【IT168 专稿】前言：在2008年9月份，我写了和本篇同样的文章，那时的环境是基于windows server 2008和windows vista with sp1的。今次，在windows server 2008 r2和windows 7的环境中重现企业sstp vpn的建置过程。

　　一、新的协议SSTP的支持及介绍

　　windows server 2008 R2的已经发布金日，相信新的企业功能和特性让IT PRO们兴奋不已，在新的功能中，SSTP协议的支持让通过WINDOWS SERVER 2008 R2 R2进行SSL-VPN访问得到了增加，配合windows 7终端系统，企业使用sstp vpn更加获利于微软提供的远程安全访问解决方案。

　　SSTP是微软提供的新一代的虚拟专用网(VPN)技术，它的全称是安全套接层隧道协议(Secure Socket Tunneling Protocol;sstp)，和PPTP L2TP OVER IPsec一样，也是微软所提供的VPN技术。在拥有最大弹性发挥的同时，又确保信息安全达到了一定程度。

　　目前，支持SSTP的技术可以在如下系统中实现：Windows XP Sp3(偶在生产环境中并没有去验证)、windows vista with sp1、windows 7、Windows server 2008 R2、windows server 2008 R2。在Windows Server 2008仅支持客户端与服务器之间的SSTP VPN，并不支持站点到站点间的SSTP VPN。但笔者仍不确认在windows server 2008 R2中是否支持。

　　通使用此项新技术，可以使防火墙管理员能更容易的配置策略使SSTP流量通过其防火墙。它提供了一种机制，将PPP数据包封装在HTTPS的SSL通讯中，从而使PPP支持更加安全身份验方法，如EAP-TLS等。

　　二、PPTP及L2TP OVER IPSEC在使用过程中的不足

　　新的SSTP协议的支持，并没有完全否决PPTP及L2TP OVER IPSEC在微软产品所组成的解决方案中的作用，当企业使用基于WINDOWS 平台的VPN解决方案时，这种协议仍是被常用来解决或是提升企业网络安全性。但两者的数据包通过防火墙、NAT、WEB PROXY时却都有可能发生一些连线方面的问题。

　　PPTP数据包通过防火墙时，防火墙需被设定成同时充许TCP连接以及GRE封装的数据通过，但大部分ISP都会阻止这种封包，从而造成连线的问题;而当你的机器位于NAT之后，NAT亦必需被设定成能转发GRE协议封装的数据包。否则就会造成只能建立PPTP的TCP连接，而无法接收GRE协议封装的数据包;WEB PROXY是不支持PPTP 协议的。

　　L2TP OVER IPSEC的情况和此类似，需要在防火墙上充许IKE 数据和ESP封装的数据同时通过，否则也会出现连接问题。且WEB PROXY也是不支持L2TP OVER IPSEC协议的。