Dostupan OpenVPN 2.6.0

Nakon dva i pol godine od objavljivanja verzije 2.5, pripremljeno je izdanje OpenVPN 2.6.0, paketa za stvaranje virtualnih privatnih mreža koji omogućuje uspostavljanje šifrirane veze između dva klijentska računala ili omogućuje rad centraliziranog VPN poslužitelja za simultani rad više klijenata. OpenVPN kod se širi pod GPLv2 licencom, a gotovi binarni paketi se oblikuju za Debian, Ubuntu, CentOS, RHEL i Windows.

Glavne novine:

• Osigurana podrška za neograničen broj veza.
• U sastav uključen modul jezgre ovpn-dco, koji značajno povećava performanse. VPN. Povećanje se postiže premještanjem svih operacija šifriranja, obrade paketa i upravljanja komunikacijskim kanalom na stranu jezgre Linux, što omogućuje uklanjanje preklapanja povezano s prebacivanjem konteksta, omogućava optimizaciju rada putem izravnog pristupa unutrašnjim API-jima jezgre i isključuje sporu razmjenu podataka između jezgre i korisničkog prostora (šifriranje, dešifriranje i usmjeravanje obavlja modul bez slanja prometa u obradu u korisničkom prostoru).

  U provedenim testovima u usporedbi s konfiguracijom temeljenom na sučelju tun, primjena modula na strani klijenta i poslužitelja uz korištenje šifre AES-256-GCM omogućila je porast propusnosti u 8 puta (s 370 Mbit/s na 2950 Mbit/s). Uz primjenu modula samo na strani klijenta, propusnost se povećala tri puta za odlazni promet i nije se promijenila za ulazni. Uz primjenu modula samo na strani poslužitelja, propusnost se povećala četiri puta za ulazni promet i za 35% za odlazni.
• Omogućena je mogućnost korištenja TLS moda s samo-potpisanim certifikatima (uz korištenje opcije "--peer-fingerprint", možete izostaviti parametre "--ca" i "--capath" i izbjeći pokretanje PKI poslužitelja temeljenog na Easy-RSA ili sličnom softveru).
• U UDP poslužitelju implementiran je način dogovora veze temeljen na kolačićima, pri čemu se kolačić temeljen na HMAC-u koristi kao identifikator sesije, što omogućuje poslužitelju provjeru bez očuvanja stanja.
• Dodana podrška za kompilaciju s knjižnicom OpenSSL 3.0. Dodan je parametar "--tls-cert-profile insecure" za odabir minimalne razine sigurnosti OpenSSL.
• Dodane su nove upravljačke naredbe remote-entry-count i remote-entry-get za prebrojavanje vanjskih veza i ispisivanje njihove liste.
• Tijekom dogovaranja ključeva, prioritetnija metoda dobivanja materijala za generiranje ključeva sada je mehanizam EKM (Eksportirani ključni materijal, RFC 5705) umjesto specifičnog mehanizma OpenVPN PRF. Za primjenu EKM potrebna je OpenSSL biblioteka ili mbed TLS 2.18+.
• Osigurana je kompatibilnost s OpenSSL u FIPS modu, što omogućava korištenje OpenVPN-a na sustavima koji zadovoljavaju sigurnosne zahtjeve FIPS 140-2.
• U mlocku je implementirana provjera rezervacije dovoljne veličine memorije. Kada je dostupno manje od 100 MB RAM-a, poziva se setrlimit() za povećanje limita.
• Dodana je opcija „—peer-fingerprint“ za provjeru ispravnosti ili vezu certifikata prema fingerprint-u temeljenom na SHA256 hash-u, bez primjene tls-verify.
• Za skripte je omogućena odgođena (deferred) autentifikacija, koja se implementira pomoću opcije „—auth-user-pass-verify“. U skriptama i pluginima dodana je podrška za obavještavanje klijenta o čekanju (pending) autentifikacije kada se primijeni odgođena autentifikacija.
• Dodano je kompatibilno stanje (—compat-mode) koje omogućava povezivanje sa starim poslužiteljima koji koriste OpenVPN 2.3.x ili starije verzije.
• Na listi koja se šalje putem parametra „—data-ciphers“, dopušteno je korištenje prefiksa „?“ za određivanje opcionalnih šifri koje će se koristiti samo uz podršku u SSL-biblioteci.
• Dodana je opcija „—session-timeout“ kojom se može ograničiti maksimalno trajanje sesije.
• U konfiguracijskoj datoteci dopušteno je navođenje imena i lozinke pomoću taga .
• Omogućena je dinamička prilagodba MTU klijenta, na temelju MTU podataka koje prima od poslužitelja. Za promjenu maksimalne veličine MTU dodana je opcija „—tun-mtu-max“ (zadano 1600).
• Dodana je opcija „—max-packet-size“ za određivanje maksimalne veličine kontrolnih paketa.
• Podrška za pokretanje OpenVPN preko inetd uklonjena je. Opcija ncp-disable je također eliminirana. Opcije verify-hash i način statičkih ključeva proglašeni su zastarjelima (ostavljena je samo TLS). Protokoli TLS 1.0 i 1.1 su prebačeni u status zastarjelih (parametar tls-version-min je po defaultu postavljen na 1.2). Uklonjena je ugrađena implementacija generatora pseudo-slučajnih brojeva (—prng), treba koristiti PRNG implementaciju iz kriptobiblioteka mbed TLS ili OpenSSL. Podrška za paketni filtriranje PF (Packet Filtering) je prekinuta. Po defaultu je isključeno komprimiranje (—allow-compression=no).
• Na popis šifri po defaultu dodan je CHACHA20-POLY1305.

Izvor: opennet.ru