Saadaval on OpenVPN 2.6.0

Kaks ja pool aastat pärast 2.5 versiooni väljaandmist on valminud OpenVPN 2.6.0, virtuaalsete privaatvõrkude loomise pakett, mis võimaldab korraldada krüpteeritud ühendust kahe kliendi masina vahel või tagada keskse VPN-serveri töö, mille kaudu saavad samal ajal ühenduda mitmed kliendid. OpenVPN'i kood on litsentseeritud GPLv2 all, valmis binaarpaketid on loodud Debianile, Ubuntu, CentOS-le, RHEL-ile ja Windowsile.

Peamised uuendused:

• Tugiteenuste arv ei ole piiratud.
• Komplekti kuulub tuumamoodul ovpn-dco, mis võimaldab oluliselt kiirendada jõudlust. VPN. Kiirus tõuseb, kuna kõik krüpteerimise, pakettide töötlemise ja sidekanali haldamise toimingud viiakse Linuxi tuumale, mis võimaldab vähendada konteksti vahetamisega seotud kulusid, optimeerida tööd läbi otsekontakte tuuma sisemiste API-dega ja välistada andmete aeglane edastamine tuuma ja kasutajaruumi vahel (krüpteerimine, dekrüpteerimine ja marsruutimine toimub moduli kaudu ilma andmete edastamiseta kasutajaruumi töötleja kaudu).

  Teostatud testide tulemused näitavad, et võrreldes tun-põhise konfiguratsiooniga lõi kliendi ja serveri poolel moduli kasutamine AES-256-GCM krüptoliidese kasutamisel 8-kordse ribalaiuse kasvu (370 Mbit/s-lt 2950 Mbit/s-le). Kui moodulit kasutatakse ainult kliendi poolel, suurenes väljuva liikluse ribalaius kolm korda ning sissetuleva liikluse ribalaius jäi samaks. Kui moodulit kasutatakse ainult serveri poolel, kasvas sissetuleva liikluse ribalaius neli korda ja väljuva liikluse ribalaius 35% võrra.
• Lisatud on võimalus kasutada TLS-režiimi enda allkirjastatud sertifikaatidega (kasutades valikut "—peer-fingerprint" ei ole vaja määrata "—ca" ja "—capath" parameetreid ning saab vältida PKI-serveri käivitamist Easy-RSA või sarnase tarkvara põhjal).
• UDP-serveris on rakendatud ühenduse loomise kokkuleppe režiim Cookie põhjal, mille raames kasutatakse seansi identifikaatorina HMAC-põhist Cookie'd, mis võimaldab serveril kinnitust teostada ilma oleku säilitamiseta.
• Lisatud on tugi OpenSSL 3.0 raamatukoguga koostamiseks. Lisatud on parameeter "—tls-cert-profile insecure", et valida OpenSSL-i minimaalset turvataset.
• Uued kaugjuhtimiskäsklused remote-entry-count ja remote-entry-get on lisatud väliste ühenduste arvu lugemiseks ja nende nimekirja kuvamiseks.
• Klõpsude kokkuleppimise protsessis on nüüd prioriteetsem meetod võtmete genereerimise materjali hankimiseks EKM (Exported Keying Material, RFC 5705) mehhanism, mitte OpenVPN PRF spetsiifiline mehhanism. EKM-i kasutamiseks on vajalik OpenSSL või mbed TLS 2.18+ teek.
• Tagatud on OpenSSL-i FIPS-režiimis ühilduvus, mis võimaldab OpenVPN-i kasutada süsteemides, mis vastavad FIPS 140-2 turvanõuetele.
• Mlock-s on rakendatud mälureserveerimise suuruse kontrollimine. Kui RAM-i on alla 100 MB, toimub piiride tõstmiseks setrlimit() kutsumine.
• Lisatud on valik «—peer-fingerprint» sertifikaadi kehtivuse kontrollimiseks või sidumiseks SHA256 hash'i põhjal, ilma tls-verify kasutamata.
• Skriptide jaoks on rakendatud edasilükatud (deferred) autentimise võimalus valiku «—auth-user-pass-verify» abil. Skriptides ja pistikprogrammides on lisatud tugi kliendi teavitamiseks edasilükatud autentimise ooteolekust.
• Lisatud ühilduvusrežiim (—compat-mode), mis võimaldab ühendada vanade serveritega, millel on OpenVPN 2.3.x või vanemad versioonid.
• Parameetri «—data-ciphers» kaudu edastatavas loendis on lubatud kasutada prefiksina «?», et määratleda valikulised šifrimeetodid, mis aktiveeritakse ainult juhul, kui neid toetatakse. SSL-teegis.
• Lisatud on valik «—session-timeout», millega saab piirata seansi maksimaalset aega.
• Konfiguratsioonifailis on lubatud kasutada nime ja parooli määramiseks märgendit <auth-user-pass></auth-user-pass>.
• Kliendi MTU dünaamilise seadistamise võimalus põhineb serverilt saadud MTU andmetel. MTU maksimaalse suuruse muutmiseks on lisatud valik «—tun-mtu-max» (vaikimisi 1600).
• Lisatud on parameeter «—max-packet-size» maksimaalse juhtpaketi suuruse määramiseks.
• OpenVPN käivitamisrežiimi toe tugi inetd kaudu on eemaldatud. Valik ncp-disable on eemaldatud. Valikud verify-hash ja staatiliste võtmete režiim on kuulutatud vananenuks (ainult TLS on alles). Protokollid TLS 1.0 ja 1.1 on ümber määratud vananenuks (vaikesätte tls-version-min väärtus on nüüd 1.2). Sisseehitatud pseudojuhuslike arvude generaatori teostus (—prng) on eemaldatud, kasutada tuleks PRNG teostust krüptokraafia raamatukogudest mbed TLS või OpenSSL. PF (Packet Filtering) pakettfilteri toetus on lõpetatud. Vaikesätteks on välja lülitatud pakkimine (—allow-compression=no).
• Vaikesalvestusse on lisatud CHACHA20-POLY1305.

Allikas: opennet.ru