Що таке SSTP?
SSTP (скорочення від Secure Socket Tunneling Protocol) є протоколом VPN від Microsoft, який передає ваш трафік усередині HTTPS, через SSL/TLS на порту TCP 443. У Windows клієнт уже вбудований, тож додатковий застосунок там не потрібен, а macOS, iOS, Linux і Android підключаються через сторонні застосунки. SHP.network не пропонує SSTP серед своїх 7 протоколів. Якщо вам потрібен сучасний протокол VPN на власному сервері, SHP.network налаштує для вас IKEv2, WireGuard або OpenVPN протягом 10 хвилин після оплати.
- Windows Server 2025 досі його приймає
- Microsoft радить його замість PPTP і L2TP
- Доступ root на вашому сервері SHP.network дає змогу встановити SSTP
Основи протоколу SSTP VPN
Microsoft створила протокол SSTP для віддаленого доступу до корпоративних мереж у часи, коли готелі та інші заклади часто блокували трафік PPTP і L2TP/IPsec; багато інтернет-провайдерів також відкидали пакети GRE, від яких залежить PPTP. SSTP з'явився разом із Windows Server 2008 і Windows Vista SP1 у 2008 році; свою специфікацію Microsoft опублікувала у 2007 році. Оскільки тунель працює через TCP 443, той самий порт, що й вебсайти HTTPS, SSTP проходить крізь більшість брандмауерів і вебпроксі. Йому потрібен лише цей один порт, тоді як IKEv2, для порівняння, використовує UDP 500 і 4500. Специфікація SSTP, MS-SSTP, публічна, тож інші розробники можуть створювати сумісні клієнти й сервери. Якщо тип VPN встановлено на «Автоматично», Windows також пробує SSTP серед інших протоколів. На боці сервера Windows Server приймає такі з'єднання через свою роль Routing and Remote Access.
Як працює SSTP
Кожен сеанс проходить кілька етапів, перш ніж почнуть передаватися дані. Ваш пристрій відкриває TCP-з'єднання з портом 443 на сервері, і дві сторони завершують рукостискання TLS, під час якого сервер надає свій сертифікат. Windows приймає цей сертифікат, лише якщо його видав довірений центр сертифікації, а ім'я в ньому збігається з адресою, яку ви ввели. Зашифрованим каналом клієнт надсилає запит HTTPS, узгоджує тунель SSTP і виконує ваш вхід через PPP. Відтоді IP-пакети передаються всередині кадрів PPP, які SSTP загортає в записи TLS, що передаються через TCP.
Шифрування та криптографія SSTP
Шифрування забезпечує TLS, який узгоджує шифр для кожного сеансу. Сервер підтверджує свою автентичність сертифікатом, а ви входите згодом через PPP, наприклад за допомогою MS-CHAPv2 або EAP-TLS. Щоб пов'язати ці дві перевірки, SSTP використовує криптографічну прив'язку (crypto binding): клієнт надсилає значення, засноване на вході PPP і захищене HMAC-SHA1 або HMAC-SHA256, що не дає зловмисникові посередині ретранслювати сеанс. У TLS свою особу має підтвердити лише сервер; вас він перевіряє пізніше, під час входу PPP. Без зв'язку між двома перевірками зловмисник посередині міг би відкрити власне з'єднання HTTPS із сервером і передати далі пакети PPP, які ви надіслали йому, коли підключалися до іншої мережі, наприклад бездротової. Специфікація робить криптографічну прив'язку обов'язковою для кожної реалізації SSTP. Завдяки криптографічній прив'язці клієнт доводить, що він і є тим пристроєм, вхід якого виконав сервер, і що вхід було виконано саме для цього з'єднання SSTP.
Переваги та недоліки SSTP
Своїми сильними сторонами SSTP завдячує HTTPS; обмеження задають TCP і закрита реалізація Microsoft.
| SSTP | |
|---|---|
| Вбудований клієнт | клієнт SSTP у Windows не потребує додаткового застосунку |
| Проходження брандмауерів | TCP 443 проходить крізь більшість брандмауерів |
| Вебпроксі | з'єднання HTTPS працює і через більшість вебпроксі |
| Корпоративні мережі | Windows Server 2025 досі приймає з'єднання SSTP |
| Вхід | PPP підтримує надійні методи, як-от EAP-TLS |
| Платформи | вбудований у Windows; застосунки для macOS, iOS, Linux і Android |
| Вихідний код | Microsoft має закриту власну реалізацію, хоча специфікація протоколу публічна й існують реалізації з відкритим кодом |
| Транспорт | працює лише через TCP |
Чи безпечний SSTP?
Microsoft вважає SSTP безпечним варіантом: компанія радить SSTP та IKEv2 замість PPTP і L2TP, а Windows Server 2025 досі приймає цей протокол. TLS захищає тунель, сервер підтверджує себе сертифікатом, а криптографічна прив'язка захищає вхід, який відбувається всередині зашифрованого каналу. Проте власна реалізація Microsoft закрита. Для нових розгортань SHP.network радить WireGuard або OpenVPN. Старіші протоколи, які замінює SSTP, мають гірший вигляд: починаючи з Windows Server 2025, нові інсталяції Routing and Remote Access за замовчуванням відхиляють з'єднання PPTP і L2TP, а Microsoft зазначає, що обидва мають добре задокументовані вразливості й більше не відповідають сучасним стандартам безпеки. Деякі сервери SSTP мають відкритий код: SoftEther VPN Server за ліцензією Apache-2.0 та accel-ppp, сервер PPTP, L2TP і SSTP для Linux, за ліцензією GPL-2.0. На власному сервері ви можете запустити один із них, і тоді код реалізації SSTP, якою ви користуєтеся, зможе прочитати будь-хто.
SSTP у порівнянні з іншими протоколами VPN
SSTP використовує той самий порт, що й вебсайти HTTPS. OpenVPN, IKEv2 і WireGuard є протоколами, які SHP.network встановлює на ваш власний сервер із виділеною IP-адресою.
| SSTP | OpenVPN | IKEv2 | WireGuard | |
|---|---|---|---|---|
| Порт | TCP 443 | UDP 1194 у SHP.network | UDP 500 і 4500 | UDP 51820 у SHP.network |
| Швидкість | працює лише через TCP | середня | висока | висока |
| Безпека | TLS із сертифікатом сервера та криптографічною прив'язкою | неодноразово проходив аудит, востаннє від SRLabs у 2026 році | стандарт IETF із багаторічним експертним рецензуванням | формально верифікований протокол |
| Платформи | вбудований у Windows; застосунки для macOS, iOS, Linux і Android | застосунок OpenVPN Connect на Windows, macOS, iOS і Android; Linux | вбудований у Windows, macOS і iOS; застосунок strongSwan на Android | застосунок WireGuard на Windows, macOS, iOS і Android; Linux |
| Стійкість до DPI | TCP 443, порт HTTPS | слабка: не створений для обходу блокувань | слабка: фіксовані порти UDP 500 і 4500 | слабка: не створений для обходу блокувань |
Як налаштувати з'єднання SSTP VPN
SHP.network не встановлює SSTP, але вашого доступу root достатньо, щоб самостійно налаштувати сервер SSTP VPN.
Замовте сервер із чистою ОС
Оберіть тариф і місто на SHP.network, не обираючи протоколу: сервер постачається з Ubuntu 24.04 без програмного забезпечення VPN. Доступ root через SSH входить у кожен тариф (зокрема 7-денний пробний період).
Встановіть сервер SSTP
Через SSH встановіть SoftEther VPN Server або accel-ppp, увімкніть SSTP і відкрийте порт TCP 443 у брандмауері, який налаштовує SHP.network. Потім додайте сертифікат, якому довіряє Windows, виданий саме на те ім'я, до якого ви підключатиметеся.
Підключіться з Windows
У Windows відкрийте «Параметри», потім «Мережа й Інтернет», «VPN» і «Додати VPN». Для постачальника виберіть «Windows (вбудовано)», а для типу VPN виберіть SSTP, потім введіть адресу сервера, своє ім'я користувача й пароль.
Сучасні альтернативи SSTP
Замість SSTP оберіть один із протоколів VPN, які SHP.network встановлює для вас, кожен на сервері, що належить лише вам:
Вбудований, як і SSTP
IKEv2 працює з вбудованими клієнтами VPN у Windows, macOS та iOS, і SHP.network налаштовує його на вашому сервері протягом 10 хвилин. На Android IKEv2 підключається через застосунок strongSwan.
Висока швидкість
WireGuard швидкий і передає трафік через порт UDP 51820, шифруючи його за допомогою ChaCha20-Poly1305. Доказ Tamarin формально верифікує протокол. Кожен пристрій має власну пару ключів, як і в SSH.
Перевірений часом і аудитом
OpenVPN неодноразово проходив аудит, востаннє від SRLabs у 2026 році, і працює на Windows, macOS, iOS, Android і Linux. SHP.network налаштовує його на порт UDP 1194.
Поширені запитання
Secure Socket Tunneling Protocol. Microsoft розробила його, щоб передавати трафік PPP усередині з'єднання HTTPS.
TCP 443. Порт SSTP той самий, що використовують вебсайти HTTPS, тож у брандмауері не потрібно відкривати для нього нічого іншого.
SHP.network радить OpenVPN: його код відкритий, він неодноразово проходив аудит і працює на всіх основних системах. Там, де дозволено лише вбудований клієнт Windows, і SSTP, і IKEv2 працюють без додаткового застосунку. Крім того, SHP.network встановлює OpenVPN для вас, а SSTP вам довелося б налаштовувати самостійно.
Вбудованого клієнта немає, але його додають сторонні застосунки. На Mac та iPhone є SSTP Connect, платний застосунок з App Store; для Linux є sstp-client і NetworkManager-sstp; а для Android є Open SSTP Client з відкритим кодом.
Так. Windows досі містить клієнт і пробує SSTP у типі VPN «Автоматично», Windows Server 2025 приймає цей протокол, а у 2024 році Microsoft порадила переходити з PPTP і L2TP на SSTP або IKEv2.