O que é o SSTP?
Abreviatura de Secure Socket Tunneling Protocol, o SSTP é um protocolo VPN da Microsoft que transporta o seu tráfego dentro de HTTPS, sobre SSL/TLS na porta TCP 443. O Windows tem o cliente integrado, pelo que aí não precisa de nenhuma aplicação adicional, enquanto o macOS, o iOS, o Linux e o Android se ligam através de aplicações de terceiros. O SHP.network não inclui o SSTP entre os seus 7 protocolos. Se pretende um protocolo VPN moderno no seu próprio servidor, o SHP.network configura por si o IKEv2, o WireGuard ou o OpenVPN em 10 minutos após o pagamento.
- Ainda aceite pelo Windows Server 2025
- Recomendado pela Microsoft em vez de PPTP e L2TP
- Com o acesso root ao seu servidor no SHP.network, pode instalar o SSTP
Noções básicas do protocolo VPN SSTP
A Microsoft criou o protocolo SSTP para o acesso remoto a redes empresariais numa altura em que hotéis e outros locais bloqueavam com frequência o tráfego PPTP e L2TP/IPsec; muitos fornecedores de internet também descartavam os pacotes GRE de que o PPTP depende. O SSTP chegou com o Windows Server 2008 e o Windows Vista SP1 em 2008; a Microsoft tinha publicado a sua especificação em 2007. Como o túnel funciona sobre TCP 443, a mesma porta que os sites HTTPS usam, o SSTP passa pela maioria das firewalls e proxies web. Precisa apenas desta porta, enquanto o IKEv2, por comparação, depende de UDP 500 e 4500. A especificação do SSTP, MS-SSTP, é pública, pelo que outros programadores podem criar clientes e servidores compatíveis. Com o tipo de VPN definido como Automático, o Windows também tenta o SSTP entre outros protocolos. Do lado do servidor, o Windows Server aceita estas ligações através da sua função Routing and Remote Access.
Como funciona o SSTP
Cada sessão passa por várias fases antes de quaisquer dados circularem. O seu dispositivo abre uma ligação TCP à porta 443 do servidor, e os dois lados concluem um handshake TLS em que o servidor apresenta o seu certificado. O Windows só aceita esse certificado se tiver sido emitido por uma autoridade de confiança e se o nome nele indicado coincidir com o endereço que introduziu. Através do canal encriptado, o cliente envia um pedido HTTPS, negoceia o túnel SSTP e inicia a sua sessão através de PPP. A partir daí, os pacotes IP circulam dentro de tramas PPP, que o SSTP encapsula em registos TLS transportados sobre TCP.
Encriptação e criptografia do SSTP
A encriptação vem do TLS, que negoceia a cifra para cada sessão. O servidor prova a sua identidade através de um certificado, e depois o utilizador inicia sessão através de PPP, por exemplo com MS-CHAPv2 ou EAP-TLS. Para ligar as duas verificações, o SSTP usa a vinculação criptográfica: o cliente envia um valor baseado no início de sessão PPP e protegido com HMAC-SHA1 ou HMAC-SHA256, o que impede um atacante man-in-the-middle de reencaminhar a sessão. No TLS, só o servidor tem de provar quem é; a sua identidade é verificada mais tarde, durante o início de sessão PPP. Sem uma ligação entre as duas verificações, um atacante man-in-the-middle poderia abrir a sua própria ligação HTTPS ao servidor e reencaminhar os pacotes PPP que lhe enviou quando se ligou a outra rede, por exemplo uma rede sem fios. A especificação torna a vinculação criptográfica obrigatória em todas as implementações do SSTP. Com a vinculação criptográfica, o cliente prova que é o dispositivo que o servidor autenticou e que o início de sessão foi feito para esta ligação SSTP.
Vantagens e desvantagens do SSTP
O SSTP deve os seus pontos fortes ao HTTPS; o TCP e uma implementação fechada da Microsoft definem os seus limites.
| SSTP | |
|---|---|
| Cliente integrado | o cliente SSTP do Windows não precisa de aplicação adicional |
| Passagem por firewalls | TCP 443 passa pela maioria das firewalls |
| Proxies web | a ligação HTTPS também funciona através da maioria dos proxies web |
| Redes empresariais | Windows Server 2025 ainda aceita ligações SSTP |
| Início de sessão | PPP suporta métodos robustos como o EAP-TLS |
| Plataformas | integrado no Windows; aplicações para macOS, iOS, Linux e Android |
| Código-fonte | a implementação da própria Microsoft é fechada, embora a especificação do protocolo seja pública e existam implementações de código aberto |
| Transporte | funciona apenas sobre TCP |
O SSTP é seguro?
A Microsoft considera o SSTP uma opção segura: a empresa recomenda o SSTP e o IKEv2 em vez do PPTP e do L2TP, e o Windows Server 2025 ainda aceita o protocolo. O TLS protege o túnel, o servidor prova a sua identidade com um certificado e a vinculação criptográfica protege o início de sessão, que acontece dentro do canal encriptado. No entanto, a implementação da própria Microsoft é fechada. Para novas configurações, o SHP.network recomenda o WireGuard ou o OpenVPN. Os protocolos mais antigos que o SSTP substitui saem-se pior: desde o Windows Server 2025, as novas configurações de Routing and Remote Access rejeitam por predefinição as ligações PPTP e L2TP, e a Microsoft afirma que ambos têm vulnerabilidades bem documentadas e já não cumprem os padrões de segurança atuais. Alguns servidores SSTP são de código aberto: o SoftEther VPN Server, sob a licença Apache-2.0, e o accel-ppp, um servidor PPTP, L2TP e SSTP para Linux, sob GPL-2.0. No seu próprio servidor pode executar um deles, para que a implementação do SSTP que usa tenha um código que qualquer pessoa pode ler.
O SSTP comparado com outros protocolos VPN
O SSTP partilha a porta com os sites HTTPS. O OpenVPN, o IKEv2 e o WireGuard são os protocolos que o SHP.network instala no seu próprio servidor, que inclui um IP dedicado.
| SSTP | OpenVPN | IKEv2 | WireGuard | |
|---|---|---|---|---|
| Porta | TCP 443 | UDP 1194 no SHP.network | UDP 500 e 4500 | UDP 51820 no SHP.network |
| Velocidade | funciona apenas sobre TCP | moderada | alta | alta |
| Segurança | TLS com certificado do servidor e vinculação criptográfica | auditado várias vezes, a mais recente pela SRLabs em 2026 | norma IETF com anos de revisão por pares | protocolo verificado formalmente |
| Plataformas | integrado no Windows; aplicações para macOS, iOS, Linux e Android | a aplicação OpenVPN Connect no Windows, macOS, iOS e Android; Linux | integrado no Windows, macOS e iOS; a aplicação strongSwan no Android | a aplicação WireGuard no Windows, macOS, iOS e Android; Linux |
| Resistência a DPI | TCP 443, a porta do HTTPS | fraca: não foi concebido para contornar bloqueios | fraca: portas UDP fixas 500 e 4500 | fraca: não foi concebido para contornar bloqueios |
Como configurar uma ligação VPN SSTP
O SHP.network não instala o SSTP, mas o seu acesso root basta para configurar sozinho um servidor VPN SSTP.
Encomende um servidor com um sistema operativo limpo
Escolha um plano e uma cidade no SHP.network e não selecione nenhum protocolo: o servidor vem com Ubuntu 24.04 e sem software VPN. O acesso root por SSH faz parte de todos os planos (incluindo o teste de 7 dias).
Instale o servidor SSTP
Por SSH, instale o SoftEther VPN Server ou o accel-ppp, ative o SSTP e abra a porta TCP 443 na firewall que o SHP.network configura. Depois, adicione um certificado em que o Windows confie, emitido para o nome exato a que se vai ligar.
Ligue-se a partir do Windows
No Windows, abra Definições, depois Rede e Internet, VPN e Adicionar VPN. Defina o fornecedor como Windows (incorporado) e o tipo de VPN como SSTP e, em seguida, introduza o endereço do servidor, o seu nome de utilizador e a palavra-passe.
Alternativas modernas ao SSTP
Em vez do SSTP, escolha entre os protocolos VPN que o SHP.network instala por si, cada um num servidor que pertence só a si:
Integrado como o SSTP
O IKEv2 funciona com os clientes VPN integrados do Windows, macOS e iOS, e o SHP.network configura-o no seu servidor em 10 minutos. No Android, o IKEv2 liga-se através da aplicação strongSwan.
Alta velocidade
O WireGuard é rápido e envia o seu tráfego pela porta UDP 51820, encriptado com ChaCha20-Poly1305. Uma prova Tamarin verifica formalmente o protocolo. Cada dispositivo tem o seu próprio par de chaves, como no SSH.
Comprovado e auditado
O OpenVPN foi auditado várias vezes, a mais recente pela SRLabs em 2026, e funciona no Windows, macOS, iOS, Android e Linux. O SHP.network configura-o para a porta UDP 1194.
Perguntas frequentes
Secure Socket Tunneling Protocol. A Microsoft concebeu-o para transportar tráfego PPP dentro de uma ligação HTTPS.
TCP 443. A porta do SSTP é a mesma que os sites HTTPS usam, pelo que não é preciso abrir mais nada na firewall.
O SHP.network recomenda o OpenVPN: o seu código é aberto, foi auditado várias vezes e funciona em todos os principais sistemas. Onde só é permitido o cliente integrado do Windows, o SSTP e o IKEv2 funcionam ambos sem aplicação adicional. O SHP.network também instala o OpenVPN por si, enquanto o SSTP teria de o configurar sozinho.
Não com um cliente integrado, mas as aplicações de terceiros acrescentam-no. O Mac e o iPhone usam o SSTP Connect, uma aplicação paga da App Store; o Linux tem o sstp-client e o NetworkManager-sstp; e o Android tem o Open SSTP Client, de código aberto.
Sim. O Windows continua a incluir o cliente e tenta o SSTP no tipo de VPN Automático, o Windows Server 2025 aceita o protocolo e, em 2024, a Microsoft aconselhou a passagem do PPTP e do L2TP para o SSTP ou o IKEv2.