Documentación técnica

Cómo configurar un servidor SSTP

SSTP se ejecuta sobre TLS y utiliza el puerto HTTPS 443. A continuación se muestra la estructura básica de un nodo independiente, que debe adaptar a su sistema operativo, enrutador y reglas de proveedor.

Volver a MONO VPN Comparar protocolos

1. DNS y certificado

Cree un registro DNS A separado para el nombre del servidor, por ejemplo sstp.example.comy espere a que se propague. El certificado debe contener este nombre, ser válido y tener una cadena de confianza completa. Para la producción, utilice un certificado de una autoridad de certificación pública, no uno autofirmado.

2. Servidor y puerto

Puerto entrante

Permita TCP 443 en el firewall y el panel de hosting. Si se utiliza ACME HTTP-01, también se requiere TCP 80 durante la fase de emisión del certificado.

Recursos

El límite depende de la implementación de PPP/SSTP, el cifrado, el ancho de banda y la cantidad de sesiones. Consulta la carga utilizando métricas reales de CPU, RAM, tráfico y sesiones activas.

3. Configurar MikroTik

En el enrutador, habilite el servidor SSTP, especifique un certificado con el nombre común/SAN correcto, configure el grupo de direcciones y el perfil PPP. Cree cuentas separadas para usuarios con contraseñas únicas y limite el acceso mediante reglas de perfil.

/interface sstp-server server print
/ppp profile print
/ip pool print
/certificate print

Los comandos específicos dependen de la versión de RouterOS. Antes de realizar cambios, guarde la exportación de configuración y verifique que el acceso de control no esté utilizando el mismo puerto sin filtrar.

4. Verificar

TLS

Verifique el nombre del certificado y la cadena a través del cliente externo: el nombre de host debe coincidir con el nombre DNS de la conexión.

sesión SSTP

Cree un perfil de prueba, conéctese desde un cliente compatible, verifique la emisión de direcciones, DNS y disponibilidad de tráfico.

Se puede acceder al puerto 443 desde el exterior.
El certificado no ha caducado y coincide con el dominio.
No hay ningún error de ida y vuelta de TLS ni ningún error de MS-CHAPv2 en los registros.
Durante varias sesiones, la CPU y la RAM permanecen dentro del rango operativo.

Seguridad

No almacene contraseñas de root, claves privadas y configuraciones de producción en un repositorio público. Utilice claves SSH, cuentas administrativas separadas, copias de seguridad y rotación de secretos. Antes de publicar la configuración, verifique los permisos y realice una conexión de prueba.