Disponible OpenVPN 2.6.0

Après deux ans et demi depuis la publication de la version 2.5, la version OpenVPN 2.6.0 a été préparée, un package pour la création de réseaux privés virtuels permettant d'organiser une connexion chiffrée entre deux machines clientes ou de faire fonctionner un serveur VPN centralisé pour permettre le fonctionnement simultané de plusieurs clients. Le code OpenVPN est distribué sous la licence GPLv2, des paquets binaires prêts sont formés pour Debian, Ubuntu, CentOS, RHEL et Windows.

Les principales nouveautés :

• Le support d'un nombre illimité de connexions est assuré.
• Le module noyau ovpn-dco est inclus, permettant d'accroître considérablement les performances. VPN. L'accélération est atteinte en déplaçant toutes les opérations de chiffrement, le traitement des paquets et la gestion du canal de communication du côté du noyau Linux, ce qui permet de se débarrasser des surcharges liées au changement de contexte, et permet d'optimiser le travail grâce à un accès direct aux API internes du noyau, tout en éliminant le transfert lent de données entre le noyau et l'espace utilisateur (le chiffrement, le déchiffrement et le routage sont effectués par le module sans envoyer le trafic au gestionnaire dans l'espace utilisateur).

  Lors de tests comparant la configuration basée sur l'interface tun, l'utilisation du module côté client et serveur avec le chiffrement AES-256-GCM a permis d'atteindre une augmentation de la bande passante de 8 fois (de 370 Mbit/s à 2950 Mbit/s). Lorsque le module est appliqué uniquement du côté du client, la bande passante a triplé pour le trafic sortant et est restée inchangée pour le trafic entrant. Avec le module appliqué uniquement du côté du serveur, la bande passante a quadruplé pour le trafic entrant et augmenté de 35 % pour le trafic sortant.
• La possibilité d'utiliser le mode TLS avec des certificats auto-signés a été offerte (en utilisant l'option «—peer-fingerprint», il n'est pas nécessaire de spécifier les paramètres «—ca» et «—capath» et il est possible de se passer du serveur PKI basé sur Easy-RSA ou d'un logiciel similaire).
• Le serveur UDP implémente un mode d'établissement de connexion basé sur les cookies, où un cookie basé sur HMAC est utilisé comme identifiant de session, permettant au serveur de procéder à la vérification sans conserver d'état.
• La prise en charge de la compilation avec la bibliothèque OpenSSL 3.0 a été ajoutée. Un paramètre «—tls-cert-profile insecure» a été ajouté pour sélectionner le niveau de sécurité minimale d'OpenSSL.
• De nouvelles commandes de gestion remote-entry-count et remote-entry-get ont été ajoutées pour compter le nombre de connexions externes et afficher leur liste.
• Lors de l'approbation des clés, la méthode de récupération la plus prioritaire pour la génération de clés est désormais le mécanisme EKM (Exported Keying Material, RFC 5705), au lieu du mécanisme spécifique d'OpenVPN PRF. L'utilisation d'EKM nécessite la bibliothèque OpenSSL ou mbed TLS 2.18+.
• La compatibilité avec OpenSSL en mode FIPS a été assurée, ce qui permet d'utiliser OpenVPN sur des systèmes satisfaisant aux exigences de sécurité FIPS 140-2.
• Dans mlock, une vérification de la réservation d'une taille de mémoire suffisante a été mise en œuvre. En cas de disponibilité de moins de 100 Mo de RAM, l'appel à setrlimit() est effectué pour augmenter la limite.
• Une option « --peer-fingerprint » a été ajoutée pour vérifier la validité ou l'association du certificat en fonction de l'empreinte par hachage SHA256, sans utiliser tls-verify.
• Pour les scripts, une possibilité d'authentification différée (deferred) a été mise en place grâce à l'option « --auth-user-pass-verify ». Dans les scripts et les plugins, la prise en charge de l'information au client sur l'attente (pending) d'authentification a été ajoutée lors de l'utilisation de l'authentification différée.
• Un mode de compatibilité (—compat-mode) a été ajouté, permettant de se connecter à de vieux serveurs exécutant OpenVPN 2.3.x ou des versions antérieures.
• Dans la liste transmise via le paramètre « --data-ciphers », il est maintenant permis d'indiquer le préfixe « ? » pour définir des chiffres optionnels qui seront activés seulement s'ils sont supportés par SSL-la bibliothèque.
• Une option « --session-timeout » a été ajoutée, permettant de limiter la durée maximale d'une session.
• Dans le fichier de configuration, il est permis d'indiquer un nom et un mot de passe à l'aide de la balise <auth-user-pass></auth-user-pass>.
• La possibilité de configurer dynamiquement le MTU du client, basée sur les données MTU fournies par le serveur, a été offerte. Pour modifier la taille maximale du MTU, une option « --tun-mtu-max » a été ajoutée (par défaut 1600).
• Un paramètre « --max-packet-size » a été ajouté pour définir la taille maximale des paquets de gestion.
• Le support du mode de démarrage OpenVPN via inetd a été supprimé. L'option ncp-disable a été retirée. Les options verify-hash et le mode de clés statiques sont désormais obsolètes (seul TLS est conservé). Les protocoles TLS 1.0 et 1.1 ont été déclarés obsolètes (le paramètre tls-version-min est par défaut réglé sur 1.2). L'implémentation intégrée du générateur de nombres pseudo-aléatoires (—prng) a été supprimée, il faut utiliser l'implémentation PRNG des bibliothèques cryptographiques mbed TLS ou OpenSSL. Le filtrage de paquets PF (Packet Filtering) n'est plus supporté. Par défaut, la compression est désactivée (—allow-compression=no).
• Le chiffre CHACHA20-POLY1305 a été ajouté à la liste des chiffres par défaut.

Source : opennet.ru