Наличен е OpenVPN 2.6.0

След две години и половина от публикуването на версия 2.5, е подготвен релизът на OpenVPN 2.6.0, пакет за създаване на виртуални частни мрежи, позволяващ организиране на шифрована връзка между две клиентски машини или осигуряване на работа на централен VPN-сървър за едновременна работа на няколко клиента. Кодът на OpenVPN се разпространява под лицензия GPLv2, готовите бинарни пакети се създават за Debian, Ubuntu, CentOS, RHEL и Windows.

Основни нововъведения:

• Осигурена е поддръжка на неограничен брой връзки.
• Включен е модулът на ядрото ovpn-dco, който значително ускорява производителността. VPN. Ускорението се постига чрез преместване на всички операции по шифроване, обработка на пакети и управление на комуникационния канал в ядрото на Linux, което позволява да се избавим от разходите, свързани с контекстното превключване, предоставя възможност за оптимизация чрез директен достъп до вътрешните API на ядрото и изключва бавната предавка на данни между ядрото и пространството за потребители (шифрирането, декриптирането и маршрутизацията се извършват от модула без изпращане на трафика в обработвача в пространството за потребители).

  В проведените тестове в сравнение с конфигурацията на базата на интерфейса tun, използването на модула от страната на клиента и сървъра при използване на шифъра AES-256-GCM позволи постигане на увеличаване на пропускната способност с 8 пъти (от 370 Mbit/s на 2950 Mbit/s). При прилагане на модула само от страната на клиента, пропускната способност се увеличи три пъти за изходящия трафик и не се промени за входящия. При прилагане на модула само от страната на сървера, пропускната способност се увеличи 4 пъти за входящия трафик и с 35% за изходящия.
• Предоставлена возможность использования режима TLS с самоподписанными сертификатами (при применении опции «—peer-fingerprint» можно не указывать параметры «—ca» и «—capath» и обойтись без запуска PKI-сервера на базе Easy-RSA или похожего ПО).
• В UDP-сървъра е реализиран режим на съгласуване на връзката, базиран на Cookie, при който за идентификатор на сесията се използва Cookie на базата на HMAC, което позволява на сървъра да извършва верификация без запазване на състояние.
• Добавлена поддержка сборки с библиотекой OpenSSL 3.0. Добавлен параметр «—tls-cert-profile insecure» для выбора минимального уровня безопасности OpenSSL.
• Добавени са нови командни команди remote-entry-count и remote-entry-get за броене на външните свързвания и извеждане на техния списък.
• В процеса на съгласуване на ключовете, по-приоритетният метод за получаване на материал за генериране на ключове вече е механизма EKM (Exported Keying Material, RFC 5705), вместо специфичния механизъм OpenVPN PRF. За прилагане на EKM е необходима библиотека OpenSSL или mbed TLS 2.18+.
• Осигурена е съвместимост с OpenSSL в FIPS-режим, което позволява използването на OpenVPN на системи, отговарящи на изискванията за сигурност FIPS 140-2.
• В mlock е реализирана проверка за резервиране на достатъчно размер памет. При наличност под 100 MB RAM, за повишаване на лимита се извиква setrlimit().
• Добавлена опция «—peer-fingerprint» для проверки корректности или привязки сертификата по fingerprint-отпечатку на основе хэша SHA256, без применения tls-verify.
• Для скриптов предоставлена возможность отложенной (deferred) аутентификации, реализуемой при помощи опции «—auth-user-pass-verify». В скриптах и плагинах добавлена поддержка информирования клиента об ожидании (pending) аутентификации при применении отложенной аутентификации.
• Добавлен режим совместимости (—compat-mode), позволяющий подключаться к старым серверам, на которых используется OpenVPN 2.3.x или более старые версии.
• В списке, передаваемом через параметр «—data-ciphers», разрешено указание префикса «?» для определения необязательных шифров, которые будут задействованы только при наличии поддержки в SSL-библиотеката.
• Добавлена опция «—session-timeout» при помощи которой можно ограничить максимальное время сеанса.
• В конфигурационния файл е разрешено указването на име и парола чрез таговете <auth-user-pass></auth-user-pass>.
• Предоставлена возможность динамической настройки MTU клиента, на основе данных об MTU, переданных сервером. Для изменения максимального размера MTU добавлена опция «—tun-mtu-max» (по умолчанию 1600).
• Добавлен параметр «—max-packet-size» для определения максимального размера управляющих пакетов.
• Удалена поддержка режима запуска OpenVPN через inetd. Удалена опция ncp-disable. Объявлены устаревшими опция verify-hash и режим статических ключей (оставлен только TLS). В разряд устаревших переведены протоколы TLS 1.0 и 1.1 (параметр tls-version-min по умолчанию выставлен в значение 1.2). Удалена встроенная реализация генератора псевдослучайных чисел (—prng), следует использовать реализацию PRNG из криптобиблиотек mbed TLS или OpenSSL. Прекращена поддержка пакетного фильтра PF (Packet Filtering). По умолчанию отключено сжатие (—allow-compression=no).
• CHACHA20-POLY1305 е добавен в списъка с шифри по подразбиране.

Източник: opennet.ru