Короче понял, что такое SIP ALG - который "IP" - "Firewall" - "Service ports" - строка "sip", два клика не нее, там указаны порты по умолчанию 5060 и 5061 и чуть ниже можно поставить галочку у "SIP Direct media" и еще ниже время.
Хотя и все пишут что нужно отключить эту хрень, но на самом деле ее функция в следующем, она в отличии от списка "Tracking", где устанавливаются ограничения по времени для протоколов соединения, делает исключения для соединений для указанных портов, фактически keepalive, ограниченное указанным временем.
А в "IP" - "Firewall" - "Connections" есть кнопочка "Tracking", там в "UDP Stream timeout:" стоит по умолчанию 3 минуты, поставил обратно.