¿Qué es SSTP?
SSTP, siglas de Secure Socket Tunneling Protocol, es un protocolo VPN de Microsoft que transporta su tráfico dentro de HTTPS, mediante SSL/TLS en el puerto TCP 443. Windows trae el cliente integrado, así que en él no necesita ninguna aplicación adicional, mientras que macOS, iOS, Linux y Android se conectan con aplicaciones de terceros. SHP.network no ofrece SSTP entre sus 7 protocolos. Si quiere un protocolo VPN moderno en su propio servidor, SHP.network le configura IKEv2, WireGuard u OpenVPN en los 10 minutos siguientes al pago.
- Windows Server 2025 aún lo acepta
- Microsoft lo recomienda en lugar de PPTP y L2TP
- El acceso root a su servidor de SHP.network le permite instalar SSTP
Fundamentos del protocolo VPN SSTP
Microsoft creó el protocolo SSTP para el acceso remoto a redes corporativas en una época en que hoteles y otros establecimientos solían bloquear el tráfico PPTP y L2TP/IPsec; muchos proveedores de internet también descartaban los paquetes GRE de los que depende PPTP. SSTP llegó con Windows Server 2008 y Windows Vista SP1 en 2008; Microsoft había publicado su especificación en 2007. Como el túnel funciona sobre TCP 443, el mismo puerto que usan los sitios web HTTPS, SSTP atraviesa la mayoría de cortafuegos y proxies web. Solo necesita este puerto, mientras que IKEv2, por ejemplo, depende de UDP 500 y 4500. La especificación de SSTP, MS-SSTP, es pública, por lo que otros desarrolladores pueden crear clientes y servidores compatibles. Con el tipo de VPN en Automático, Windows también prueba SSTP entre otros protocolos. En el lado del servidor, Windows Server acepta estas conexiones mediante su rol Routing and Remote Access.
Cómo funciona SSTP
Cada sesión pasa por varias etapas antes de que se transmita ningún dato. Su dispositivo abre una conexión TCP al puerto 443 del servidor, y ambas partes completan un protocolo de enlace TLS en el que el servidor presenta su certificado. Windows solo acepta ese certificado si lo ha emitido una autoridad de confianza y el nombre que figura en él coincide con la dirección que usted ha introducido. Por el canal cifrado, el cliente envía una solicitud HTTPS, negocia el túnel SSTP e inicia su sesión mediante PPP. A partir de ahí, los paquetes IP viajan dentro de tramas PPP, que SSTP encapsula en registros TLS transportados sobre TCP.
Cifrado y criptografía de SSTP
El cifrado lo aporta TLS, que negocia el algoritmo de cifrado en cada sesión. El servidor demuestra su identidad con un certificado, y usted inicia sesión después mediante PPP, por ejemplo con MS-CHAPv2 o EAP-TLS. Para unir ambas comprobaciones, SSTP usa la vinculación criptográfica: el cliente envía un valor basado en el inicio de sesión PPP y protegido con HMAC-SHA1 o HMAC-SHA256, lo que impide que un atacante intermediario retransmita la sesión. En TLS, solo el servidor tiene que demostrar quién es; a usted lo comprueba más tarde, durante el inicio de sesión PPP. Sin un vínculo entre ambas comprobaciones, un atacante intermediario podría abrir su propia conexión HTTPS con el servidor y reenviarle los paquetes PPP que usted le envió al atacante al unirse a otra red, por ejemplo una inalámbrica. La especificación hace obligatoria la vinculación criptográfica en toda implementación de SSTP. Gracias a ella, el cliente demuestra que es el dispositivo al que el servidor ha autenticado y que ese inicio de sesión se hizo para esta conexión SSTP.
Ventajas y desventajas de SSTP
SSTP debe sus puntos fuertes a HTTPS; TCP y una implementación cerrada de Microsoft marcan sus límites.
| SSTP | |
|---|---|
| Cliente integrado | el cliente SSTP de Windows no necesita ninguna aplicación adicional |
| Paso por cortafuegos | TCP 443 atraviesa la mayoría de cortafuegos |
| Proxies web | la conexión HTTPS también funciona a través de la mayoría de proxies web |
| Redes corporativas | Windows Server 2025 aún acepta conexiones SSTP |
| Inicio de sesión | PPP admite métodos robustos como EAP-TLS |
| Plataformas | integrado en Windows; aplicaciones para macOS, iOS, Linux y Android |
| Código fuente | la implementación de Microsoft es cerrada, aunque la especificación del protocolo es pública y existen implementaciones de código abierto |
| Transporte | solo funciona sobre TCP |
¿Es seguro SSTP?
Microsoft considera SSTP una opción segura: la empresa recomienda SSTP e IKEv2 en lugar de PPTP y L2TP, y Windows Server 2025 sigue aceptando el protocolo. TLS protege el túnel, el servidor se identifica con un certificado y la vinculación criptográfica protege el inicio de sesión, que se produce dentro del canal cifrado. Eso sí, la implementación de Microsoft es cerrada. Para nuevas instalaciones, SHP.network recomienda WireGuard u OpenVPN. Los protocolos antiguos que SSTP sustituye salen peor parados: desde Windows Server 2025, las nuevas instalaciones de Routing and Remote Access rechazan por defecto las conexiones PPTP y L2TP, y Microsoft afirma que ambos tienen vulnerabilidades bien documentadas y ya no cumplen los estándares de seguridad actuales. Algunos servidores SSTP son de código abierto: SoftEther VPN Server, con licencia Apache-2.0, y accel-ppp, un servidor PPTP, L2TP y SSTP para Linux, con licencia GPL-2.0. En su propio servidor puede ejecutar uno de ellos, de modo que la implementación de SSTP que use tenga un código que cualquiera puede leer.
SSTP frente a otros protocolos VPN
SSTP comparte puerto con los sitios web HTTPS. OpenVPN, IKEv2 y WireGuard son los protocolos que SHP.network instala en su propio servidor, que incluye una IP dedicada.
| SSTP | OpenVPN | IKEv2 | WireGuard | |
|---|---|---|---|---|
| Puerto | TCP 443 | UDP 1194 en SHP.network | UDP 500 y 4500 | UDP 51820 en SHP.network |
| Velocidad | solo funciona sobre TCP | moderada | alta | alta |
| Seguridad | TLS con certificado de servidor y vinculación criptográfica | auditado varias veces, la última por SRLabs en 2026 | estándar del IETF con años de revisión por pares | protocolo verificado formalmente |
| Plataformas | integrado en Windows; aplicaciones para macOS, iOS, Linux y Android | la aplicación OpenVPN Connect en Windows, macOS, iOS y Android; Linux | integrado en Windows, macOS e iOS; la aplicación strongSwan en Android | la aplicación WireGuard en Windows, macOS, iOS y Android; Linux |
| Resistencia a DPI | TCP 443, el puerto de HTTPS | baja: no está diseñado para eludir bloqueos | baja: puertos UDP fijos 500 y 4500 | baja: no está diseñado para eludir bloqueos |
Cómo configurar una conexión VPN SSTP
SHP.network no instala SSTP, pero su acceso root basta para que configure usted mismo un servidor VPN SSTP.
Pida un servidor con un sistema operativo limpio
Elija un plan y una ciudad en SHP.network y no seleccione ningún protocolo: el servidor viene con Ubuntu 24.04 y sin software VPN. El acceso root por SSH está incluido en todos los planes (también en la prueba de 7 días).
Instale el servidor SSTP
Por SSH, instale SoftEther VPN Server o accel-ppp, active SSTP y abra el puerto TCP 443 en el cortafuegos que configura SHP.network. Después añada un certificado en el que confíe Windows, emitido para el nombre exacto al que se vaya a conectar.
Conéctese desde Windows
En Windows, abra Configuración y, después, Red e Internet, VPN y Agregar VPN. Elija Windows (integrado) como proveedor de VPN y SSTP como tipo de VPN, y luego introduzca la dirección del servidor, su nombre de usuario y su contraseña.
Alternativas modernas a SSTP
En lugar de SSTP, elija entre los protocolos VPN que SHP.network instala por usted, cada uno en un servidor que solo le pertenece a usted:
Integrado, como SSTP
IKEv2 funciona con los clientes VPN integrados de Windows, macOS e iOS, y SHP.network lo configura en su servidor en 10 minutos. En Android, IKEv2 se conecta mediante la aplicación strongSwan.
Alta velocidad
WireGuard es rápido y envía su tráfico por el puerto UDP 51820, cifrado con ChaCha20-Poly1305. Una prueba con Tamarin verifica formalmente el protocolo. Cada dispositivo tiene su propio par de claves, como en SSH.
Probado y auditado
OpenVPN se ha auditado varias veces, la última por SRLabs en 2026, y funciona en Windows, macOS, iOS, Android y Linux. SHP.network lo configura para el puerto UDP 1194.
Preguntas frecuentes
Secure Socket Tunneling Protocol. Microsoft lo diseñó para transportar tráfico PPP dentro de una conexión HTTPS.
TCP 443. El puerto de SSTP es el mismo que usan los sitios web HTTPS, así que no hace falta abrir nada más en el cortafuegos.
SHP.network recomienda OpenVPN: su código es abierto, se ha auditado varias veces y funciona en todos los sistemas principales. Donde solo se permite el cliente integrado de Windows, tanto SSTP como IKEv2 funcionan sin aplicación adicional. Además, SHP.network le instala OpenVPN, mientras que SSTP tendría que configurarlo usted mismo.
No con un cliente integrado, pero hay aplicaciones de terceros que lo añaden. Mac y iPhone usan SSTP Connect, una descarga de pago de la App Store; Linux cuenta con sstp-client y NetworkManager-sstp; y Android tiene el cliente de código abierto Open SSTP Client.
Sí. Windows sigue incluyendo el cliente y prueba SSTP en su tipo de VPN Automático, Windows Server 2025 acepta el protocolo y, en 2024, Microsoft recomendó pasar de PPTP y L2TP a SSTP o IKEv2.