新的SSTP協(xié)議，并沒有完全否決PPTP及L2TP OVER IPSEC在微軟產(chǎn)品所組成的解決方案中的作用，當(dāng)企業(yè)使用基于WINDOWS 平臺的VPN解決方案時，這種協(xié)議仍是被常用來解決或是提升企業(yè)網(wǎng)絡(luò)安全性。但兩者的數(shù)據(jù)包通過防火墻、NAT、WEB PROXY時卻都有可能發(fā)生一些連線方面的問題。

PPTP數(shù)據(jù)包通過防火墻時，防火墻需被設(shè)定成同時充許TCP連接以及GRE封裝的數(shù)據(jù)通過，但大部分ISP都會阻止這種封包，從而造成連線的問題; 而當(dāng)你的機器位于NAT之后，NAT亦必需被設(shè)定成能轉(zhuǎn)發(fā)GRE協(xié)議封裝的數(shù)據(jù)包。否則就會造成只能建立PPTP的TCP連接，而無法接收GRE協(xié)議封裝的數(shù)據(jù)包;WEB PROXY是不支持PPTP 協(xié)議的。L2TP OVER IPSEC的情況和此類似，需要在防火墻上充許IKE 數(shù)據(jù)和ESP封裝的數(shù)據(jù)同時通過，否則也會出現(xiàn)連接問題。且WEB PROXY也是不支持L2TP OVER IPSEC協(xié)議的。

SSTP的執(zhí)行過程

上面簡要介紹了SSTP協(xié)議的優(yōu)勢以及PPTP等之前兩種協(xié)議的不足，下面就來說下XP WITH SP3 或是VISTA WITH SP1等客戶端是如何連接到WINDOWS 2008 SSL(SSTP)VPN服務(wù)器的：

1、SSTP VPN客戶端以隨機的TCP端口建立TCP連接至SSTP VPN服務(wù)器(常常是SSTP VPN 網(wǎng)關(guān)服務(wù)器)上的TCP 443端口。

2、SSTP VPN客戶端發(fā)送一個SSL “Client-Hello”消息給SSTP VPN服務(wù)器，表明想與此建立一個SSL會話。

3、SSTP VPN服務(wù)器發(fā)送“其機器證書”至SSTP VPN客戶端。

4、SSTP VPN客戶端驗證機器證書，決定SSL會話的加密方法，并產(chǎn)生一個以SSTP VPN服務(wù)器公鑰加密的SSL會話密鑰，然后發(fā)送給SSTP VPN服務(wù)器。

5、SSTP VPN服務(wù)器使用此機器證書私鑰來解密收到的加密的SSL會話，之后兩者之間所有的通訊都以協(xié)商的加密方法和SSL 會話密鑰進行加密。

6、SSTP VPN客戶端發(fā)送一個基于SSL的HTTP(HTTPS)請求至SSTP VPN服務(wù)器。

7、SSTP VPN客戶端與SSTP VPN服務(wù)器協(xié)商SSTP隧道。

8、SSTP VPN客戶端與SSTP VPN服務(wù)器協(xié)商包含“使用PPP驗證方法驗(或EAP驗證方法)證使用者證書以及進行IPV4或IPV6通訊”的PPP連接。

9、SSTP VPN客戶端開始發(fā)送基于PPP連接的IPV4或IPV6通訊流量(數(shù)據(jù))。