Você precisa de um túnel VPN que sobreviva em redes restritivas — wifi de hotel, firewalls corporativos, algumas operadoras móveis — onde IPsec e OpenVPN sobre UDP costumam ser bloqueados diretamente. O SSTP (Secure Socket Tunneling Protocol) resolve isso tunelando PPP sobre uma conexão HTTPS na porta TCP 443, a única porta que quase nada bloqueia.
Consiga um certificado para o servidor
O SSTP exige um certificado do lado do servidor. Use um emitido por uma CA real se o roteador tiver um hostname público, ou gere um autoassinado no próprio roteador para testes:
/certificate add name=sstp-cert common-name=vpn.exemplo.com key-usage=tls-server
/certificate sign sstp-certHabilite o servidor SSTP
Aponte-o para o certificado que você acabou de criar:
/interface sstp-server server set enabled=yes certificate=sstp-certCrie um usuário para a VPN
Os clientes SSTP se autenticam com um usuário e senha PPP:
/ppp secret add name=client1 password=xxx service=sstp local-address=10.20.20.1 remote-address=10.20.20.2Configure o cliente
Em outro MikroTik, ou em um cliente Windows/Linux com suporte a SSTP, conecte-se ao hostname do servidor com as credenciais do passo anterior:
/interface sstp-client add connect-to=vpn.exemplo.com user=client1 password=xxx certificate=sstp-certPor que fazer assim
A razão de existir do SSTP é que ele trafega sobre a porta TCP 443, a mesma que o HTTPS usa — então ele atravessa firewalls restritivos e proxies corporativos onde IPsec e OpenVPN sobre UDP costumam ficar bloqueados, ao custo de um pouco mais de overhead do que um protocolo mais leve como o WireGuard. Não é a escolha padrão certa para toda VPN — se as duas pontas estão em redes abertas, o WireGuard é mais rápido e simples — mas para um túnel que precisa especificamente sobreviver em uma rede que você não controla, o SSTP usar uma porta praticamente impossível de bloquear é o motivo real para escolhê-lo, não hábito.
Como o MoniTik ajuda
Esse é exatamente o mecanismo sobre o qual roda o próprio túnel do MoniTik até cada satélite — o SSTP é o motivo pelo qual a conexão continua funcionando em redes residenciais e móveis restritivas onde uma VPN baseada em UDP seria bloqueada silenciosamente pela operadora. Se você está montando seu próprio túnel SSTP justamente para alcançar um roteador em um desses ambientes, é o mesmo problema que o WinBox remoto do MoniTik já resolve sem você precisar emitir certificados nem gerenciar secrets PPP manualmente.
Valentina passou a última década implantando e resolvendo problemas em redes MikroTik para provedores de toda a América Latina.