SSTP en MikroTik: la VPN que atraviesa cualquier firewall

Estás en el WiFi de un hotel o de un aeropuerto que bloquea casi todo, y aun así necesitas entrar a la red de tu empresa. Ahí brilla SSTP: una VPN que corre sobre TLS en el puerto 443, exactamente igual que el tráfico HTTPS. Para un firewall, tu VPN se ve como una visita a una web segura, así que la deja pasar.

Por qué SSTP atraviesa lo que otros no

La mayoría de las redes restrictivas bloquean los puertos típicos de VPN (los de L2TP/IPsec), pero no pueden bloquear el 443 sin romper toda la navegación web. SSTP se esconde en ese tráfico. Además, al ser TLS, atraviesa NAT sin los problemas que sufre IPsec.

Requiere un certificado válido

Como es TLS, el servidor SSTP necesita un certificado. Puedes usar uno de tu propia CA (y cargar la CA en los clientes) o uno emitido por una CA pública para que los clientes confíen sin configurar nada:

/certificate
add name=ca common-name=Empresa-CA key-usage=key-cert-sign,crl-sign
sign ca
add name=sstp-server common-name=vpn.miempresa.cl
sign sstp-server ca=ca

Servidor SSTP

/ppp/profile add name=sstp local-address=10.30.0.1 remote-address=sstp-pool
/ppp/secret add name=maria password=CLAVE-FUERTE profile=sstp service=sstp
/interface/sstp-server/server
set enabled=yes certificate=sstp-server tls-version=only-1.2 default-profile=sstp

Fuerza TLS 1.2 o superior y cifrados modernos. El cliente SSTP viene nativo en Windows; para otros sistemas se usa software cliente.

SSTP vs las otras VPN de acceso remoto

VPN	Fuerte en
SSTP	Atravesar firewalls restrictivos (443), NAT.
L2TP/IPsec	Cliente nativo, simplicidad para el usuario.
OpenVPN	Compatibilidad multiplataforma, flexibilidad.
WireGuard	Rendimiento y simplicidad de configuración.

Un buen diseño a veces ofrece varias: WireGuard como principal por velocidad, y SSTP como respaldo para las redes que bloquean todo lo demás.

En MikroTik Chile implementamos acceso remoto que funciona incluso desde las redes más restrictivas, combinando las tecnologías correctas para tu operación. Si a tu gente "a veces no le conecta la VPN", démosle una solución que siempre pase.