SSTP: A Microsoft tűzfalbarát VPN protokollja

Mi is ez?

A Secure Socket Tunneling Protocol, közismertebb nevén SSTP, egy Microsoft által létrehozott VPN protokoll, amelyet a Windows Vista bevezetésével mutattak be. Számos más VPN protokollal ellentétben az SSTP-t eleve arra tervezték, hogy zökkenőmentesen működjön olyan környezetekben, amelyek jellemzően blokkolják a VPN forgalmat – például vállalati hálózatokon, iskolákban vagy korlátozó internetpolitikát folytató országokban.

A neve hasznos utalást ad a működésére: az SSL/TLS-en – a mindennapi HTTPS webböngészést védő titkosítási technológián – keresztül alagutazza a VPN kapcsolatot. Emiatt az SSTP forgalma szinte megkülönböztethetetlen a normál biztonságos webes forgalomtól, ami rendkívül megnehezíti a tűzfalak és hálózati rendszergazdák számára az észlelését vagy blokkolását.

Hogyan működik?

Az SSTP a 443-as TCP porton működik, amely a HTTPS által használt szabványos port. Ez az a kulcsfontosságú részlet, amely megkülönbözteti az olyan protokolloktól, mint az OpenVPN vagy az IKEv2, amelyek különböző, könnyen azonosítható és blokkolható portokat használnak.

A folyamat alapvető lépései:

  1. Kapcsolat kezdeményezése – A VPN kliens SSL/TLS kézfogást kezdeményez a VPN szerverrel, ahogyan a böngésző is tenné egy biztonságos webhelyhez való csatlakozáskor.
  2. Alagút létrehozása – Miután a biztonságos csatorna létrejött, a PPP (Point-to-Point Protocol) adatokat HTTP keretekbe csomagolják, és azon a csatornán keresztül továbbítják.
  3. Titkosítás – Az alagúton átmenő összes adatot SSL/TLS titkosítással védik, jellemzően AES-256 titkosítással az erős védelem érdekében.
  4. Hitelesítés – Az SSTP támogatja a tanúsítványalapú hitelesítést, amely egy extra ellenőrzési réteget ad a kliens és a szerver közé.

Mivel a forgalom a 443-as porton, TLS-be csomagolva halad, a deep packet inspection eszközök nehezen tudják megkülönböztetni a normál HTTPS böngészéstől – ezt a tulajdonságot obfuszkációnak nevezzük.

Miért fontos ez a VPN felhasználók számára?

Az SSTP legnagyobb erőssége a tűzfalak megkerülésének képessége. Ha valaha csatlakozott VPN-hez, és azt tapasztalta, hogy blokkolják – munkahelyen, iskolai hálózaton vagy egy erős internetkorlátozásokat alkalmazó országban való tartózkodás közben –, az SSTP az egyik olyan protokoll, amelynek a legnagyobb esélye van az áthatolásra.

A Windows-szal való mély integráció szintén gyakorlati előnyt jelent. A Windows natívan támogatja az SSTP-t harmadik féltől származó szoftver nélkül, ami egyszerűvé teszi a beállítást mindenki számára, aki már Windows gépet használ. Ez különösen vonzóvá teszi az IT-rendszergazdák számára, akik távoli hozzáférési megoldásokat telepítenek Windows-alapú üzleti környezetekben.

Biztonsági szempontból az SSTP megállja a helyét. Az SSL/TLS titkosítás érett, jól auditált és globálisan megbízható. Elkerüli a régebbi protokollokhoz – mint a PPTP vagy az L2TP – kapcsolódó ismert sebezhetőségeket.

Az SSTP-nek azonban figyelemre méltó korlátai is vannak. Lényegében egy proprietáris Microsoft protokoll, ami azt jelenti, hogy korlátozott a támogatottsága nem Windows platformokon, például macOS-en, Linuxon, Androidon és iOS-en – bár egyes harmadik féltől származó kliensek részleges támogatást adtak hozzá. Mivel a Microsoft irányítja a specifikációt, a független biztonsági kutatóknak kevesebb rálátásuk van a protokollra, mint a nyílt forráskódú alternatívákra, például az OpenVPN-re vagy a WireGuardra.

A teljesítmény szintén szempontot jelent. Mivel az SSTP UDP helyett TCP-t használ, szenvedhet egy „TCP meltdown" néven ismert problémától – ahol a csomagvesztés újraküldési késéseket okoz, amelyek felhalmozódnak és lelassítják a kapcsolatot. Az UDP-re épített protokollok általában jobban teljesítenek a késésérzékeny feladatoknál, például streamelés vagy játék esetén.

Gyakorlati felhasználási esetek

  • Vállalati távoli hozzáférés – A Windows-alapú környezetekben dolgozó IT-csapatok gyakran telepítenek SSTP-t olyan távoli munkavállalók számára, akiknek korlátozó tűzfalszabályokkal rendelkező hálózatokról kell csatlakozniuk.
  • Cenzúra megkerülése – A közös VPN protokollokat blokkoló országokat látogató utazók az SSTP 443-as porton való viselkedésére támaszkodhatnak a hozzáférés fenntartásához.
  • Biztonságos böngészés korlátozott hálózatokon – Az iskolai vagy szállodai hálózatok, amelyek blokkolják a VPN portokat, gyakran nyitva hagyják a 443-as portot, így az SSTP megbízható visszatérési lehetőséggé válik.
  • Örökölt rendszerekkel való kompatibilitás – A Windows Server infrastruktúrába már befektetett szervezetek előnyben részesíthetik az SSTP-t a beépített kompatibilitása miatt.

A legtöbb általános VPN felhasználó számára a modern protokollok, mint a WireGuard vagy az OpenVPN, jobb teljesítményt és szélesebb platform-támogatást kínálnak. Az SSTP azonban megbízható eszköz marad, amikor a tűzfal megkerülése az elsődleges szempont, és Windows-központú környezetben dolgozik.