Ho scoperto che bloccando il caller ID sull'ATA (in questo caso un Cisco SPA 112, e immagino succeda anche con i suoi cloni), con WindTre si ottiene il blocco totale delle chiamate in uscita.
Questo perché una volta impostato il blocco, nell'INVITEil From: diventa Anonymous <sip:anonymous@localhost>, e questo pare non piacere al proxy VoIP Wind che risponde con 407 Proxy Authentication required e con un header Warning 399 asbc02.milano.nokia.com "IP association no match, user not registered" (il nome del server può cambiare), non utilissimo come errore per il debugging. E nonostante che RPID e Contact contengano l'identità del chiamante - e la richiesta di "privacy":
Remote-Party-ID: "+39xxxxxxxxx" <sip:39xxxxxxxxxxx@windtre.it>;screen=yes;privacy=full;party=calling
Secondo Cisco il loro messaggio è corretto, evidentemente Nokia e/o Wind la pensano diversamente.