大部分網絡服務使用固定的埠號：網頁伺服器在80與443、電子郵件收發在25與587等，客戶端只需知道號碼便能連接。語音通話無法這樣運作，原因在於一通通話並非持續連線，而是一組隨時建立與結束的會話，且同一部電話主機要同時處理多通通話，每通都需要獨立識別。
語音封包由即時傳輸協定承載，簡稱RTP，其規範收錄於RFC 3550。RTP不依賴固定埠，而是由系統在通話建立時，從一段預設的範圍內動態挑選端口。每一通通話佔用一對端口：一對端口屬於同一方向，而通話兩端各自使用自己的端口對。通話結束時端口歸還範圍，供下一通通話重用。
動態分配的做法帶來了容量與靈活性的平衡：一部主機只需配置一段範圍，便可按同時通話數在範圍內取用端口。範圍的大小直接決定最多可同時處理的通話數目。若範圍只有一百對端口，最多只能承載一百通同時通話，再多便無法建立新通話，與併發數設定無關的這層限制容易被忽略。
正因為端口是動態的，防火牆與位址轉換設備無法事先知道語音會使用哪個號碼，只能把整個範圍放行或加以管理。這正是「RTP埠範圍」這個設定項目的由來。
理解埠範圍之前，先要分清兩種相關的流量。承載語音數據的是RTP；而RTP有一個配套的控制協定RTCP，用於交換通話品質統計、參與者識別與同步資訊。兩者以端口配對方式運作，規則收錄於RFC 3550。
規範建議RTP使用偶數端口，RTCP使用緊接其後的下一個奇數端口：RTP在5004，RTCP便在5005。若程式收到的是單數端口，規範要求把它下調至相鄰的偶數作為基礎。RTP與RTCP的端口不得相同，因為系統依賴端口號碼區分數據與控制流量。在多播等需要多層組合的場合，規格以連續端口對逐一排列，其分配方式與一般辦公室電話系統的用途不同。
這條偶數對奇數的規則，直接影響埠範圍的設定方式。以10000至10019這組十對端口為例，偶數端承載語音，奇數端承載控制流量，兩者都必須在防火牆放行，才能維持通話與品質回報的正常運作。部分設備與供應商採用不同的排列方式，例如以同一埠對承載來回方向，或把端口對錯開分配；設定防火牆前應先查閱設備的文件，確認該設備遵循的是哪一種規則。
另一點值得留意：RFC 3550之後，部分實作引入RTP與RTCP共用單一埠的模式（多工方式），定義於RFC 5761。支援這種模式的系統只需要放行單數端口，簡化防火牆設定；但通話兩端必須都支援並協商一致，否則仍會回到雙端口模式運作。
RTP使用哪一段端口範圍，由電話主機或語音閘道器的設定決定，沒有統一的強制標準。不同廠商有各自的預設值，常見的起點包括5004、8000、10000、16384與40000等，範圍長度亦由一百至數千對端口不等。若干系統與平台採用10000至20000作為預設語音範圍，這組數字在不少防火牆產品的語音精靈與設定範本中出現。
端口如何計入容量，與通話的方向架構有關。若系統每一通通話固定使用一對端口（一對用於單向媒體、另一對用於反方向），範圍內可容納的通話數約為端口對數的一半；若設備支援每通通話僅佔用一對端口並以單埠模式承載來回方向，可容納的數目會更高。設定前應查閱設備手冊中對端口分配的描述，而非直接以範圍長度除以二計算。
| 計算情境 | 端口使用方式 | 可容納併發通話 |
|---|---|---|
| 範圍10000至10019，共10對 | 每通一對端口 | 約5通 |
| 範圍10000至20000，共5001對 | 每通一對端口 | 約2500通 |
| 範圍10000至20000 | 單埠模式承載來回 | 接近5000通 |
10000至20000的範圍足以應付絕大部分中小企的話務量，但這個數字並不能直接照搬。設定埠範圍時應按設備說明計算所需端口對數，再預留緩衝。端口範圍的大小與防火牆的連線追蹤容量互相影響，範圍越大、同時連線越多，防火牆需要維護的狀態表亦越大，選型時要一併考慮。
埠範圍的設定只有在配合防火牆與位址轉換時才有意義。語音封包穿過這些設備，埠範圍決定哪些流量獲放行，位址轉換則決定封包內的位址資訊如何改寫，兩者必須一致。
防火牆需放行通話建立與語音傳送兩類流量。通話建立由SIP負責，使用固定端口5060與5061；語音由RTP承載，使用前面所述的動態範圍。設定時需在防火牆上開放SIP端口，並把語音端口範圍加入放行清單。若辦公室同時有多部電話主機或分店經VPN匯聚，還要把語音範圍在防火牆之間互相開放。
位址轉換是另一項常見障礙。RTP封包內含有來源與目的地的IP位址與端口資訊，這些欄位由通話協商時寫入；若位址轉換只改寫封包外層的位址而不改寫內層，對方回傳的語音封包便會送往錯誤的位置，結果是通話建立成功但語音只有單向流通。處理方法通常是啟用防火牆的語音感知功能或使用會話邊界控制器，讓設備自動改寫RTP的位址與端口資訊，而非人手設定逐一對應。若採用位址轉換靜態對應的舊式做法，把大段語音端口逐個映射，設定量龐大且容易出錯。
另一項需要一併檢查的是語音端口範圍與防火牆的安全政策是否相抵。有些防火牆預設對高階端口採用較嚴格的檢查，或不允許UDP高位端口長連接；若語音範圍與其他服務（例如影像串流或對等式應用）的端口範圍重疊，還會互相爭奪連線追蹤資源。設定的原則是：範圍寧窄勿寬，只要足敷併發通話數與成長餘量即可，越窄的範圍代表攻擊面越小。
埠範圍設定不當，通話並非完全不能運作，而是以幾種特定方式表現，這正是它難以排查的原因。若能認出這些表徵，可大幅縮短定位時間。
排查的次序建議由簡入繁：先在電話系統上查閱實際使用的端口號碼與範圍，再核對防火牆的放行清單與位址轉換規則，然後檢查連線逾時設定，最後才考慮更換設備或調整範圍。市面上多數防火牆提供語音相關的記錄與狀態工具，可查看每通通話的媒體流向與對應端口，直接用來比對設定。
另一項常見的誤解是把埠範圍設定視為「越大越好」。範圍越大，防火牆需要開放的端口越多，安全風險與狀態表負擔越大，卻未必解決問題——多數故障源自位址轉換或逾時設定，而非範圍不足。正確的做法是先確認範圍足以容納最大併發通話數，再把排查重點放在其他環節。
香港辦公室部署IP電話系統時，防火牆設定通常由IT外判或工程承辦商處理，但負責驗收的一方應知道這組設定涉及哪些決定，以免簽收後才陸續浮現通話問題。
第一步是確認電話主機的預設範圍與端口分配規則，把設備手冊的相關章節與防火牆現有設定對照。第二步是核對防火牆的SIP端口、語音端口範圍與位址轉換設定，並確認VPN若採用則兩端範圍一致。第三步是進行壓力測試：在繁忙時段同時發起多通通話，觀察端口用量與通話品質，確認範圍上限沒有被觸及。
香港的商業寬頻普遍提供光纖入屋的上行容量，對語音流量而言餘量充足，因此本地最常見的通話問題並非頻寬不足，而是防火牆與位址轉換設定不當。另一項本地常見情況是分店與家居辦公室的混合部署：分店經VPN接回總部電話系統時，兩端的語音範圍與位址轉換必須協調一致，這類設定最好在安裝時一次完成並寫入文件，而不是每次故障時重新排查。
最後是安全考慮。埠範圍屬於防火牆開放清單的一部分，範圍越大代表對外暴露的端口越多；定期覆核清單、關閉不再使用的端口，與一般防火牆維護原則一致。若公司使用雲端電話平台，語音封包未必經辦公室防火牆進出，埠範圍設定的重點便轉移到電話主機與網絡設備之間的內部防火牆，這點在規劃時應先弄清楚語音流量的實際路徑。
若閣下正計劃相關工程或需要選購設備，歡迎瀏覽電話系統工程了解方案詳情，或透過網上快速報價與我們的工程師聯絡。
產品規格以原廠最新文件為準；有需要請聯絡我們工程師。