SSTP：微软的防火墙友好型 VPN 协议
简介
安全套接字隧道协议（Secure Socket Tunneling Protocol），通常简称 SSTP，是微软开发的一种 VPN 协议，随 Windows Vista 一同推出。与许多其他 VPN 协议不同，SSTP 从一开始就被设计为能够在通常会封锁 VPN 流量的环境中无缝运行——例如企业网络、学校，或互联网管控严格的国家和地区。
从协议名称就能大致了解其工作原理：它将 VPN 连接通过 SSL/TLS 进行隧道传输——这与保护日常 HTTPS 网页浏览的加密技术相同。正因如此，SSTP 流量看起来与普通的加密网页流量几乎无异，防火墙和网络管理员极难检测或拦截。
工作原理
SSTP 通过 TCP 端口 443 运行，而 443 正是 HTTPS 的标准端口。这一特点使其有别于 OpenVPN 或 IKEv2 等协议——后者使用的端口容易被识别并封锁。
基本流程如下：
- 发起连接 — VPN 客户端与 VPN 服务器建立 SSL/TLS 握手，过程与浏览器连接安全网站时完全相同。
- 创建隧道 — 安全通道建立后，PPP（点对点协议）数据被封装在 HTTP 帧中，并通过该通道传输。
- 加密处理 — 所有通过隧道传输的数据均使用 SSL/TLS 加密，通常采用 AES-256 加密以提供强力保护。
- 身份验证 — SSTP 支持基于证书的身份验证，在客户端与服务器之间增加了额外的验证层。
由于流量通过 TLS 封装后经由端口 443 传输，深度包检测工具难以将其与常规 HTTPS 浏览流量区分开来——这种特性通常被称为流量混淆。
对 VPN 用户的意义
SSTP 最大的优势在于其绕过防火墙的能力。如果你曾在公司、学校网络，或前往互联网受限国家旅行时遭遇 VPN 被封锁的情况，SSTP 是最有可能突破封锁的协议之一。
其与 Windows 的深度集成是另一项实用优势。Windows 原生支持 SSTP，无需安装第三方软件，这对于使用 Windows 设备的用户来说配置十分便捷。对于在以 Windows 为主的企业环境中部署远程访问解决方案的 IT 管理员而言，这一特性尤为吸引人。
在安全性方面，SSTP 表现可靠。SSL/TLS 加密技术成熟、经过充分审计，并在全球范围内获得广泛信任。它也规避了 PPTP 或 L2TP 等较旧协议所存在的已知漏洞。
不过，SSTP 也存在明显局限。它本质上是微软的专有协议，这意味着其在 macOS、Linux、Android 和 iOS 等非 Windows 平台上的支持十分有限——尽管部分第三方客户端已提供有限支持。由于微软掌控协议规范，独立安全研究人员对该协议的可见度不如 OpenVPN 或 WireGuard 等开源替代方案。
性能方面同样需要关注。由于 SSTP 使用 TCP 而非 UDP，可能出现所谓的"TCP 崩溃"（TCP meltdown）问题——数据包丢失会引发重传延迟不断累积，从而拖慢连接速度。基于 UDP 构建的协议在流媒体或游戏等对延迟敏感的场景中通常表现更优。
典型使用场景
- 企业远程访问 — 在 Windows 环境中，IT 团队常部署 SSTP，供需要从防火墙限制严格的网络连接的远程员工使用。
- 翻越审查封锁 — 前往封锁常见 VPN 协议的国家旅行时，用户可借助 SSTP 使用端口 443 的特性来维持正常访问。
- 在受限网络上安全浏览 — 学校或酒店网络往往封锁 VPN 端口，但通常保留端口 443 开放，使 SSTP 成为可靠的备选方案。
- 兼容遗留系统 — 已在 Windows Server 基础设施上投入较多资源的组织，可能更倾向于使用 SSTP，因为其具备内置兼容性。
对于大多数普通 VPN 用户而言，WireGuard 或 OpenVPN 等现代协议在性能和跨平台支持方面表现更为出色。但在防火墙穿透优先且以 Windows 为核心的环境中，SSTP 仍是一个可靠之选。