SSTP 协议

SSTP（Secure Socket Tunneling Protocol，安全套接字隧道协议）是微软推出的一种 VPN 隧道协议，它把数据封装在 SSL/TLS 加密通道中、通过 TCP 443 端口传输，因流量外观类似普通 HTTPS 而具备较强的防火墙穿透能力。

概述

SSTP 由微软开发，于 2000 年代后期随 Windows Vista SP1 和 Windows Server 2008 一同推出，目的是解决 PPTP、L2TP/IPsec 等老协议容易被防火墙和 NAT 拦截的问题。它的工作原理是把传统的 PPP 帧封装进 SSL/TLS 加密隧道，再通过 443 端口发送——这正是 HTTPS 网页使用的端口，绝大多数网络环境都不会封锁。

虽然 SSTP 是微软的私有协议，但其技术规范（MS-SSTP）已公开发布，因此并不局限于 Windows 生态：SoftEther VPN、MikroTik RouterOS 等可以架设 SSTP 服务端，Linux 上也有 sstp-client 等第三方客户端，Android 同样有支持它的应用。

主要特点

• 穿透能力强：走 TCP 443 端口，流量形似 HTTPS，能穿过大多数只放行网页流量的防火墙和代理。
• 加密可靠：基于成熟的 SSL/TLS 体系加密，配合证书验证服务器身份，安全性优于 PPTP。
• Windows 原生支持：Windows 系统内置 SSTP 客户端，无需安装额外软件即可拨号连接。
• 基于 TCP 的短板：在丢包严重的网络下可能出现「TCP 套 TCP」的性能下降，速度不如基于 UDP 的 WireGuard 等协议。

在翻墙场景中的表现

SSTP 常被商业 VPN 用作备用协议，理论上的 HTTPS 伪装使它比 PPTP、L2TP 更难封锁。但它本质上是为企业远程接入设计的，并非抗审查协议：其握手过程存在可识别的特征，深度包检测（DPI）能够将其与真实网页流量区分开，服务器 IP 也容易被针对性封锁。因此在中国大陆等强审查环境下，SSTP 的连通性并不稳定，实际抗封锁能力不如 Trojan、V2Ray 等专为对抗审查设计的方案。

常见问题

问：SSTP 在中国大陆还能用吗？答：不保证可用。虽然它走 443 端口伪装成 HTTPS，但流量特征可被识别，境外 SSTP 服务器常被封锁，稳定性明显不如专门的抗审查协议，只能作为备选手段。

问：SSTP 只能在 Windows 上用吗？答：不是。Windows 对它支持最好且系统内置，但借助 SoftEther、sstp-client 等第三方软件，Linux、Android 等平台也能使用，只是体验不如 Windows 原生。

问：SSTP 和 OpenVPN、WireGuard 相比怎么选？答：三者加密强度都足够。SSTP 胜在 Windows 免装软件、穿透性好；OpenVPN 跨平台生态最成熟；WireGuard 速度最快但特征明显。企业远程办公用 SSTP 很方便，追求速度选 WireGuard，翻墙则建议选择专门的抗审查协议。