Technische Dokumentation

So richten Sie einen SSTP-Server ein

SSTP läuft auf TLS und verwendet den HTTPS-Port 443. Nachfolgend finden Sie die Grundstruktur eines eigenständigen Knotens, die Sie an die Regeln Ihres Betriebssystems, Ihres Routers und Ihres Anbieters anpassen müssen.

Kehren Sie zu MONO VPN zurück Vergleichen Sie Protokolle

1. DNS und Zertifikat

Erstellen Sie beispielsweise einen separaten DNS-A-Eintrag für den Servernamen sstp.example.com, und warten Sie, bis es sich ausbreitet. Das Zertifikat muss diesen Namen enthalten, gültig sein und über eine vollständige Vertrauenskette verfügen. Verwenden Sie für die Produktion ein Zertifikat einer öffentlichen Zertifizierungsstelle, kein selbstsigniertes.

2. Server und Port

Eingehender Port

Erlauben Sie TCP 443 im Firewall- und Hosting-Bereich. Wenn ACME HTTP-01 verwendet wird, ist während der Zertifikatsausstellungsphase auch TCP 80 erforderlich.

Ressourcen

Das Limit hängt von der PPP/SSTP-Implementierung, der Verschlüsselung, der Bandbreite und der Anzahl der Sitzungen ab. Überprüfen Sie die Auslastung anhand realer Kennzahlen zu CPU, RAM, Datenverkehr und aktiven Sitzungen.

3. Einrichten von MikroTik

Aktivieren Sie auf dem Router den SSTP-Server, geben Sie ein Zertifikat mit dem richtigen Common Name/SAN an, legen Sie den Adresspool und das PPP-Profil fest. Erstellen Sie separate Konten für Benutzer mit eindeutigen Passwörtern und beschränken Sie den Zugriff mithilfe von Profilregeln.

/interface sstp-server server print
/ppp profile print
/ip pool print
/certificate print

Die spezifischen Befehle hängen von der Version von RouterOS ab. Bevor Sie Änderungen vornehmen, speichern Sie den Konfigurationsexport und prüfen Sie, dass der Kontrollzugriff nicht denselben Port ohne Filterung verwendet.

4. Überprüfen

TLS

Überprüfen Sie den Zertifikatsnamen und die Kette über den externen Client: Der Hostname muss mit dem DNS-Namen der Verbindung übereinstimmen.

SSTP-Sitzung

Erstellen Sie ein Testprofil, stellen Sie eine Verbindung von einem unterstützten Client her, überprüfen Sie die Adressvergabe, DNS und Verkehrsverfügbarkeit.

Port 443 ist von außen zugänglich.
Das Zertifikat ist nicht abgelaufen und stimmt mit der Domäne überein.
In den Protokollen gibt es keinen TLS-Roundtrip-Fehler oder MS-CHAPv2-Fehler.
Über mehrere Sitzungen bleiben CPU und RAM im Betriebsbereich.

Sicherheit

Speichern Sie Root-Passwörter, private Schlüssel und Produktionskonfigurationen nicht in einem öffentlichen Repository. Verwenden Sie SSH-Schlüssel, separate Administratorkonten, Backups und geheime Rotation. Überprüfen Sie vor der Veröffentlichung der Konfiguration die Berechtigungen und stellen Sie eine Testverbindung her.