很多人在需要跨常规防火墙限制搭建远程办公通道的时候，会接触到基于HTTPS封装的SSTP类VPN，它和常见的IPsec、L2TP类方案最大的差异，就是完全复用标准HTTPS的443端口流量特征，大部分普通办公网络的出口防火墙不会主动拦截这类流量。
从普通网页访问到VPN通道的初始握手
你发起SSTP连接的第一步，客户端会先像访问普通HTTPS网站一样，和远端服务端完成标准的TLS握手，校验服务端的SSL证书合法性，这一步的流量和你打开任意一个HTTPS网页的对外请求没有任何区别，出口防火墙只会识别为常规的网页浏览流量。
完成TLS握手之后，客户端才会在已经建立好的HTTPS会话内部，发起SSTP专属的控制请求，服务端校验请求身份合法之后，火烧云不会返回普通的网页内容，而是直接把当前的HTTPS会话升级为VPN专用的承载通道。
封装后的流量传输路径差异
传统的IPsec VPN会在网络层直接修改原始IP报文头，火烧云加速器官网生成全新的加密报文往外发送，部分运营商或者深度包检测设备很容易通过报文特征识别出这是VPN流量，直接做限流或者拦截。
SSTP VPN复用标准HTTPS 443端口流量特征，可绕过多数常规办公防火墙的拦截限制
SSTP的所有用户业务报文，都会被拆分成适合TCP传输的分片，外层套上标准的HTTPS封装之后再走443端口传输，从出口路由的视角看，整条连接只是浏览器和Web服务器之间持续传输的HTTPS数据流，没有额外的特殊报文特征。
配置作用域和普通VPN的核心区别
你在系统里配置SSTP连接的时候，不需要单独给本地网卡配置特殊的加密模式或者自定义的报文封装规则，整个通道的加密、分片、校验逻辑完全跑在已经建立的HTTPS会话内部，不会修改本地物理网卡的底层驱动参数。
这类连接默认的路由规则也和普通HTTPS访问的优先级兼容，你不需要额外配置绕过本地网关的特殊路由，只有当VPN服务端推送了指定的内网网段路由之后，对应网段的流量才会走SSTP通道传输，其余普通网页流量还是走原本的本地网络。
实际使用的边界提醒
因为SSTP本身是跑在TCP协议之上的封装，如果你在通道内部传输UDP类的低延迟业务，比如实时语音、游戏数据，两层TCP的重传机制叠加之后，反而可能出现额外的延迟升高或者卡顿问题，这类场景更适合用UDP封装的VPN方案。
如果你的网络环境里的出口防火墙开启了HTTPS中间人审计，这类设备会替换SSTP服务端的证书，导致客户端的证书校验环节直接失败，连接无法正常建立，这类场景你可以查阅对应VPN客户端的官方配置说明，确认是否支持导入自定义的信任证书。
