Registro SIP ou IP autenticado: qual usar no seu tronco

Todo tronco SIP começa com a mesma decisão: como o provedor vai saber que quem está do outro lado é você? Existem dois métodos consagrados — registro com usuário e senha, e autenticação por IP fixo (o famoso "peer") — e a escolha errada para o seu cenário cobra o preço em instabilidade, retrabalho ou, no pior caso, fraude. Este artigo destrincha os dois, sem torcida.

Como funciona o registro SIP

No modo registro, o seu PABX envia periodicamente um REGISTER ao servidor do provedor, autenticando-se com usuário e senha via digest. O provedor passa a saber onde o PABX está (IP e porta atuais) e entrega as chamadas entrantes nesse endereço. A cada INVITE de saída, a credencial é desafiada de novo.

Prós:

• Funciona em qualquer rede: IP dinâmico, CGNAT de provedor de fibra, nuvem com IP efêmero — o registro acompanha.
• Sobrevive a mudanças: trocou de link, mudou o PABX de data center, subiu uma réplica? Registrou, funcionou.
• Ativação imediata: não depende de cadastro de IP do lado do provedor.

Contras:

• Credencial é segredo, e segredo vaza: senha fraca ou versionada em repositório público é a porta de entrada clássica da fraude de tolls.
• Mais tráfego de sinalização: registros periódicos e desafios de autenticação a cada chamada (irrelevante em operações pequenas, mensurável em atacado).
• Dependência do keepalive: em NAT agressivo, o binding expira e as entrantes falham até o próximo registro — mitigável com intervalo curto e qualify.

Como funciona o IP autenticado (peer)

No modo peer, não há troca de credenciais: o provedor cadastra o IP público fixo do seu PABX numa lista de confiança e aceita chamadas vindas dele — e só dele. As entrantes são entregues nesse mesmo IP, em porta combinada.

Prós:

• Nada de senha para vazar: a superfície de ataque por credencial simplesmente não existe.
• Sinalização mais enxuta: sem REGISTER periódico nem desafio por chamada — relevante para discadores e softswitches com alto volume.
• Previsibilidade operacional: firewall dos dois lados com regras estáticas, fáceis de auditar.

Contras:

• Exige IP público fixo: planos residenciais e links com CGNAT ficam de fora.
• Mudança de IP é chamado: migrou de provedor de internet ou de nuvem? O tronco fica fora do ar até o novo IP ser cadastrado.
• IP não é identidade perfeita: um vizinho de infraestrutura comprometido no mesmo endereço (ou spoofing mal filtrado) vira problema seu. Provedores sérios mitigam com ACL estrita e validação de origem, mas a responsabilidade pelo perímetro do servidor continua sua.

A decisão em uma tabela

Segurança: o dever de casa de cada modo

Nenhum dos métodos dispensa higiene básica. A fraude de tráfego (alguém usando o seu tronco para gerar chamadas caras de madrugada) é o risco número um de qualquer PABX exposto à internet, e as defesas são conhecidas:

Se você usa registro

• Senha longa e aleatória (20+ caracteres, gerada por gerenciador), nunca reutilizada de outro serviço e nunca commitada em repositório.
• fail2ban vigiando o log do Asterisk: meia dúzia de falhas de autenticação, IP banido. É a ferramenta que separa "tentativa de invasão" de "invasão".
• TLS na sinalização e SRTP na mídia quando o tráfego cruza redes que você não controla — as credenciais e o áudio deixam de viajar em claro.

Se você usa IP autenticado

• ACL no firewall do PABX: aceite SIP apenas dos IPs do provedor. Um Asterisk aberto para 0.0.0.0/0 na porta 5060 recebe scanners em minutos, não em dias.
• Endureça o servidor: o IP é a sua identidade — um servidor invadido "é você" para o provedor. Atualizações em dia, SSH por chave e nada de painel de administração exposto.
• Monitoramento de CDR: alarme para volume anormal fora do horário comercial e para destinos que a sua operação nunca disca.

Nos dois modos

• Limite os canais e o escopo de discagem no próprio PABX: se a operação nunca liga para o exterior, a rota internacional nem deveria existir no dialplan.
• Contexto de entrada isolado: chamada entrante do tronco jamais deve cair num contexto com permissão de discagem — o clássico contexto dedicado que mostramos no passo a passo existe exatamente para isso.

E quando a arquitetura muda?

A escolha não é tatuagem. Um caminho comum: começar com registro para ativar rápido no escritório e migrar para IP autenticado quando o PABX for para um servidor com IP fixo. Outro: manter registro como contingência num tronco secundário, apontado de outra rede — se quiser entender o custo dessa redundância, o nosso comparativo E1 vs. trunk SIP mostra por que canais extras de SIP custam pouco perto de qualquer alternativa física.

Há ainda um terceiro cenário, cada vez mais comum: sistemas que disparam chamadas direto de aplicações, sem PABX no meio. Para notificações de voz, tokens falados e automações, faz mais sentido consumir uma API de voz da Nvoip do que manter um tronco registrado só para isso — tronco é para o PABX; API é para o código.

Resumo

Registro dá mobilidade e ativação instantânea ao custo de gerenciar um segredo; IP autenticado dá robustez e silêncio operacional ao custo de exigir IP fixo e perímetro bem cuidado. Escolha pelo seu cenário de rede, faça o dever de casa de segurança do modo escolhido e lembre-se: dá para trocar depois, sem downtime, quando a arquitetura evoluir.