След две години и половина от издаването на версия 2.5, е подготвен релиз на OpenVPN 2.6.0, пакет за създаване на виртуални частни мрежи, който позволява организиране на криптирано свързване между две клиентски машини или осигуряване на работа на централизирания VPN сървър за едновременно свързване на няколко клиента. Кодът на OpenVPN се разпространява под лиценз GPLv2, готовите бинарни пакети се създават за Debian, Ubuntu, CentOS, RHEL и Windows.
Основни нововъведения:
- Осигурена е поддръжка на неограничен брой свързвания.
- Включен е модулът на ядрото ovpn-dco, който значително ускорява производителността VPN. Ускорението се постига чрез прехвърляне на всички операции по криптиране, обработка на пакети и управление на канала на страната на ядрото на Linux, което позволява премахване на разходите, свързани с превключване на контекста, позволява оптимизация на работата чрез директен достъп до вътрешните API на ядрото и елиминира бавната предаване на данни между ядрото и пространството на потребителя (криптиране, декриптиране и маршрутизиране се извършва от модула без изпращане на трафика в обработвача в пространството на потребителя).
В проведените тестове в сравнение с конфигурация на базата на интерфейс tun, използването на модула на страната на клиента и сървъра при използване на шифъра AES-256-GCM доведе до осемкратно увеличение на пропускателната способност (от 370 Mbit/s до 2950 Mbit/s). При използването на модула само от страната на клиента, пропускателната способност на изходящия трафик се увеличи три пъти, а за входящия не се промени. При използването на модула само от страната на сървъра, пропускателната способност на входящия трафик се увеличи четири пъти, а на изходящия с 35%.
- Предоставена е възможността за използване на режима TLS с самоподписани сертификати (при използване на опцията „—peer-fingerprint“ не е необходимо да се указват параметрите „—ca“ и „—capath“ и да се заобикаля стартирането на PKI сървър на базата на Easy-RSA или подобен софтуер).
- В UDP сървъра е реализиран режим на съгласуване на свързването на базата на Cookie, при който за идентификатор на сесията се използва Cookie на базата на HMAC, което позволява на сървъра да извършва верификация без запазване на състоянието.
- Добавена е поддръжка на сборка с библиотеката OpenSSL 3.0. Добавен е параметърът „—tls-cert-profile insecure“ за избор на минимално ниво на сигурност на OpenSSL.
- Добавени нови управляващи команди remote-entry-count и remote-entry-get за преброяване на броя на външните свързвания и извеждане на техния списък.
- В процеса на съгласуване на ключовете по-приоритетният метод за получаване на материал за генериране на ключове сега е механизмът EKM (Exported Keying Material, RFC 5705), вместо специфичния механизъм OpenVPN PRF. За прилагане на EKM е необходима библиотека OpenSSL или mbed TLS 2.18+.
- Осигурена е съвместимост с OpenSSL в FIPS-режим, което позволява използването на OpenVPN на системи, отговарящи на изискванията за безопасност FIPS 140-2.
- В mlock е реализирана проверка за резервиране на достатъчен размер памет. При наличност под 100 МБ RAM за повишаване на лимита се извършва извикване на setrlimit().
- Добавена е опция «—peer-fingerprint» за проверка на коректността или привързаността на сертификата по fingerprint-отпечатък на база хаш SHA256, без използване на tls-verify.
- За скриптовете е предоставена възможност за отложена (deferred) аутентификация, реализирана чрез опцията «—auth-user-pass-verify». В скриптовете и плъгините е добавена поддръжка за информиране на клиента за изчакваща (pending) аутентификация при прилагане на отложена аутентификация.
- Добавен е режим на съвместимост (—compat-mode), позволяващ свързване към стари сървъри, на които се използва OpenVPN 2.3.x или по-стари версии.
- В списъка, предаван чрез параметъра «—data-ciphers», е разрешено указването на префикс «?» за определяне на необходими шифри, които ще бъдат активирани само при налична поддръжка в SSL-библиотеката.
- Добавена е опция «—session-timeout», с помощта на която може да се ограничи максималното време на сесия.
- В конфигурационния файл е разрешено указването на име и парола с помощта на таговете <auth-user-pass></auth-user-pass>.
- Предоставена е възможност за динамична настройка на MTU на клиента, на базата на данните за MTU, предадени от сървъра. За промяна на максималния размер на MTU е добавена опция «—tun-mtu-max» (по подразбиране 1600).
- Добавен е параметър «—max-packet-size» за определяне на максималния размер на управляващите пакети.
- Поддръжката на режима за стартиране на OpenVPN чрез inetd беше премахната. Опцията ncp-disable също е премахната. Опциите verify-hash и режимът на статични ключове (вече остава само TLS) са обявени за остарели. Протоколите TLS 1.0 и 1.1 са поставени в списъка с остарели (параметърът tls-version-min по подразбиране е зададен на 1.2). Вградената реализация на генератора на псевдослучайни числа (—prng) е премахната, следва да се използва реализацията PRNG от криптографските библиотеки mbed TLS или OpenSSL. Поддръжката на пакетния филтър PF (Packet Filtering) е прекратена. По подразбиране компресията е деактивирана (—allow-compression=no).
- CHACHA20-POLY1305 е добавен в списъка с шифрове по подразбиране.
Източник: opennet.ru
