Moin Achim,
Grundsätzlich stört das ja nicht, weil es ja 'nur' die Absenderports sind, welche durch das erste Paket auf die Standardports von der Firewall ja sowieso aufgemacht werden. Aber es macht u.U. durchaus Sinn, das anzugleichen um ein leichteres Spiel bei der Fehlersuche zu haben.
Die o.g. Portfreigaben teile ich so nicht, die sind ja im Normalfall recht überschaubar, wenn man mal ein ein Standardszenario mit RP&TURN in der DMZ betrachtet:
Dann brauche ich von außen, HTTPS (T443), LDAPS (TU636), H.323s(T1300) und STUN/TURN (TU3478) von außen auf den RP&TURN in die DMZ.
Von RP&TURN brauche ich nach intern HTTPS (T443) und ggf. HTTP(T80), LDAP(TU389) und ggf. LDAPS (TU636) sowie H.323 (T1720) und H.323s (T1300) zur PBX.
Von allen Endpunkten muss der TURN über TU3478 erreichbar sein. Zudem sollten alle Endpunkte den STUN im Internet erreichen.
Den Rest erledigt STUN, indem es durch die Nutzung der einstellbare Absenderports dynamisch Löcher bohrt bzw. den Stream über den TURN jagt, wenn das Bohren nicht klappt.
Die Freigabearien braucht es nur, wenn die Endpunkte in verschiedenen zueinander gerouteten Netzen stehen und das Ganze ohne STUN&TURN werkeln soll.
sparsame Grüße
Niels
PS: bei LDAP bin ich mir immer nicht sicher, ob TCP oder UDP, per RFC geht ja beides und im Inno-Wiki ist nur der Port angegeben.