الوثائق الفنية

كيفية رفع خادم SSTP

يعمل SSTP أعلى TLS ويستخدم منفذ HTTPS 443. فيما يلي البنية الأساسية للعقدة المستقلة، والتي تحتاج إلى تكييفها مع قواعد نظام التشغيل وجهاز التوجيه والموفر لديك.

العودة إلى MONO VPN مقارنة البروتوكولات

1. DNS والشهادة

قم بإنشاء سجل DNS A منفصل لاسم الخادم، على سبيل المثال. sstp.example.comوانتظر حتى يتم نشره. ويجب أن تحتوي الشهادة على هذا الاسم، وأن تكون صالحة، وأن تتمتع بسلسلة ثقة كاملة. للإنتاج، استخدم شهادة من مرجع مصدق عام، وليس شهادة موقعة ذاتيًا.

2. الخادم والمنفذ

منفذ الوارد

السماح بـ TCP 443 في جدار الحماية ولوحة الاستضافة. إذا تم استخدام ACME HTTP-01، فسيكون TCP 80 مطلوبًا أيضًا أثناء مرحلة إصدار الشهادة.

الموارد

يعتمد الحد على تنفيذ PPP/SSTP والتشفير وعرض النطاق الترددي وعدد الجلسات. تحقق من الحمل باستخدام مقاييس حقيقية لوحدة المعالجة المركزية وذاكرة الوصول العشوائي وحركة المرور والجلسات النشطة.

3. إعداد MikroTik

على جهاز التوجيه، قم بتمكين خادم SSTP، وحدد شهادة بالاسم الشائع/SAN الصحيح، وقم بتعيين تجمع العناوين وملف تعريف PPP. قم بإنشاء حسابات منفصلة للمستخدمين بكلمات مرور فريدة وتقييد الوصول باستخدام قواعد الملف الشخصي.

/interface sstp-server server print
/ppp profile print
/ip pool print
/certificate print

تعتمد الأوامر المحددة على إصدار RouterOS. قبل إجراء التغييرات، احفظ تصدير التكوين وتأكد من أن التحكم في الوصول لا يستخدم نفس المنفذ دون تصفية.

4. تحقق

TLS

تحقق من اسم الشهادة وسلسلة من خلال العميل الخارجي: يجب أن يتطابق اسم المضيف مع اسم DNS الخاص بالاتصال.

جلسة SSTP

قم بإنشاء ملف تعريف اختباري، والاتصال من عميل مدعوم، والتحقق من إصدار العنوان، وDNS، وتوافر حركة المرور.

يمكن الوصول إلى المنفذ 443 من الخارج.
الشهادة لم تنته صلاحيتها وتتطابق مع المجال.
لا يوجد خطأ TLS دوري أو فشل MS-CHAPv2 في السجلات.
أثناء جلسات العمل المتعددة، تظل وحدة المعالجة المركزية (CPU) وذاكرة الوصول العشوائي (RAM) في نطاق التشغيل.

الأمن

لا تقم بتخزين كلمات مرور الجذر والمفاتيح الخاصة وتكوينات الإنتاج في مستودع عام. استخدم مفاتيح SSH، والحسابات الإدارية المنفصلة، والنسخ الاحتياطية، والتناوب السري. قبل نشر التكوين، تحقق من الأذونات وقم بإجراء اتصال اختباري.