Nakon dvije i pol godine od objave grane 2.5, izdanje je spremno. OpenVPN 2.6.0, paket za stvaranje virtualnih privatnih mreža koji vam omogućuje organiziranje šifrirane veze između dva klijentska računala ili pružanje centraliziranog VPN poslužitelja za istovremeni rad nekoliko klijenata. Kod OpenVPN distribuira se pod GPLv2 licencom, generiraju se gotovi binarni paketi za Debian, Ubuntu, CentOS, RHEL i Windows.
Glavne inovacije:
- Pruža podršku za neograničeni broj veza.
- Uključen je kernel modul ovpn-dco koji omogućuje značajno ubrzanje performansi. VPNUbrzanje se postiže premještanjem svih operacija šifriranja, obrade paketa i upravljanja komunikacijskim kanalima na stranu kernela. Linux, što eliminira opterećenje povezano s promjenom konteksta, omogućuje optimizaciju izravnim pristupom internim API-jima kernela i eliminira spor prijenos podataka između kernela i korisničkog prostora (šifriranje, dešifriranje i usmjeravanje izvodi modul bez slanja prometa rukovatelju korisničkim prostorom).
U provedenim testovima, u usporedbi s konfiguracijom temeljenom na tun sučelju, upotreba modula na strani klijenta i poslužitelja pomoću šifre AES-256-GCM omogućila je postizanje 8-strukog povećanja propusnosti (od 370 Mbit/s do 2950 Mbit/s). Kada se modul koristi samo na strani klijenta, propusnost se utrostručila za odlazni promet i nije se promijenila za dolazni promet. Kada se modul koristi samo na strani poslužitelja, propusnost se povećala za 4 puta za dolazni promet i za 35% za odlazni promet.
- Moguće je koristiti TLS način rada sa samopotpisanim certifikatima (kada koristite opciju "-peer-fingerprint", možete izostaviti parametre "-ca" i "-capath" i izbjeći pokretanje PKI poslužitelja temeljenog na Easy-RSA ili sličan softver).
- UDP poslužitelj implementira način pregovaranja veze temeljen na kolačićima, koji koristi kolačić temeljen na HMAC-u kao identifikator sesije, dopuštajući poslužitelju da izvrši provjeru bez stanja.
- Dodana podrška za izgradnju s bibliotekom OpenSSL 3.0. Dodana je opcija "--tls-cert-profile insecure" za odabir minimalne razine sigurnosti OpenSSL-a.
- Dodane su nove kontrolne naredbe remote-entry-count i remote-entry-get za brojanje vanjskih veza i prikaz njihovog popisa.
- Tijekom procesa dogovora o ključu, preferirana metoda za dobivanje materijala za generiranje ključeva sada je mehanizam EKM (Exported Keying Material, RFC 5705), umjesto specifičnog mehanizma. OpenVPN PRF. Korištenje EKM-a zahtijeva OpenSSL biblioteku ili mbed TLS 2.18+.
- Omogućena je kompatibilnost s OpenSSL-om u FIPS načinu rada, što omogućuje korištenje OpenVPN na sustavima koji zadovoljavaju sigurnosne zahtjeve FIPS 140-2.
- mlock provodi provjeru kako bi osigurao da je rezervirano dovoljno memorije. Kada je dostupno manje od 100 MB RAM-a, poziva se setrlimit() da poveća ograničenje.
- Dodana je opcija “--peer-fingerprint” za provjeru valjanosti ili povezivanja certifikata pomoću otiska prsta na temelju SHA256 hash-a, bez upotrebe tls-verify.
- Skripte su opremljene opcijom odgođene provjere autentičnosti, implementiranom pomoću opcije “-auth-user-pass-verify”. Podrška za informiranje klijenta o provjeri autentičnosti na čekanju kada se koristi odgođena autentifikacija dodana je skriptama i dodacima.
- Dodan je način kompatibilnosti (--compat-mode) kako bi se omogućilo povezivanje sa starijim poslužiteljima koji koriste OpenVPN 2.3.x ili starije verzije.
- Popis proslijeđen putem parametra "--data-ciphers" omogućuje prefiksu "?" da odredi opcionalne šifre koje će se koristiti samo ako su podržane. SSL-knjižnica.
- Dodana opcija “-session-timeout” s kojom možete ograničiti maksimalno vrijeme sesije.
- Konfiguracijska datoteka omogućuje određivanje imena i lozinke pomoću oznake .
- Omogućena je mogućnost dinamičke konfiguracije klijentovog MTU-a na temelju MTU podataka koje šalje poslužitelj. Za promjenu maksimalne MTU veličine dodana je opcija “—tun-mtu-max” (zadano je 1600).
- Dodan je parametar "--max-packet-size" za definiranje maksimalne veličine kontrolnih paketa.
- Uklonjena je podrška za način pokretanja OpenVPN putem inetd-a. Opcija ncp-disable je uklonjena. Opcija verify-hash i način rada statičkog ključa su zastarjeli (zadržava se samo TLS). TLS 1.0 i 1.1 su zastarjeli (parametar tls-version-min sada je prema zadanim postavkama postavljen na 1.2). Ugrađeni generator pseudoslučajnih brojeva (--prng) je uklonjen; treba koristiti PRNG implementaciju iz mbed TLS ili OpenSSL kripto biblioteka. Podrška za filtriranje paketa (PF) je ukinuta. Kompresija je prema zadanim postavkama onemogućena (--allow-compression=no).
- Dodan CHACHA20-POLY1305 na zadani popis šifri.
Izvor: opennet.ru
