SRTP instellen in 3CX — audio-encryptie voor uw SIP-trunk

Stap-voor-stap handleiding voor het activeren van SRTP (audio-encryptie) in 3CX versie 18 en 20. Inclusief trunk-instellingen, extensie-configuratie en verificatie via SIP-trace.

Vereisten

• 3CX versie 18 of 20 (on-premise of hosted)
• OpVoIP Secure SIP add-on actief (TLS 5061 trunk)
• SIP TLS al geconfigureerd — SRTP werkt alleen zinvol met SIP TLS

Stap 1 — Open de trunk-configuratie

1. Open de 3CX Beheerconsole
2. Ga naar SIP Trunks
3. Klik op uw OpVoIP Secure SIP trunk (de TLS-trunk op secure.opvoip.nl)

Stap 2 — Media-encryptie instellen

3CX versie 20:

1. Ga naar het tabblad Geavanceerd (of Media)
2. Zoek de instelling Media-encryptie of SRTP
3. Selecteer: SDES-SRTP
4. Zorg dat de optie op Verplicht staat — niet op "Optioneel"

Instelling	Waarde	Toelichting
Media-encryptie	SDES-SRTP	Sleuteluitwisseling via SDP
SRTP modus	Verplicht (Mandatory)	Gesprekken zonder SRTP worden geweigerd

In sommige 3CX-versies heet dit veld Encryption of RTP Security. De waarden zijn identiek: kies SDES en Mandatory.

Stap 3 — SRTP op extensies activeren

Naast de trunk moet SRTP ook op de extensies (toestellen) ingesteld worden. Anders mislukt de media-onderhandeling:

1. Ga naar Gebruikers/Extensies
2. Open een extensie → tabblad Telefoon (of Geavanceerd)
3. Stel Media-encryptie in op SDES-SRTP
4. Herhaal voor alle extensies die via de Secure SIP trunk bellen

Tip: in 3CX kunt u een standaardwaarde instellen via Admin → Geavanceerd → Standaard extensie-instellingen.

Stap 4 — Controleren of SRTP actief is

Na opslaan kunt u controleren of SRTP daadwerkelijk actief is bij een testgesprek:

1. Maak een testgesprek via de Secure SIP trunk
2. Open 3CX Beheerconsole → Logboek → SIP-berichten
3. Zoek de INVITE voor het testgesprek
4. In de SDP-sectie van de INVITE moet a=crypto: aanwezig zijn — dit is het SRTP-cryptoprofiel
5. Geen a=crypto:? Dan is SRTP niet actief op die extensie of trunk

Problemen oplossen

Symptoom	Oorzaak	Oplossing
Gesprek verbindt niet	SRTP-mismatch: één kant verplicht, andere kant niet	Controleer dat zowel de trunk als de extensie op SDES-SRTP Mandatory staan
Geen audio na SRTP activeren	Sleuteluitwisseling mislukt of codec-onderhandeling mislukt	Controleer SIP-trace op a=crypto: in SDP. Controleer of TLS actief is op de trunk.
Intern bellen werkt, extern niet	Trunk staat niet op SRTP mandatory	Controleer de trunk-instellingen specifiek — niet alleen de extensies
3CX geeft fout bij opslaan SRTP	Transport staat nog op UDP in plaats van TLS	Zet transport eerst op TLS (poort 5061), dan pas SRTP instellen