Po třech letech od vydání verze 2.6 byl připraven release OpenVPN 2.7.0, balíčku pro vytváření virtuálních soukromých sítí, který umožňuje šifrované spojení mezi dvěma klientskými stroji nebo zajišťuje provoz centralizovaného VPN serveru pro současnou práci několika klientů. Kód OpenVPN je distribuován pod licencí GPLv2, hotové binární balíčky jsou připravovány pro Debian, Ubuntu, CentOS, RHEL a Windows.
Hlavní novinky:
- Na VPN-serverech se objevila možnost otevírat několik socketů pro příjem spojení, například pro současné přijímání spojení přes UDP a TCP nebo na různých síťových portech.
- Byl proveden přechod na používání nové verze modulu DCO, který je součástí jádra Linux 6.16. Modul obsažený v jádru má pozměněné API a dodává se pod názvem „ovpn“. Podpora starého modulu ovpn-dco byla ukončena. Modul přenáší operace šifrování, zpracování paketů a řízení komunikačního kanálu do jádra Linuxu a umožňuje odstranit režijní náklady spojené se změnou kontextu, což umožňuje optimalizovat práci díky přímému přístupu k interním API jádra a vylučuje pomalý přenos dat mezi jádrem a uživatelským prostorem (šifrování, dešifrování a směrování provádí modul bez odesílání provozu do zpracovatele v uživatelském prostoru).
- Ve verzi pro Windows: ve WFP filtrech byl aktivován příznak block-local; byla zajištěna generace dodatečných síťových rozhraní dle potřeby; bylo zajištěno spouštění automatických služeb pod neprivilegovaným uživatelským účtem; pro práci s nastaveními DNS byl využit NRPT (Name Resolution Policy Table); bylo povoleno používání ovladače win-dco pro urychlení VPN serverů.
- Byl představen nový formát klíčů a paketů „epoch“, který na rozdíl od standardního formátu „DATA_V2“ přidává tag AEAD na konec paketu, automaticky aktualizuje klíče při dosažení limitu jejich využití, má 64bitové identifikátory paketů, používá operaci XOR při vytváření inicializačního vektoru.
- Byla přidána podpora lwipovpn — emulátoru síťových rozhraní tun/tap v uživatelském prostoru, realizovaného na základě TCP/IP zásobníku lwIP. Pomocí volby „—dev-node unix:/path/to/lwipovpn“ lze emulovat plnohodnotného VPN klienta na stejném systému pro testování a ladění OpenVPN.
- Byla přidána možnost aktualizovat část nastavení klienta (IP, směrování, MTU, DNS) prostřednictvím odeslání serverem ovládacích zpráv PUSH_UPDATE.
- Do openVPN klienta pro Linux, BSD a macOS byla přidána volba „—dns-updown“ pro spuštění skriptu na použití nastavení DNS, odeslaného serverem. Skript podporuje nastavení přes /etc/resolv.conf, systemd nebo resolveconf.
- Pro platformu Linux byla přidána volba „—route-table“ pro použití určených uživatelských směrovacích tabulek.
- Byla implementována podpora větve mbedTLS 4. Přidána podpora TLS 1.3 v konfiguracích s kryptografickou knihovnou mbedTLS.
- Byla přidána podpora operačního systému Haiku.
- Byla ukončena podpora režimu práce se statickými klíči (je třeba použít režim TLS), NTLMv1, Windows ovladače wintun, OpenSSL 1.0.2, mbedTLS 2.x, komprese dat před odesláním, voleb „—memstats“ a „—opt-verify“.
Zdroj: opennet.ru
