports du contour général (UDP/TCP 5060, UDP 10000–10200) — sip-edge/setup-infra.sh, sip-edge/asterisk/rtp.conf ; ports de la machine dédiée (UDP/TCP 5060, TCP 5061, UDP 10000–20000) — lambdas/pbx-provisioner-go/naming.go ; NAT (force_rport, rewrite_contact, rtp_symmetric, direct_media=no), durée d'enregistrement 60–3600 s, interrogation OPTIONS toutes les 60 s, codecs — shared/sip/advanced-options.json