SSTP: El protocolo VPN de Microsoft compatible con firewalls

Qué es

Secure Socket Tunneling Protocol, más conocido como SSTP, es un protocolo VPN creado por Microsoft e introducido con Windows Vista. A diferencia de muchos otros protocolos VPN, SSTP fue diseñado desde cero para funcionar sin problemas en entornos que suelen bloquear el tráfico VPN, como redes corporativas, escuelas o países con políticas restrictivas de acceso a internet.

El nombre ofrece una pista útil sobre su funcionamiento: crea un túnel para la conexión VPN a través de SSL/TLS, la misma tecnología de cifrado que protege la navegación web cotidiana por HTTPS. Por ello, el tráfico SSTP es casi idéntico al tráfico web seguro normal, lo que dificulta enormemente que los firewalls y administradores de red lo detecten o bloqueen.

Cómo funciona

SSTP opera sobre el puerto TCP 443, que es el puerto estándar utilizado por HTTPS. Este es el detalle clave que lo diferencia de protocolos como OpenVPN o IKEv2, que usan puertos distintos que pueden identificarse y bloquearse fácilmente.

El flujo básico es el siguiente:

  1. Inicio de la conexión — El cliente VPN establece un handshake SSL/TLS con el servidor VPN, igual que lo haría un navegador al conectarse a un sitio web seguro.
  2. Creación del túnel — Una vez establecido el canal seguro, los datos PPP (Point-to-Point Protocol) se encapsulan dentro de tramas HTTP y se envían a través de dicho canal.
  3. Cifrado — Todos los datos que pasan por el túnel se cifran mediante SSL/TLS, normalmente con cifrado AES-256 para una protección sólida.
  4. Autenticación — SSTP admite autenticación basada en certificados, lo que añade una capa adicional de verificación entre el cliente y el servidor.

Dado que el tráfico circula por el puerto 443 envuelto en TLS, las herramientas de inspección profunda de paquetes tienen dificultades para distinguirlo de la navegación HTTPS habitual, una característica conocida como ofuscación.

Por qué es relevante para los usuarios de VPN

La mayor fortaleza de SSTP es su capacidad para eludir firewalls. Si alguna vez has intentado conectarte a una VPN y has descubierto que estaba bloqueada —en el trabajo, en una red escolar o mientras viajabas a un país con restricciones severas de internet— SSTP es uno de los protocolos con más probabilidades de lograrlo.

Su profunda integración con Windows es otra ventaja práctica. Windows admite SSTP de forma nativa sin necesidad de software de terceros, lo que simplifica la configuración para cualquier usuario de Windows. Esto lo hace especialmente atractivo para administradores de TI que implementan soluciones de acceso remoto en entornos empresariales con predominio de Windows.

En cuanto a seguridad, SSTP ofrece un buen rendimiento. El cifrado SSL/TLS es maduro, ampliamente auditado y de confianza a nivel mundial. Evita las vulnerabilidades conocidas asociadas a protocolos más antiguos como PPTP o L2TP.

Sin embargo, SSTP presenta limitaciones notables. Es esencialmente un protocolo propietario de Microsoft, lo que significa que tiene soporte limitado en plataformas que no son Windows, como macOS, Linux, Android e iOS, aunque algunos clientes de terceros han añadido compatibilidad parcial. Dado que Microsoft controla la especificación, los investigadores de seguridad independientes tienen menos visibilidad sobre el protocolo en comparación con alternativas de código abierto como OpenVPN o WireGuard.

El rendimiento también es un factor a considerar. Como SSTP utiliza TCP en lugar de UDP, puede verse afectado por un problema conocido como "TCP meltdown", en el que la pérdida de paquetes provoca retrasos en la retransmisión que se acumulan y ralentizan la conexión. Los protocolos basados en UDP ofrecen en general un mejor rendimiento para tareas sensibles a la latencia, como la transmisión de contenido en streaming o los videojuegos.

Casos de uso prácticos

  • Acceso remoto corporativo — Los equipos de TI en entornos Windows suelen implementar SSTP para trabajadores remotos que necesitan conectarse desde redes con reglas de firewall restrictivas.
  • Elusión de la censura — Los viajeros que visitan países que bloquean los protocolos VPN más comunes pueden confiar en el comportamiento de SSTP sobre el puerto 443 para mantener el acceso.
  • Navegación segura en redes restringidas — Las redes de escuelas u hoteles que bloquean los puertos VPN suelen dejar el puerto 443 abierto, lo que convierte a SSTP en una alternativa fiable.
  • Compatibilidad con sistemas heredados — Las organizaciones que ya cuentan con infraestructura de Windows Server pueden preferir SSTP por su compatibilidad integrada.

Para la mayoría de los usuarios de VPN en general, los protocolos modernos como WireGuard u OpenVPN ofrecen mejor rendimiento y mayor compatibilidad con distintas plataformas. Sin embargo, SSTP sigue siendo una herramienta confiable cuando eludir firewalls es la prioridad y se trabaja en un entorno centrado en Windows.