Beskikber OpenVPN 2.6.0

Nei twa en in heal jier sûnt de publikaasje fan 'e 2.5-tûke is de release klear OpenVPN 2.6.0, in pakket foar it meitsjen fan firtuele privee netwurken wêrmei jo in fersifere ferbining tusken twa kliïntmasines kinne organisearje of in sintralisearre VPN-tsjinner kinne leverje foar de simultane operaasje fan ferskate kliïnten. Koade OpenVPN ferspraat ûnder de GPLv2-lisinsje, wurde klearmakke binêre pakketten generearre foar Debian, Ubuntu, CentOS, RHEL en Windows.

Wichtichste ynnovaasjes:

• Biedt stipe foar in ûnbeheind oantal ferbinings.
• De ovpn-dco kernelmodule is ynbegrepen, wat in wichtige prestaasjefersnelling mooglik makket. VPN. Ускорение достигается за счёт выноса всех операций шифрования, обработки пакетов и управления каналом связи на сторону ядра Linux, что позволяет избавиться от накладных расходов, связанных с переключением контекста, даёт возможность оптимизировать работу за счёт прямого обращения к внутренним API ядра и исключает медленную передачу данных между ядром и пространством пользователя (шифрование, расшифровка и маршрутизация выполняется модулем без отправки трафика в обработчик в пространстве пользователя).

  Yn 'e útfierde testen, yn fergeliking mei de konfiguraasje basearre op' e tun-ynterface, makke it gebrûk fan 'e module oan' e kliïnt- en serverkanten mei it AES-256-GCM-siffer it mooglik om in 8-fâldige ferheging fan trochput te berikken (fan 370 Mbit/s oant 2950 Mbit/s). By it brûken fan de module allinnich oan de kliïnt kant, de trochstreaming ferhege trije kear foar útgeande ferkear en net feroare foar ynkommende ferkear. By it brûken fan de module allinnich oan de tsjinner kant, trochfier ferhege mei 4 kear foar ynkommende ferkear en mei 35% foar útgeande ferkear.
• It is mooglik om TLS-modus te brûken mei sels-ûndertekene sertifikaten (by it brûken fan de opsje "-peer-fingerprint", kinne jo de parameters "-ca" en "-capath" weilitte en foarkomme dat jo in PKI-tsjinner útfiere basearre op Easy-RSA of ferlykbere software).
• De UDP-tsjinner ymplementearret in Cookie-basearre ferbiningsûnderhannelingsmodus, dy't in HMAC-basearre Cookie brûkt as sesje-identifikaasje, wêrtroch de tsjinner steatleaze ferifikaasje kin útfiere.
• Stipe tafoege foar bouwen mei de OpenSSL 3.0-bibleteek. Added "--tls-cert-profile insecure" opsje om it minimale OpenSSL-befeiligingsnivo te selektearjen.
• Nije kontrôlekommando's tafoege remote-entry-count en remote-entry-get om it oantal eksterne ferbiningen te tellen en in list derfan te sjen.
• В процессе согласования ключей более приоритетным методом получения материала для генерации ключей теперь является механизм EKM (Exported Keying Material, RFC 5705), вместо специфичного механизма OpenVPN PRF. Для применения EKM требуется библиотека OpenSSL или mbed TLS 2.18+.
• Обеспечена совместимость с OpenSSL в FIPS-режиме, что позволяет использовать OpenVPN на системах, удовлетворяющих требованиям безопасности FIPS 140-2.
• mlock útfiert in sjek om te soargjen dat genôch ûnthâld wurdt reservearre. As minder as 100 MB RAM beskikber is, wurdt setrlimit () neamd om de limyt te fergrutsjen.
• De opsje "--peer-fingerprint" tafoege om de jildigens of bining fan in sertifikaat te kontrolearjen mei in fingerprint basearre op de SHA256-hash, sûnder tls-verify te brûken.
• Skripten wurde foarsjoen fan de opsje fan útstelde autentikaasje, ymplementearre mei de opsje "-auth-user-pass-verify". Stipe foar it ynformearjen fan de kliïnt oer wachtjende autentikaasje by it brûken fan útstelde autentikaasje is tafoege oan skripts en plugins.
• Добавлен режим совместимости (—compat-mode), позволяющий подключаться к старым серверам, на которых используется OpenVPN 2.3.x или более старые версии.
• De list dy't trochjûn wurdt fia de parameter "--data-ciphers" lit it foarheaksel "?" ta om opsjonele sifers op te jaan dy't allinich brûkt wurde as se stipe wurde. SSL-biblioteek.
• Tafoege opsje "-session-timeout" wêrmei jo de maksimale sesjetiid kinne beheine.
• It konfiguraasjetriem lit it opjaan fan in namme en wachtwurd mei de tag .
• De mooglikheid om de MTU fan 'e kliïnt dynamysk te konfigurearjen wurdt levere, basearre op' e MTU-gegevens oerdroegen troch de tsjinner. Om de maksimale MTU-grutte te feroarjen, is de opsje "-tun-mtu-max" tafoege (standert is 1600).
• Added "--max-packet-size" parameter om de maksimale grutte fan kontrôlepakketten te definiearjen.
• Удалена поддержка режима запуска OpenVPN через inetd. Удалена опция ncp-disable. Объявлены устаревшими опция verify-hash и режим статических ключей (оставлен только TLS). В разряд устаревших переведены протоколы TLS 1.0 и 1.1 (параметр tls-version-min по умолчанию выставлен в значение 1.2). Удалена встроенная реализация генератора псевдослучайных чисел (—prng), следует использовать реализацию PRNG из криптобиблиотек mbed TLS или OpenSSL. Прекращена поддержка пакетного фильтра PF (Packet Filtering). По умолчанию отключено сжатие (—allow-compression=no).
• CHACHA20-POLY1305 tafoege oan de standert siferlist.

Boarne: opennet.ru