Die tatsächlichen Verhältnisse bei UM sollten sich auch bei deren DOCSIS-Boxen aus den Support-Daten ("Section Networking") ermitteln lassen, wenn man keinen Telnet-Zugang verwenden will.
Es werden (vermutlich, ich kann nur KDG-Einstellungen selbst bestätigen) tatsächlich zwei getrennte "virtuelle" Interfaces (einmal "internet" und einmal "voip+tr069") verwendet, wobei jedes eigene IP-Adressen und sogar eigene Routing-Tables haben kann.
Solange man also nicht dafür sorgt, daß der VoIP-bezogene Traffic aus dem LAN tatsächlich über das "voip+tr069"-Interface zum Provider gesendet wird (dann hat er eben auch die (private) Absenderadresse dieses Interfaces), solange ist es ein leichtes, vor den SIP-Servern alles wegzufiltern, was laut Absenderadresse nicht aus dem privaten Subnetz stammt, das vom Provider intern für die Telefonie verwendet wird. Je nach Umfang der Filterung beim Provider kann es dann auch noch sein, daß tatsächlich der Absenderport der Pakete noch "stimmen" muß (also 5060 sein sollte - oder was auch immer der Provider konfiguriert) ... das dürfte bei NAT seitens der FRITZ!Box auch eher nicht der Fall sein.
Dann kommt logischerweise noch hinzu (wenn man diese Hürde tatsächlich nehmen kann), daß sich gleichzeitig existierende Registrierungen desselben Accounts für verschiedene Ziele (ein Ziel ist ja immer die Kombination aus IP-Adresse und Port) durchaus auch ins Gehege kommen können, wenn der Provider da nicht mehrere gültige Clients für dieselbe Nummer verwalten will.
Die Registrierung der FRITZ!Box wird in aller Regel auf "IPv4:5060" lauten, die eines Clients im LAN auf "IPv4:NATPORT". Wenn der Provider nur einen Client zuläßt, überschreiben die beiden Registrierungen sich mit schöner Regelmäßigkeit immer wieder gegenseitig und es ist am Ende reine Glückssache, welche Registrierung beim Provider gerade aktiv ist, wenn ein Anruf signalisiert werden soll. Das ist natürlich kein Problem, wenn der Provider beide Registrierungen unabhängig voneinander akzeptiert und speichert, dann erhalten beide die Signalisierung für Anrufe.
Eine weitere Möglichkeit, solche Nutzereingriffe für die SIP-Nummern des Providers zu blockieren, ist die Verwendung unterschiedlicher DNS-Server bzw. unterschiedlicher Antworten, je nachdem, wie die Anfrage erfolgt. Die FRITZ!Box läßt sich so konfigurieren, daß der VoIP-Daemon (der macht seine eigenen DNS-Abfragen) diese immer von einem definierten Port aus sendet (dnsport in voip.cfg). Schon daran (es gibt eigene Regeln zum "Taggen" solcher Pakete in der Box, damit liegt die unterschiedliche Abarbeitung solcher Pakete z.B. beim QoS oder beim Routing nahe) kann ein DNS-Server ziemlich sicher festmachen, ob diese DNS-Abfrage von der FRITZ!Box oder von einem anderen Client kommt. Antwortet dann der DNS-Server mit einer anderen Adresse bei "internen" Abfragen als bei "externen", dann funktionieren Registrierungen von Clients aus dem LAN auch nicht, trotz korrekter Credentials (dann allerdings natürlich auch reproduzierbar immer nicht und nicht ja nach Wetterlage).
Es sind also - je nach Provider bzw. je nach Aufwand den der treibt, um die Nutzung der Accounts außerhalb der Box (bzw. auch nomadisch außerhalb seines Netzes) zu unterbinden - diverse Randbedingungen zu beachten und nur wenn man die kennt (oder systematisch austestet), wird die "unerwünschte" Nutzung von SIP-Accounts außerhalb der FRITZ!Box dann auch funktionieren.
Wenn der Provider es tatsächlich zulassen will (und nicht nur seine Kunden vera****t), sollte er in der Lage sein, die richtige Vorgehensweise (Einrichten in einem anderen Gerät und Löschen in der FB, wenn das notwendig sein sollte - ggf. auch über CSC in der Webseite des Anbieters) zu beschreiben. Will er das am Ende gar nicht wirklich, kann er die Credential besonders renitenten Kunden ja auch geben ... wenn er passende Vorkehrungen in seinem Netz trifft, stimmen diese Daten tatsächlich, der Kunde kann damit aber trotzdem nichts richtig anfangen.
an der FRITZ!Box 6490 Cable arbeitet, bezeichne ich diese hier in meiner Heimnetz-Konfiguration als "nachgeschaltet".