SSTP (Secure Socket Tunneling Protocol) — VPN-протокол, использующий TLS для защиты соединения. Он хорошо поддерживается Windows и может быть удобен в инфраструктуре, где требуется организовать удалённый доступ к внутренним ресурсам через MikroTik.
Включение и настройка SSTP-сервера
Откройте в MikroTik раздел PPP и нажмите кнопку SSTP Server.
В открывшемся окне настроим SSTP-сервер:
- включите Enabled;
- укажите TCP-порт
53433; - установите MTU 1300;
- отключите MSCHAP1, CHAP и PAP, оставив MSCHAP2;
- выберите сертификат SSTP-сервера;
- нажмите Apply, затем OK.
В моём примере используется сертификат сервера 77.228.150.130. Сертификаты для MikroTik мы подготавливали ранее при настройке VPN.
Добавление правила в Firewall MikroTik
Теперь необходимо разрешить входящие подключения к SSTP-серверу.
Перейдите в IP → Firewall и создайте новое правило в цепочке input со следующими параметрами:
- Chain:
input; - Protocol:
6 (TCP); - Dst. Port:
53433; - In. Interface:
ether1— если именно этот интерфейс используется для подключения к внешней сети; - Action:
accept; - Comment:
Правило для SSTP-Server.
Правило необходимо расположить выше общего запрещающего правила в цепочке input. В противном случае пакет будет отброшен раньше, чем дойдёт до разрешающего правила SSTP.
На этом базовая настройка SSTP-сервера завершена. Теперь можно переходить к Windows-клиенту.
Подключение Windows к SSTP-серверу MikroTik
Откройте в Windows настройки VPN и создайте новое подключение:
Параметры → Сеть и Интернет → VPN → Добавить VPN-подключение.
Укажите параметры подключения:
- Поставщик услуг: Windows (встроенные);
- Имя подключения:
SSTP; - Имя или адрес сервера: адрес SSTP-сервера;
- Тип VPN: SSTP;
- Тип данных для входа: имя пользователя и пароль;
- Имя пользователя:
User1; - Пароль: пароль созданной VPN-учётной записи.
Настройка сетевого адаптера SSTP
После создания подключения откройте:
Панель управления → Центр управления сетями и общим доступом → Изменение параметров адаптера.
Найдите созданное SSTP-подключение, откройте Свойства → Сеть.
В нашем сценарии используется только IPv4, поэтому оставляем включённым IP версии 4 (TCP/IPv4).
Отключение основного шлюза удалённой сети
Откройте свойства TCP/IPv4, затем нажмите Дополнительно.
Снимите флажок:
Использовать основной шлюз в удалённой сети.
Этот параметр определяет, должен ли VPN-интерфейс использоваться как основной маршрут по умолчанию.
- если флажок включён, Windows может направлять интернет-трафик через VPN в соответствии с полученными маршрутами;
- если флажок снят, основной интернет-маршрут остаётся через локальное подключение, а доступ к удалённым сетям необходимо обеспечить соответствующими маршрутами или, как в нашем примере, через прокси.
Установка корневого сертификата CA в Windows
Для проверки сертификата SSTP-сервера Windows должна доверять центру сертификации, которым этот сертификат был подписан.
Если используется собственный CA MikroTik, импортируйте его корневой сертификат в Windows:
- Откройте файл корневого сертификата.
- Нажмите Установить сертификат.
- Выберите Локальная машина.
- Подтвердите запрос UAC.
- Выберите Поместить все сертификаты в следующее хранилище.
- Укажите Доверенные корневые центры сертификации.
- Завершите импорт сертификата.
После импорта Windows сможет проверить цепочку доверия сертификата SSTP-сервера.
Настройка прокси в Firefox
В нашем сценарии через SSTP требуется направить только доступ браузера к корпоративным веб-ресурсам. Для этого используется Web Proxy, настроенный в нашей инфраструктуре ранее.
В Firefox откройте Настройки → Настройки сети → Настроить и выберите Ручная настройка прокси.
Укажите:
- HTTP-прокси:
172.16.200.1; - порт:
8080; - включите использование этого прокси для HTTPS, если такая схема предусмотрена конфигурацией вашего прокси-сервера.
Таким образом основной интернет-трафик компьютера продолжает идти через локального интернет-провайдера, а Firefox обращается к указанному прокси через доступную по VPN сеть.
Проверка SSTP-подключения
Вернитесь в настройки VPN Windows и нажмите Подключиться.
После успешного подключения проверьте доступность необходимых корпоративных ресурсов.
На MikroTik состояние активного подключения можно дополнительно проверить в разделе PPP → Active Connections.
Часто задаваемые вопросы
Что такое SSTP VPN?
SSTP — VPN-протокол, передающий PPP-трафик через защищённое TLS-соединение. Он имеет встроенную поддержку в Windows и поддерживается MikroTik RouterOS.
Какой порт использует SSTP?
Стандартно SSTP используется через TCP-порт 443. MikroTik позволяет изменить порт SSTP-сервера, однако использование нестандартного порта необходимо отдельно проверить на совместимость с клиентским устройством.
Зачем SSTP-серверу сертификат?
Сертификат используется при установлении TLS-соединения и позволяет клиенту проверить подлинность VPN-сервера. Если сертификат подписан собственным CA, соответствующий корневой сертификат должен быть доверенным на клиентском компьютере.
Нужно ли отключать PAP и CHAP?
Если они не требуются для совместимости со старыми клиентами, слабые или устаревшие способы аутентификации лучше не разрешать. В рассматриваемой конфигурации оставлен MSCHAPv2.
Зачем снимать «Использовать основной шлюз в удалённой сети»?
Это используется при split-tunneling, когда VPN не должен становиться основным маршрутом для всего трафика компьютера. При этом маршруты к необходимым удалённым сетям должны быть настроены отдельно.
Можно ли направить через SSTP только Firefox?
Само VPN-подключение не выбирает трафик конкретного браузера. В рассматриваемом примере Firefox использует корпоративный Web Proxy, доступный через VPN, поэтому его веб-трафик можно направить по этому пути отдельно от остального трафика компьютера.
Что проверить, если SSTP не подключается?
Проверьте доступность TCP-порта, расположение разрешающего правила MikroTik Firewall, настройки SSTP Server, сертификат и доверие к его CA, имя сервера, а также учётные данные VPN-пользователя.
Заключение
Мы настроили SSTP VPN-сервер на MikroTik и подключили к нему компьютер Windows. На MikroTik включили SSTP Server, выбрали сертификат, настроили параметры аутентификации и добавили разрешающее правило Firewall. На Windows создали SSTP-подключение и установили доверие к используемому центру сертификации.
Отдельно мы настроили split-tunneling: основной интернет-трафик компьютера остаётся через локального провайдера, а для доступа Firefox к корпоративным веб-ресурсам используется Web Proxy, доступный через VPN.
Такая схема удобна, когда пользователю не требуется отправлять весь интернет-трафик через корпоративную сеть, но необходим защищённый доступ к отдельным внутренним ресурсам.
Вам понравилась эта статья? Тогда вам, скорее всего, будет интересна другая полезная статья Как сохранить и восстановить конфигурацию MikroTik.