MONO VPN
ZH
技术文档

如何设置 SSTP 服务器

SSTP 在 TLS 之上运行，并使用 HTTPS 端口 443。以下是独立节点的基本结构，您需要适应您的操作系统、路由器和提供商规则。

返回MONO VPN比较协议

1.DNS和证书

为服务器名称创建单独的 DNS A 记录，例如 sstp.example.com，并等待其传播。证书必须包含此名称、有效且具有完整的信任链。对于生产，请使用公共证书颁发机构颁发的证书，而不是自签名的证书。

2. 服务器和端口

进港

在防火墙和托管面板中允许 TCP 443。如果使用ACME HTTP-01，则证书颁发阶段还需要TCP 80。

资源

该限制取决于 PPP/SSTP 实施、加密、带宽和会话数量。使用 CPU、RAM、流量和活动会话的实际指标检查负载。

3. 设置 MikroTik

在路由器上，启用 SSTP 服务器，指定具有正确通用名称/SAN 的证书，设置地址池和 PPP 配置文件。为具有唯一密码的用户创建单独的帐户，并使用配置文件规则限制访问。

/interface sstp-server server print
/ppp profile print
/ip pool print
/certificate print

具体命令取决于RouterOS的版本。在进行更改之前，保存配置导出并检查控制访问是否未使用未经过滤的同一端口。

4. 检查

TLS

通过外部客户端检查证书名称和链：主机名必须与连接的 DNS 名称匹配。

SSTP会话

创建测试配置文件，从支持的客户端连接，检查地址发布、DNS 和流量可用性。

  • 端口 443 可从外部访问。
  • 证书未过期且与域匹配。
  • 日志中没有 TLS 往返错误或 MS-CHAPv2 故障。
  • 在多个会话中，CPU 和 RAM 仍保持在运行范围内。

安全

不要将 root 密码、私钥和生产配置存储在公共存储库中。使用 SSH 密钥、单独的管理帐户、备份和秘密轮换。在发布配置之前，请检查权限并进行测试连接。