SSTP VPN Client: настройка на Windows, Linux, macOS, Android и MikroTik

Что такое SSTP и как работает SSTP VPN client

SSTP (Secure Socket Tunneling Protocol) — это протокол VPN, разработанный Microsoft и впервые представленный в Windows Vista SP1. Его ключевая особенность — использование TLS-канала поверх TCP-порта 443. Это делает SSTP практически неотличимым от обычного HTTPS-трафика, поэтому он легко проходит через большинство межсетевых экранов и прокси-серверов, которые не блокируют стандартный веб-трафик.

SSTP работает по клиент-серверной модели. На одном конце находится SSTP-сервер, который принимает входящие подключения, а на другом — SSTP VPN client, инициирующий соединение. После установления TLS-туннеля внутри него организуется PPP-соединение, которое обеспечивает аутентификацию пользователя (обычно по протоколу MS-CHAPv2) и передачу данных. Шифрование в SSTP может использовать алгоритмы AES, что обеспечивает высокий уровень безопасности.

Одним из главных преимуществ SSTP является его встроенная поддержка в Windows. Начиная с Windows 7, SSTP VPN client доступен без установки дополнительного программного обеспечения. Однако на других операционных системах — Linux, macOS, iOS, Android — SSTP не поддерживается нативно, поэтому для подключения требуется сторонний SSTP VPN client. Это важное ограничение, которое нужно учитывать при выборе протокола для смешанной среды.

Преимущества и недостатки SSTP

SSTP имеет ряд достоинств, которые делают его привлекательным для использования в корпоративных сетях и для обхода ограничений:

• Высокая проходимость: использование порта 443 и TLS позволяет SSTP-трафику маскироваться под HTTPS, что затрудняет его блокировку. Это особенно полезно в сетях со строгими правилами файрвола.
• Безопасность: SSTP использует современные алгоритмы шифрования, включая AES, и поддерживает совершенную прямую секретность (PFS) при настройке.
• Встроенная поддержка в Windows: для пользователей Windows не требуется установка дополнительного ПО, что упрощает развертывание.
• Поддержка аутентификации MS-CHAPv2: это стандартный и достаточно надежный метод проверки подлинности.

Однако у SSTP есть и недостатки:

• Отсутствие нативной поддержки на не-Windows платформах: для Linux, macOS, Android и iOS требуется установка сторонних клиентов, что может быть неудобно.
• Однопоточность: SSTP работает на одном ядре процессора, что ограничивает его производительность на мощных серверах.
• Потенциальная уязвимость к MITM-атакам: хотя это скорее теоретическая угроза, при использовании самоподписанных сертификатов без должной проверки возможны атаки «человек посередине».
• Зависимость от TCP: работа поверх TCP может приводить к снижению скорости на нестабильных каналах из-за механизма управления перегрузкой.

Тем не менее, для многих сценариев, особенно для объединения офисов и удаленного доступа к корпоративным ресурсам, SSTP остается надежным выбором.

Настройка SSTP VPN client на Windows

Windows — единственная операционная система, где SSTP VPN client встроен. Настройка выполняется через стандартные средства системы и не требует установки дополнительного ПО.

Для начала убедитесь, что у вас есть данные для подключения: адрес SSTP-сервера (IP-адрес или доменное имя), имя пользователя и пароль. Затем выполните следующие шаги:

1. Откройте Параметры (Win + I) и перейдите в раздел Сеть и Интернет.
2. Выберите вкладку VPN в левом меню.
3. Нажмите Добавить VPN-подключение.
4. В открывшемся окне заполните поля:

• Поставщик VPN: выберите «Windows (встроенное)».
• Имя подключения: укажите любое понятное имя, например «Рабочая VPN».
• Имя или адрес сервера: введите IP-адрес или домен SSTP-сервера.
• Тип VPN: выберите «Протокол туннелирования сокетов (SSTP)».
• Тип данных для входа: выберите «Имя пользователя и пароль».
• Имя пользователя и Пароль: введите учетные данные.

1. Поставьте галочку Запомнить мои данные для входа, если хотите, чтобы система сохраняла пароль.
2. Нажмите Сохранить.

После создания подключения рекомендуется проверить его свойства. Для этого перейдите в Центр управления сетями и общим доступом → Изменение параметров адаптера, найдите созданное VPN-подключение, откройте его свойства и на вкладке Безопасность убедитесь, что тип VPN установлен как SSTP, а проверка подлинности — Microsoft CHAP версии 2 (MS-CHAPv2). Также можно включить протоколы шифрования, если это требуется.

Теперь для подключения просто выберите созданное VPN-подключение в списке сетей и нажмите Подключить. После успешного соединения статус изменится на «Подключено», а в системном трее появится значок VPN. Проверить, что трафик идет через VPN, можно, посетив сайт определения IP-адреса — ваш IP должен измениться на IP-адрес VPN-сервера.

Настройка SSTP VPN client на Linux

Linux не имеет встроенной поддержки SSTP, поэтому для подключения необходимо установить специальный SSTP VPN client. Наиболее распространенным решением является пакет sstp-client, который работает в связке с NetworkManager.

Для дистрибутивов на основе Debian/Ubuntu установка выполняется следующими командами:

sudo add-apt-repository ppa:eivnaes/network-manager-sstp
sudo apt update
sudo apt install sstp-client network-manager-sstp

Первая команда добавляет PPA-репозиторий с поддержкой SSTP для NetworkManager. Затем обновляется список пакетов и устанавливаются сам клиент и графический плагин для NetworkManager. После установки перезагрузите NetworkManager или перезапустите систему, чтобы изменения вступили в силу.

Далее настройте подключение через графический интерфейс NetworkManager:

1. Нажмите на значок сети в системном трее и выберите Параметры сети или Edit Connections.
2. Нажмите кнопку + в разделе VPN.
3. Выберите Импорт из файла, если у вас есть файл конфигурации, или создайте новое подключение вручную.
4. В поле Тип VPN укажите Secure Socket Tunneling Protocol (SSTP).
5. В поле Gateway введите адрес SSTP-сервера.
6. Введите имя пользователя и пароль.
7. Сохраните конфигурацию.

После этого вы сможете подключиться, выбрав созданное VPN-подключение в меню сети. Для управления через командную строку можно использовать nmcli:

nmcli con up id "имя_подключения"
nmcli con down id "имя_подключения"

Если вы предпочитаете работать без NetworkManager, можно использовать sstpc напрямую. Например:

sudo sstpc --log-stderr --cert-warn --user "USERNAME" --password "PASSWORD" "SERVER_IP" usepeerdns require-mschap-v2 noauth noipdefault defaultroute refuse-eap noccp

Эта команда устанавливает соединение, используя MS-CHAPv2 для аутентификации и добавляя маршрут по умолчанию через VPN-туннель.

Настройка SSTP VPN client на macOS и iOS

Ни macOS, ни iOS не имеют встроенной поддержки SSTP, поэтому для подключения необходимо использовать сторонние приложения.

macOS

Для macOS доступны такие SSTP VPN клиенты, как Tunnelblick, Viscosity и iSSTP. Также можно установить sstp-client через Homebrew:

brew update
brew install sstp-client

После установки настройте подключение через терминал, используя команду sstpc с параметрами, аналогичными Linux. Например:

sudo sstpc --log-stderr --cert-warn --user "USERNAME" --password "PASSWORD" "SERVER_IP" usepeerdns require-mschap-v2 noauth noipdefault defaultroute refuse-eap noccp

Если вы предпочитаете графический интерфейс, установите, например, Viscosity и импортируйте конфигурацию SSTP.

iOS

Для iOS в App Store доступно приложение SSTP Connect Client. Оно не бесплатное, но предоставляет удобный интерфейс для настройки. Шаги:

1. Скачайте и установите приложение из App Store.
2. Откройте приложение и нажмите на значок «+» для добавления нового подключения.
3. Введите параметры:

• Protocol: SSTP.
• Description: имя подключения.
• Server Address: IP-адрес или домен SSTP-сервера.
• Port: обычно 443.
• Authentication: выберите «Password».
• Username и Password: учетные данные.

1. Сохраните конфигурацию.
2. Переключите тумблер рядом с профилем для подключения.

После успешного подключения в статус-баре появится значок VPN.

Настройка SSTP VPN client на Android

Android также не поддерживает SSTP из коробки, поэтому потребуется установить сторонний SSTP VPN client из Google Play. Одним из рекомендуемых приложений является Open SSTP Client.

Процесс настройки:

1. Установите приложение из Google Play.
2. Откройте приложение и нажмите «Add» или «Add Profile».
3. Введите параметры подключения:

• Hostname: адрес SSTP-сервера.
• Username и Password: учетные данные.
• Убедитесь, что протокол установлен как SSTP.

1. Сохраните профиль.
2. Нажмите на созданный профиль для подключения.

После подключения в строке состояния появится значок VPN. Обратите внимание, что некоторые приложения могут требовать root-права или специальные настройки, но большинство современных SSTP VPN клиентов для Android работают без root.

Настройка SSTP на MikroTik: сервер и клиент

MikroTik RouterOS поддерживает SSTP как на стороне сервера, так и на стороне клиента. Это позволяет использовать MikroTik для организации VPN-туннелей между офисами (site-to-site) или для удаленного доступа.

Настройка SSTP-сервера на MikroTik

Для начала необходимо включить SSTP-сервер и настроить аутентификацию. Рекомендуется использовать только MS-CHAPv2 как наиболее безопасный метод. Настройка через командную строку выглядит следующим образом:

/interface sstp-server server set authentication=mschap2 enabled=yes

Затем создайте учетную запись пользователя:

/ppp secret add local-address=172.16.1.1 name=office-2 password=office-2_password profile=default-encryption remote-address=172.16.1.2 service=sstp

Здесь local-address — IP-адрес, который будет назначен VPN-интерфейсу сервера, remote-address — адрес клиента. Рекомендуется использовать понятные имена пользователей, например, с указанием офиса.

Также рекомендуется создать статический интерфейс SSTP-сервера, чтобы он не исчезал после разрыва соединения:

/interface sstp-server add name="SSTP Server for office-2" user=office-2

Настройка SSTP-клиента на MikroTik

На стороне клиента создается SSTP-интерфейс:

/interface sstp-client add connect-to=100.64.111.1 disabled=no name="SSTP office-1 connection" profile=default-encryption user=office-2 password=office-2_password

Где connect-to — IP-адрес SSTP-сервера. После этого соединение должно установиться автоматически. Проверить статус можно командой:

/interface sstp-client print

Флаг R означает, что интерфейс работает.

Настройка маршрутизации

Для обмена данными между сетями офисов необходимо добавить маршруты. На сервере (R1) добавляется маршрут к сети клиента (например, 10.22.22.0/24) через VPN-адрес клиента (172.16.1.2):

/ip route add dst-address=10.22.22.0/24 gateway=172.16.1.2

Аналогично на клиенте (R2) добавляется маршрут к сети сервера (10.11.11.0/24) через VPN-адрес сервера (172.16.1.1).

Также не забудьте настроить файрвол, разрешив входящие подключения на TCP-порт 443, если он используется для SSTP.

Типичные проблемы при подключении SSTP и их решение

При настройке SSTP VPN client могут возникать различные проблемы. Рассмотрим наиболее частые из них.

1. Неверный адрес сервера

Если вы указали неправильный IP-адрес или доменное имя SSTP-сервера, соединение не установится. Проверьте правильность введенных данных.

2. Неверные учетные данные

SSTP требует имя пользователя и пароль. Убедитесь, что они введены корректно, учитывая регистр символов.

3. Блокировка порта 443 файрволом

SSTP использует TCP-порт 443. Если на сервере или клиенте файрвол блокирует этот порт, соединение не будет установлено. Временно отключите файрвол для проверки, и если проблема исчезнет, добавьте разрешающее правило.

4. Конфликт с веб-сервером на порту 443

Если на сервере уже работает веб-сервер (например, RouterOS www-ssl), он может занимать порт 443. В этом случае либо отключите веб-сервер, либо измените порт для SSTP.

5. Проблемы с сертификатами

При использовании самоподписанных сертификатов клиент может не доверять серверу. Убедитесь, что сертификат CA добавлен в доверенные на клиентском устройстве. Также проверьте, что срок действия сертификата не истек и что системное время на устройстве корректно.

6. Несовместимость версий TLS

Некоторые старые клиенты могут не поддерживать TLS 1.2. Если сервер настроен только на TLS 1.2, а клиент использует более старую версию, соединение не установится. Настройте клиент на использование TLS 1.2 или выше.

7. Проблемы с MTU

Иногда из-за неправильного MTU могут возникать проблемы с передачей данных. Попробуйте уменьшить MTU на VPN-интерфейсе.

Если ни одно из решений не помогло, перезапустите VPN-клиент или устройство, а также проверьте журналы на сервере и клиенте для получения более детальной информации.

Сравнение SSTP с другими VPN-протоколами

SSTP — не единственный VPN-протокол, и при выборе стоит учитывать его особенности по сравнению с альтернативами.

OpenVPN

OpenVPN — это открытый протокол, который поддерживается на всех платформах и предлагает высокую гибкость настройки. Он также может работать через порт 443 (с использованием TCP), но обычно использует UDP, что обеспечивает более высокую скорость. Однако OpenVPN требует установки клиентского ПО на всех устройствах, включая Windows.

IPsec/IKEv2

IKEv2 — это современный протокол, который хорошо поддерживается на мобильных устройствах и обеспечивает быстрое переподключение при смене сети. Он использует UDP-порты 500 и 4500, что может быть заблокировано в некоторых сетях. IKEv2 обычно быстрее SSTP, но его настройка может быть сложнее.

WireGuard

WireGuard — это новый протокол, который отличается высокой производительностью и простотой настройки. Он использует UDP и не маскируется под HTTPS, поэтому может быть заблокирован в сетях со строгими правилами. Однако WireGuard становится все более популярным благодаря своей эффективности.

PPTP и L2TP

Эти протоколы считаются устаревшими и небезопасными. PPTP использует слабое шифрование, а L2TP часто блокируется файрволами. Их использование не рекомендуется.

Когда выбирать SSTP?

SSTP — хороший выбор, если:

• Вам нужна максимальная совместимость с Windows без установки дополнительного ПО.
• Вы хотите обойти файрволы, которые пропускают только HTTPS-трафик.
• Вы готовы мириться с необходимостью установки сторонних клиентов на не-Windows устройства.

Если же вам нужна максимальная производительность или поддержка мобильных устройств, возможно, стоит рассмотреть IKEv2 или WireGuard.

Вопросы и ответы