SSTP VPN: setup Windows nativo

Secure Socket Tunneling Protocol (SSTP) e una VPN sviluppata da Microsoft che incapsula traffico PPP dentro un canale TLS sulla porta 443. Questo la rende molto efficace per attraversare firewall aziendali e captive portal che bloccano UDP o protocolli non standard.

Quando scegliere SSTP

SSTP è ideale per utenti Windows che lavorano spesso da reti restrittive (hotel, eventi, paesi con DPI) e per i quali serve una connessione che assomiglia al traffico HTTPS. È supportato nativamente da Windows Vista in poi e anche da alcuni client Linux (sstp-client) e MikroTik.

Procedura passo-passo

1. Installa il ruolo Remote Access su Windows Server con Server Manager e seleziona DirectAccess and VPN (RAS).
2. Esegui Routing and Remote Access wizard scegliendo Custom configuration > VPN access.
3. Importa un certificato server valido (Let's Encrypt o CA interna) con SAN corrispondente all'FQDN pubblico.
4. In Properties > Security verifica che SSTP sia abilitato e che il certificato sia associato.
5. Apri sul firewall pubblico la porta TCP 443 e mappala verso il server RRAS.
6. Crea utenti con permessi Dial-in Allow access in Active Directory o gestione locale.
7. Sul client Windows configura VPN tipo Automatic e indirizzo FQDN del server.

TLS e certificati

SSTP usa TLS sopra TCP 443: cio significa che la sicurezza dipende interamente dalla qualità del certificato e dalla configurazione TLS lato server. Disabilita TLS 1.0 e 1.1 nel Windows Server via registry o IIS Crypto, lascia solo TLS 1.2 e 1.3, e usa cifrari ECDHE-RSA-AES256-GCM-SHA384. Rinnova certificati con Let's Encrypt automatizzato via win-acme.

Routing e RRAS avanzato

RRAS supporta scenari avanzati: VPN site-to-site con altri server RRAS, integrazione con NPS per RADIUS, conditional access via Azure AD. Per smart working aziendale combina SSTP per client Windows e IKEv2 per client mobile. RRAS gestisce assegnazione IP da DHCP o pool statici, configurabili in Routing and Remote Access > IPv4 > General > Static address pool.

Confronto con OpenVPN su TCP

SSTP e OpenVPN su TCP svolgono funzioni simili (tunnellare via porta 443 per attraversare firewall), ma SSTP è proprietario Microsoft mentre OpenVPN e open source. SSTP e nativo Windows e gode di kernel-level integration, OpenVPN richiede client di terze parti ma offre flessibilita e supporto multi-piattaforma più ampio.

Limiti scalabilità

SSTP su RRAS scala fino ~1000 connessioni concorrenti per server con hardware adeguato. Per dimensioni maggiori configura più server RRAS dietro NLB (Network Load Balancing) di Windows o load balancer hardware con SSL passthrough. NLB richiede affinity sessione, altrimenti TLS handshake non completa correttamente. Pianifica capacita basandoti sui picchi (es. mattina con tutti che si connettono).

Considerazioni di rete

SSTP usa TCP 443, mascherandosi come HTTPS: questo permette di attraversare praticamente ogni firewall che consente browsing web. Tuttavia, alcuni DPI commerciali (FortiGate con SSL Inspection abilitata) possono rilevare e bloccare SSTP analizzando il SNI e i pattern di handshake. In ambienti restrittivi valuta combinazione con stunnel o V2Ray fronting.

Best practice di sicurezza

Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.

Monitoring e osservabilita

Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.

Documentazione e procedure operative

Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.

Errori comuni e come risolverli

• Errore 0x80092013 sul client: il certificato non è considerato attendibile: installa la catena CA root su tutti i client.
• Errore 809 timeout: TCP 443 e bloccato dal firewall oppure non e correttamente NATtato verso il server.
• Errore 0x800B0109: la catena di certificazione e incompleta: includi i certificati intermedi nel bundle del server.
• Performance lente: il sovraccarico TCP-in-TCP riduce throughput: per sessioni intense valuta IKEv2 quando il firewall non lo blocca.

Domande frequenti

D: SSTP funziona su macOS?
R: Non nativamente: serve un client di terze parti o usare IKEv2 come alternativa su Apple.

D: Posso usare un certificato self-signed?
R: Si, ma devi installarlo come trusted root su ogni client; con Let's Encrypt e tutto automatico.

D: E vulnerabile come PPTP?
R: No, SSTP si appoggia su TLS 1.2/1.3 ed è considerata sicura se ben configurata.

Hai bisogno di aiuto?

Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.