Есть ли какая-нибудь альтернатива штатному Windows-клиенту SSTP?

Спасибо, ребята, то, что вы написали, звучит знакомо, но я ещё никогда этого не делал. Похоже, мне придётся потратить часы на поиск информации и эксперименты. Кто-нибудь не мог бы написать короткое руководство с пошаговыми действиями? Как вообще запускается этот certbot? Я не могу понять, что с ним делать — это ведь не .exe для Windows и не telnet-сервер. Что мне делать? Нужно ли запускать certbot с того же IP, который я регистрирую? Можно ли как-то использовать Mikrotik для этого? И как потом использовать полученный сертификат? Просто ставлю его на Windows или надо привязать сертификат ещё и к SSTP-серверу на Mikrotik? Как? Чтобы обновить сертификат, Mikrotik может это сделать самостоятельно? Или надо обновлять через другое устройство с того же IP? Большое спасибо!

Текущая версия RouterOS 7 имеет встроенную поддержку запроса и обновления сертификатов Let’s Encrypt. Вот соответствующий фрагмент из документации: Certificates - RouterOS - MikroTik Documentation. Если вы используете субдомен IP Cloud, предоставленный MikroTik (xxxxxx.sn.mynetname.net), достаточно выполнить эту команду один раз: /certificate enable-ssl-certificate — роутер автоматически запросит сертификат LE для субдомена IP Cloud и будет заниматься его последующим обновлением.

Если же вы используете свой собственный субдомен, нужно следить за следующими условиями при запросе сертификата и его обновлении:  
- Служба www должна быть запущена.  
- TCP порт 80 для входящих запросов из интернета (chain input) не должен быть заблокирован ни для IPv4, ни для IPv6, или для обоих (можно заблокировать для IPv4, но открыть для IPv6 — тоже будет работать).  

Команда для запроса или обновления сертификата будет выглядеть так:  
/certificate enable-ssl-certificate dns-name=my.domain.com  

Сертификат будет отображаться в System → Certificates и его можно использовать для SSTP. Разумеется, клиенты SSTP должны использовать тот же субдомен, чтобы установить соединение с роутером.  

Хотя роутер может автоматически обновлять сертификат, RouterOS сам обновляет настройку сертификата только для сервиса www-ssl и не меняет настройки SSTP-сервера после обновления. Это нужно делать вручную или через запланированный скрипт.  

Кроме того, если вы используете собственный домен, а не предоставленный IP Cloud (xxxxxx.sn.mynetname.net), нужно убедиться, что www запущен и порт 80 открыт во время автоматического обновления. Но обычно не разумно держать www и порт 80 открытыми для интернета. Лучше оставить службу выключенной и порт заблокированным в фаерволе, а для обновлений написать свой скрипт, который каждые ~80 дней будет:  

- Временно включать службу www  
- Разблокировать TCP порт 80 на chain input (только для IPv6, если он у вас есть, иначе для IPv4)  
- Выполнять /certificate enable-ssl-certificate dns-name=my.domain.com  
- Снова блокировать TCP порт 80 на chain input  
- Отключать службу www  
- Обновлять SSTP сертификат, назначенный на www-ssl  

Или, если вы не дружите со скриптами, можно просто делать это вручную каждые 80 дней.

Спасибо большое за объяснение, теперь всё выглядит действительно дружелюбно. Да, я сменил сертификат на SSTP-сервере, там доступны два варианта, один из них называется intermediate, и если я его выбираю, Windows 10 вдруг выдает ошибку, что удаленный хост (mikrotik) отказывается подключаться, с другим вариантом проблема остаётся прежней. Нужно ли как-то подождать?

P.S. На компьютере B я добавил и протестировал другой SSTP-сервер, недавно подписанный через Let’s Encrypt, та же ошибка. На компьютере A я вручную удалил сертификаты, и теперь работает с обоими. Загадка Windows.

На ПК C с Windows 10 64, который подключался по SSTP с сертификатом Mikrotik в течение месяца, теперь подключение отказано, даже Let’s Encrypt не помогает. Что-то пошло не так в Windows, система просит исправить сетевые параметры, я проверил — всё в порядке. На Mikrotik в разделе dice стоит статус «authenticated», логин и пароль верны, но клиент внезапно отключается. Windows неправильно проверяет сертификаты, я удалял сертификат, но это не помогает, может, нужно перезагрузить?