Documentation technique

Comment configurer un serveur SSTP

SSTP fonctionne au-dessus de TLS et utilise le port HTTPS 443. Vous trouverez ci-dessous la structure de base d'un nœud autonome, que vous devez adapter aux règles de votre système d'exploitation, de votre routeur et de votre fournisseur.

Revenir à MONO VPN Comparez les protocoles

1. DNS et certificat

Créez un enregistrement DNS A distinct pour le nom du serveur, par exemple sstp.example.com, et attendez qu'il se propage. Le certificat doit contenir ce nom, être valide et disposer d'une chaîne de confiance complète. Pour la production, utilisez un certificat provenant d’une autorité de certification publique et non un certificat auto-signé.

2. Serveur et port

Port entrant

Autorisez TCP 443 dans le pare-feu et le panneau d'hébergement. Si ACME HTTP-01 est utilisé, TCP 80 est également requis pendant la phase d'émission du certificat.

Ressources

La limite dépend de l'implémentation PPP/SSTP, du cryptage, de la bande passante et du nombre de sessions. Vérifiez la charge à l'aide de mesures réelles du processeur, de la RAM, du trafic et des sessions actives.

3. Configuration de MikroTik

Sur le routeur, activez le serveur SSTP, spécifiez un certificat avec le nom commun/SAN correct, définissez le pool d'adresses et le profil PPP. Créez des comptes séparés pour les utilisateurs avec des mots de passe uniques et limitez l'accès à l'aide de règles de profil.

/interface sstp-server server print
/ppp profile print
/ip pool print
/certificate print

Les commandes spécifiques dépendent de la version de RouterOS. Avant d'apporter des modifications, enregistrez l'export de configuration et vérifiez que le contrôle d'accès n'utilise pas le même port sans filtrage.

4. Vérifiez

TLS

Vérifiez le nom et la chaîne du certificat via le client externe : le nom d'hôte doit correspondre au nom DNS de la connexion.

Séance SSTP

Créez un profil de test, connectez-vous à partir d'un client pris en charge, vérifiez l'émission de l'adresse, le DNS et la disponibilité du trafic.

Le port 443 est accessible de l'extérieur.
Le certificat n'a pas expiré et correspond au domaine.
Il n’y a aucune erreur aller-retour TLS ni échec MS-CHAPv2 dans les journaux.
Sur plusieurs sessions, le processeur et la RAM restent dans la plage de fonctionnement.

Sécurité

Ne stockez pas les mots de passe root, les clés privées et les configurations de production dans un référentiel public. Utilisez des clés SSH, des comptes administratifs séparés, des sauvegardes et une rotation des secrets. Avant de publier la configuration, vérifiez les autorisations et effectuez un test de connexion.