架構概覽：SSTP = HTTPS + PPP，穿透防火牆/Proxy 的最佳遠端存取協議
SSTP (Secure Socket Tunneling Protocol) 封裝 PPP 流量於 TLS 通道 (TCP 443)，原生支援 Windows Vista/Server 2008/7+，無需額外客戶端軟體。部署鏈路：企業根 CA (AD CS) → IIS 7.0 憑證請求 Web 介面 → SSTP 伺服器機器憑證 → RRAS 角色 (VPN + NAT) → NAT 發佈內部 CA CRL。本文記錄單網域單伺服器完整部署。
環境拓撲
- DC/CA：
WIN2K8-DC (contoso.com)，安裝 AD CS 企業根 CA + IIS 7.0 (憑證 Web 註冊)。
- SSTP VPN 伺服器：
SSTP-VPN (加入 contoso.com)，雙網卡：
• 外網卡 (WAN)：公網 IP / DMZ IP，綁定 SSTP 監聽。
• 內網卡 (LAN)：10.0.0.10/24，連接內部網路 (含 DC/CA 10.0.0.2)。
- 用戶端：Windows 7/10/11，網域/非網域均可。
階段一：DC 上安裝 AD CS 企業根 CA + 憑證 Web 註冊
- 伺服器管理員 → 角色 → 新增角色 → Active Directory 憑證服務。
- 角色服務：勾選 憑證授權單位、憑證授權單位 Web 註冊 → 自動新增 IIS 角色服務。
- 安裝類型：企業 (需網域，支援範本/自動註冊) → 下一步。
- CA 類型：根憑證授權單位 → 下一步。
- 私鑰：建立新私鑰 (預設 CSP, 2048-bit RSA, SHA256) → 下一步。
- CA 名稱：
Contoso Root CA → 下一步。
- 有效期：預設 5 年 (可依策略調整) → 下一步。
- 資料庫/記錄路徑：預設 → 確認安裝 → 安裝完成。
- 驗證：瀏覽
https://WIN2K8-DC/certsrv/ → 以網域管理員登入 → 應顯示「歡迎使用憑證授權單位 Web 註冊」。
階段二：SSTP 伺服器安裝 IIS 7.0 (含憑證請求功能)
- 伺服器管理員 → 角色 → 新增角色 → Web 伺服器 (IIS)。
- 角色服務：安全性 類別下全部勾選 (要求篩選、URL 授權、Windows 驗證、摘要式驗證、用戶端憑證對應驗證、IIS 用戶端憑證對應驗證) —— 此為後續「建立網域憑證」按鈕啟用的必要條件。
- 確認安裝 → 完成。
階段三：透過 IIS 7.0 為 SSTP 伺服器請求機器憑證 (關鍵步驟)
- IIS 管理員 → 伺服器節點 → 中間面板 伺服器憑證 → 右側動作 → 建立網域憑證。
- 可分辨名稱屬性：
• 通用名稱 (CN)：sstp.contoso.com (必須與用戶端連線使用的 FQDN 完全一致)。
• 組織 (O)：Contoso Ltd.
• 組織單位 (OU)：IT Infrastructure
• 國家/地區 (C)：TW → 下一步。
- 線上憑證授權單位：點選「選取」 → 選擇
Contoso Root CA (需以網域管理員 contoso\administrator 登入才會顯示) → 確定。
• 易記名稱：SSTP Server Cert 2024 → 完成。
- 驗證：伺服器憑證清單出現新憑證，雙擊 → 詳細資料 → 主體 CN =
sstp.contoso.com、增強金鑰用法包含「伺服器驗證 (1.3.6.1.5.5.7.3.1)」。
- DNS 解析：內部 DNS 新增 A 記錄
sstp.contoso.com → 10.0.0.10 (內網卡 IP)；外部 DNS/Hosts 解析至公網 IP/DMZ IP。
階段四：安裝 RRAS 角色並配置 VPN + NAT
- 伺服器管理員 → 角色 → 新增角色 → 網路原則與存取服務。
- 角色服務：勾選 路由與遠端存取服務 → 確保子項 遠端存取服務、路由 均勾選 → 安裝完成。
- 展開角色 → 網路原則與存取服務 → 右鍵「路由與遠端存取」→ 配置並啟用路由與遠端存取。
- 精靈：
• 歡迎 → 下一步。
• 配置：勾選 虛擬私人網路 (VPN) 和 NAT → 下一步。
• VPN 連線：選擇外網卡 (WAN) → 下一步。
• IP 位址指派：從指定位址範圍 → 新增範圍 192.168.255.10 - 192.168.255.200 (避開內網/VPN 衝突) → 下一步。
• 管理多部遠端存取伺服器：否，使用路由與遠端存取進行驗證 (無內部 RADIUS) → 下一步。
• 完成精靈。
- 驗證：展開「連接埠」→ 向下捲動 → 應顯示 SSTP 連接埠已建立 (預設 128 埠)。
階段五：配置 NAT 發佈內部 CA 的 CRL (憑證撤銷清單) —— 讓用戶端能驗證伺服器憑證狀態
- RRAS 主控台 → IPv4 → NAT → 右鍵外網卡介面 (WAN) →「內容」→「服務與連接埠」頁籤。
- 新增/編輯服務：
• 服務：Web 伺服器 (HTTP) (預設埠 80)。
• 專用位址：10.0.0.2 (內部 DC/CA IP)。
• 專用連接埠：80 → 確定。
- 外部防火牆/路由器同步開放 TCP 80 → 轉發至 SSTP 伺服器外網卡 IP (或 DMZ IP)，SSTP 伺服器 NAT 再轉發至內部 CA
10.0.0.2:80。
- 用戶端驗證鏈：
1. 用戶端連線 SSTP (TCP 443) → 取得伺服器憑證。
2. 憑證 CDP (CRL Distribution Points) 指向 https://WIN2K8-DC/CertEnroll/Contoso%20Root%20CA.crl (或 https://sstp.contoso.com/CertEnroll/... 經 NAT 轉發)。
3. 用戶端透過 HTTP 下載 CRL → 驗證伺服器憑證未被撤銷 → 建立隧道。
4. 若 CRL 無法下載，SSTP 連線將失敗 (預設撤銷檢查為強制)。
- 測試：用戶端瀏覽器造訪 CRL URL → 應成功下載 .crl 檔案。
階段六：用戶端連線驗證與常見問題
- Windows 10/11：設定 → 網路與網際網路 → VPN → 新增 VPN 連線 → 提供者：Windows (內建) → 連線名稱：Contoso SSTP → 伺服器位址：
sstp.contoso.com → VPN 類型：SSTP → 登入資訊類型：使用者名稱和密碼 → 儲存 → 連線。
- 網域用戶：使用
contoso\username + 密碼；非網域用戶：需在 RRAS 原則授權特定群組/使用者。
- 常見錯誤：
• 800/0x80072EFD：CRL 下載失敗 → 檢查 NAT 規則、防火牆 80 埠、CA IIS 網站運行狀態。
• 812/0x800704CF：驗證失敗 → 檢查 RRAS 網路原則「允許存取」條件、使用者帳號鎖定/密碼錯誤。
• 憑證 CN 不符：用戶端連線位址必須與憑證 CN/SAN 完全一致 (不可用 IP 直接連線)。
結語： SSTP VPN 部署的核心難點不在 RRAS 配置，而在於 PKI 信任鏈完整性 (機器憑證 CN、CA 憑證匯入用戶端信任根、CRL 可達性)。完成「企業 CA → IIS 憑證請求 → RRAS VPN+NAT → NAT 發佈 CRL」閉環後，即擁有零客戶端部署、穿透所有允許 HTTPS 的防火牆/Proxy、原生 Windows 整合驗證的企業級遠端存取方案。
