5061 是什么

5061 是 SIP over TLS 的默认端口。SIP 是 VoIP 与统一通信使用的信令协议，明文版本走 5060（TCP 或 UDP），加密版本走 5061，由 TLS 保护注册、呼叫建立与挂断等信令交互。企业电话系统与运营商对接时，若合同要求信令加密，双方就在 5061 上互联。

它只覆盖信令，不覆盖语音

语音流仍然在 RTP 端口范围内传输，要完整加密必须同时启用媒体加密（SRTP）。只配置 5061 就认为通话全程加密是常见误解：在网关侧抓包仍能看到明文音频负载，合规审计也不会认可这种状态。

基本信息

典型使用场景

• 企业电话系统与运营商或云通信平台对接时启用信令加密
• 排查注册失败时确认客户端与服务端是否都支持 TLS
• 证书到期导致分机集体无法注册时定位原因
• 安全核查时确认 5061 是否只对可信来源开放
• 合规检查时区分信令加密与媒体加密两个概念

握手与证书检查

openssl s_client -connect pbx.example.com:5061 -showcerts </dev/null
echo | openssl s_client -connect pbx.example.com:5061 -servername pbx.example.com 2>/dev/null | openssl x509 -noout -subject -dates
# 部分设备使用自签证书，需要把签发的根证书导入对接方信任库

确认媒体是否加密

# 在网关或分机侧抓包，观察 RTP 是否仍为明文
tcpdump -i eth0 -n port 5061 -c 20                          # 信令通道
tcpdump -i eth0 -n 'udp portrange 10000-20000' -c 20        # 媒体通道

通道与加密状态

对接前要确认的三件事

启用信令加密前先与对接方确认证书由谁签发、是否要求双向认证、对方支持哪些加密套件。自签证书场景需要交换根证书，双向认证场景还要准备客户端证书，这些要求往往在联调阶段才被发现缺失，导致对接延期。