SSTP frente a OpenVPN: el mismo puerto 443, otro protocolo

Ambas opciones pueden situarse detrás de TCP 443, por lo que la gente asume que son extremos intercambiables. No lo son: SSTP servidor habla PPP dentro de HTTPS, mientras que un servidor OpenVPN habla su propio protocolo sobre TLS o mediante un flujo UDP en bruto. Apuntar un cliente al puerto del otro produce una conexión que nunca llega a un aviso de inicio de sesión. La elección trata de qué cliente y qué transporte puedes soportar, no del número.

Un puerto compartido no crea un protocolo compartido

El protocolo de enlace TLS puede completarse y aun así no llevar a ninguna parte, porque después el cliente y el servidor no coinciden en qué decir a continuación. En una captura de paquetes ves un saludo limpio seguido de datos de aplicación que la otra parte rechaza o ignora. Ese patrón es la firma de un desajuste de protocolo y no de un bloqueo del cortafuegos.

Ni un perfil renombrado ni otra entrada de menú convierte uno en el otro. Una conexión SSTP se crea desde la configuración de VPN de Windows con una dirección de servidor y los datos de autenticación del operador, mientras que una conexión OpenVPN necesita el cliente y el archivo de configuración correspondiente. La especificación SSTP de Microsoft describe la primera y no describe un saludo de OpenVPN.

El puerto 443 es una comodidad de política. Atraviesa redes que permiten poco más, y eso es una ventaja real, pero no te dice nada sobre qué protocolo se ejecuta detrás.

SSTP encapsula PPP dentro de HTTPS

El nombre describe la construcción: tramas PPP transportadas dentro de una sesión HTTPS, lo que significa TLS por debajo y un certificado que el cliente puede comprobar. Windows lo incluye como tipo de VPN nativo, así que un portátil gestionado a menudo puede conectarse sin software adicional más allá del perfil que proporciona el operador.

Otras plataformas son otra historia. Un cliente de Linux o macOS necesita una implementación mantenida, y estas varían en qué soportan y cómo informan de los errores. Comprueba el cliente que realmente piensas usar en lugar de suponer que la capacidad integrada de Windows se traslada, y confirma que el nombre del servidor en el perfil coincide con el certificado que presenta el servidor.

SSTP normalmente es solo TCP. Ese único transporte afecta a cómo se comporta en un enlace con pérdidas, porque la retransmisión ocurre dentro del túnel y también por debajo.

OpenVPN trae su propio cliente y una elección de transporte

OpenVPN entrega su propio cliente y perfil, lo que te da diagnósticos que un diálogo nativo de Windows no expone. El servidor puede escuchar en UDP o TCP, y la configuración del operador decide cuál debe usar tu cliente. Un perfil apuntado al transporte equivocado falla antes de la autenticación.

La autenticación depende igualmente de la configuración. Un despliegue puede exigir solo certificados, certificados más un nombre de usuario y una contraseña, o un segundo factor encima, y el cliente tiene que coincidir exactamente con esa disposición. El hecho de que una conexión llegue a la etapa TLS no te dice qué credenciales pedirá después.

UDP es el valor predeterminado habitual porque evita anidar un flujo fiable dentro de otro flujo fiable. El modo TCP existe para redes que bloquean UDP, y funciona, pero una pérdida elevada puede hacer que se sienta peor que la ruta UDP a la que sustituyó. Elige TCP cuando debas, no porque suene más fiable.

Elige por cliente, transporte y soporte

Tres preguntas resuelven la mayoría de estas decisiones. ¿Necesita cada dispositivo cliente una conexión que funcione sin software adicional? ¿Permite UDP la red de la que dependes, o es TCP 443 la única salida? ¿Y quién da soporte al cliente, a sus actualizaciones y a su recuperación cuando un perfil caduca?

Cuando compares los dos, prueba en el mismo dispositivo y la misma red de acceso. Si el extremo SSTP y el extremo OpenVPN son servidores distintos o sitios distintos, tu resultado incluye esas rutas y máquinas en lugar de aislar el protocolo. Es la forma más común de que estas comparaciones produzcan una respuesta segura pero equivocada.

Después confirma cuál estableciste realmente antes de depurar cualquier otra cosa:

> Get-VpnConnection -Name "Office SSTP" | Select-Object TunnelType, ServerAddress
> openvpn --config office.ovpn --verb 4

En cualquier caso, termina probando el recurso y el DNS que necesitas en lugar de declarar éxito en el estado del túnel. Ambos protocolos pueden configurarse para transportar solo tráfico privado seleccionado, y un túnel conectado sin resolución de nombres funcional parece una VPN rota cuando en realidad es un diseño de túnel dividido o de DNS.

En una flota gestionada, la distribución de perfiles y el soporte de actualizaciones suelen decidir la cuestión mucho antes que cualquier medición de transporte.