Két és fél évvel a 2.5-ös ágazat kiadása után elkészült az OpenVPN 2.6.0 kiadása, amely egy virtuális magánhálózatok létrehozására szolgáló csomag. Ez lehetővé teszi egy titkosított kapcsolat létrehozását két kliensgép között, vagy egy központosított VPN-szerver működtetését, amely egyszerre több kliens számára biztosít szolgáltatást. Az OpenVPN kódja GPLv2 licenc alatt terjesztett, a kész bináris csomagok Debian, Ubuntu, CentOS, RHEL és Windows rendszerekre készülnek.
Főbb újítások:
- Támogatott a korlátlan számú kapcsolat biztosítása.
- Beépítésre került az ovpn-dco kernelfelület, amely jelentősen felgyorsítja a teljesítményt. VPNA sebességnövekedés azt eredményezi, hogy minden titkosítási, csomagfeldolgozási és kapcsolati vezérlési művelet a Linux kernel oldalára került, így csökkenthető a kontextusváltással járó költség, lehetővé téve a munkafolyamatok optimalizálását közvetlenül a kernel belső API-jaihoz való hozzáféréssel, és megszüntetve a lassú adatátvitelt a kernel és a felhasználói tér között (a titkosítást, dekódolást és útválasztást a modul végzi anélkül, hogy a forgalmat a felhasználói térbeli feldolgozóba küldené).
A végzett tesztek során a tun interfész alapú konfigurációhoz képest a modul ügyfél és szerver oldalán történő használata AES-256-GCM titkosítással nyolcszoros, 370 Mbit/s-ról 2950 Mbit/s-ra történő sávszélességnövelést eredményezett. Ha a modult csak az ügyfélnél alkalmazták, a sávszélesség háromszorosára nőtt a kimenő forgalomban, és a bejövő forgalomban nem változott. A modul szerver oldali alkalmazásával a sávszélesség négyszeresére nőtt a bejövő forgalomban, és 35%-kal a kimenő forgalomban.
- Lehetőség nyílik a TLS mód használatára önállóan aláírt tanúsítványokkal (a «—peer-fingerprint» opció használatakor a «—ca» és «—capath» paraméterek megadása elhagyható, és nem szükséges az Easy-RSA vagy hasonló szoftverek kínálatából származó PKI-szerver futtatása).
- Az UDP-szerverben megvalósítva a Cookie-alapú kapcsolódási képesítési mód, amelyben a munkamenet azonosító Cookie nagy teljesítményű HMAC-ból áll, lehetővé téve a szerver számára a verifikációt állapot mentése nélkül.
- Támogatás került bevezetésre az OpenSSL 3.0 könyvtárral való összeállításhoz. Új paraméter került hozzáadásra: «—tls-cert-profile insecure» a minimális OpenSSL biztonsági szint kiválasztásához.
- Új távoli parancsok, a remote-entry-count és a remote-entry-get kerültek bevezetésre, amelyek a külső kapcsolatok számára számolására és listájuk megjelenítésére szolgálnak.
- A kulcsok összehangolásakor a generálás anyagának megszerzésére mostantól a prioritást élvező módszer az EKM (Exported Keying Material, RFC 5705) mechanizmus, ahelyett, hogy az OpenVPN PRF specifikus mechanizmusát használnák. Az EKM alkalmazásához OpenSSL vagy mbed TLS 2.18+ könyvtár szükséges.
- Biztosított a kompatibilitás az OpenSSL FIPS üzemmódban, lehetővé téve az OpenVPN használatát olyan rendszereken, amelyek megfelelnek a FIPS 140-2 biztonsági követelményeinek.
- Az mlock megvalósította a megfelelő méretű memória lefoglalásának ellenőrzését. Ha a rendelkezésre álló memória kevesebb mint 100 MB, a korlát növelése érdekében a setrlimit() hívása történik.
- Hozzáadva a „—peer-fingerprint” opció a tanúsítvány helyességének vagy a SHA256 hash-alapú ujjlenyomat alapján történő kötés ellenőrzéséhez tls-verify alkalmazása nélkül.
- A szkriptek számára lehetőség van késleltetett (deferred) hitelesítésre, amelyet a „—auth-user-pass-verify” opcióval valósítanak meg. A szkriptekben és bővítményekben hozzáadták a támogatást az ügyfél tájékoztatására a várakozó (pending) hitelesítésről, amikor késleltetett hitelesítést alkalmaznak.
- Hozzáadva a kompatibilitási mód (—compat-mode), amely lehetővé teszi a csatlakozást régi szerverekhez, ahol az OpenVPN 2.3.x vagy annál régebbi verziók futnak.
- A „—data-ciphers” paraméterrel átadott listában engedélyezett a „?” előtag megadása, amely a nem kötelező titkosítók megjelölésére szolgál, amelyek csak amennyiben a SSL-könyvtárban támogatottak, érvényesülnek.
- Hozzáadva a „—session-timeout” opció, amellyel korlátozható a maximális munkamenet időtartama.
- A konfigurációs fájlban megengedett a név és jelszó megadása a <auth-user-pass></auth-user-pass> tag segítségével.
- Lehetőség van a kliens MTU dinamikus beállítására, a szerver által továbbított MTU adatok alapján. A maximális MTU méret módosításához hozzáadták a „—tun-mtu-max” opciót (alapértelmezett 1600).
- Hozzáadva a „—max-packet-size” paraméter a vezérlőcsomagok maximális méretének meghatározásához.
- Eltávolították az OpenVPN indítási mód támogatását inetd-n keresztül. Eltávolították az ncp-disable opciót. Elavultnak nyilvánították a verify-hash opciót és a statikus kulcsok üzemmódot (csak a TLS maradt). Az 1.0 és 1.1 TLS protokollok elavultnak számítanak (a tls-version-min paraméter alapértelmezett értéke 1.2). A beépített pszeudóvéletlenszám-generátor (—prng) támogatása megszűnt, a mbed TLS vagy OpenSSL kriptokönyvtárak PRNG megvalósítását kell használni. Megszűnt a PF (Packet Filtering) csomagszűrő támogatása. Az alapértelmezett beállítás a tömörítés ki- (—allow-compression=no) van kapcsolva.
- A CHACHA20-POLY1305 titkosítás hozzá lett adva az alapértelmezett titkosítók listájához.
Forrás: opennet.ru
