Dopo due anni e mezzo dalla pubblicazione della versione 2.5, è stato preparato il rilascio di OpenVPN 2.6.0, un pacchetto per la creazione di reti private virtuali che consente di stabilire una connessione crittografata tra due macchine client o di configurare un server VPN centralizzato per il funzionamento simultaneo di più client. Il codice di OpenVPN è distribuito sotto la licenza GPLv2, pacchetti binari pronti sono disponibili per Debian, Ubuntu, CentOS, RHEL e Windows.
Novità principali:
- È garantito il supporto per un numero illimitato di connessioni.
- È incluso un modulo del kernel ovpn-dco, che consente di aumentare notevolmente le prestazioni. VPN. Il miglioramento delle prestazioni si ottiene spostando tutte le operazioni di crittografia, elaborazione dei pacchetti e gestione del canale di comunicazione nel kernel Linux, il che elimina gli overhead legati al cambio di contesto, ottimizza il funzionamento tramite l'accesso diretto alle API interne del kernel e elimina il lento trasferimento di dati tra kernel e spazio utente (la crittografia, la decrittografia e il routing sono effettuati dal modulo senza inviare il traffico al gestore nello spazio utente).
Nei test effettuati rispetto a una configurazione basata sull'interfaccia tun, l'uso del modulo sia lato client che server con la crittografia AES-256-GCM ha consentito di ottenere un aumento della larghezza di banda di 8 volte (da 370 Mbit/s a 2950 Mbit/s). Utilizzando il modulo solo lato client, la larghezza di banda è triplicata per il traffico in uscita e non è cambiata per quello in entrata. Utilizzando il modulo solo lato server, la larghezza di banda è aumentata di 4 volte per il traffico in entrata e del 35% per quello in uscita.
- È stata fornita la possibilità di utilizzare la modalità TLS con certificati autofirmati (se si utilizza l'opzione «—peer-fingerprint», non è necessario specificare i parametri «—ca» e «—capath» e si può fare a meno dell'esecuzione di un server PKI basato su Easy-RSA o software simile).
- Nel server UDP è implementata una modalità di negoziazione della connessione basata su Cookie, in cui viene utilizzato un Cookie basato su HMAC come identificatore di sessione, il che consente al server di effettuare la verifica senza mantenere lo stato.
- È stato aggiunto il supporto per la compilazione con la libreria OpenSSL 3.0. È stato aggiunto il parametro «—tls-cert-profile insecure» per scegliere il livello di sicurezza minimo di OpenSSL.
- Sono stati aggiunti nuovi comandi di gestione remote-entry-count e remote-entry-get per contare il numero di connessioni esterne e visualizzarne l'elenco.
- Nel processo di negoziazione delle chiavi, il metodo di acquisizione dei materiali per la generazione delle chiavi più prioritario è ora il meccanismo EKM (Exported Keying Material, RFC 5705), al posto del meccanismo specifico OpenVPN PRF. Per utilizzare EKM è necessaria la libreria OpenSSL o mbed TLS 2.18+.
- È stata garantita la compatibilità con OpenSSL in modalità FIPS, che consente di utilizzare OpenVPN su sistemi che soddisfano i requisiti di sicurezza FIPS 140-2.
- In mlock è stata implementata una verifica della riservazione di una dimensione di memoria adeguata. Con meno di 100 MB di RAM disponibile, viene effettuata una chiamata a setrlimit() per aumentare il limite.
- È stata aggiunta l'opzione "--peer-fingerprint" per verificare la correttezza o l'associazione del certificato tramite l'impronta digitale basata su hash SHA256, senza utilizzare tls-verify.
- Per gli script è stata fornita la possibilità di autenticazione differita (deferred), implementabile tramite l'opzione "--auth-user-pass-verify". Gli script e i plugin ora supportano la notifica al cliente sull'attesa (pending) dell'autenticazione in caso di utilizzo dell'autenticazione differita.
- È stata aggiunta una modalità di compatibilità (—compat-mode) che consente di connettersi a server più vecchi che utilizzano OpenVPN 2.3.x o versioni precedenti.
- Nell'elenco trasmesso tramite il parametro "--data-ciphers", è stato consentito di specificare il prefisso "?" per indicare i cifrari opzionali che verranno utilizzati solo se supportati nella SSL-libreria.
- È stata aggiunta l'opzione "--session-timeout" attraverso la quale è possibile limitare il tempo massimo di sessione.
- Nel file di configurazione è stata consentita la specifica di nome e password tramite il tag .
- È stata fornita la possibilità di configurare dinamicamente l'MTU del client, sulla base dei dati MTU forniti dal server. È stata aggiunta l'opzione "--tun-mtu-max" per cambiare la dimensione massima del MTU (default 1600).
- È stato aggiunto il parametro "--max-packet-size" per definire la dimensione massima dei pacchetti di controllo.
- È stata rimossa la supporto per l'avvio di OpenVPN tramite inetd. Rimossa l'opzione ncp-disable. L'opzione verify-hash e la modalità chiavi statiche sono state dichiarate obsolete (è rimasta solo TLS). I protocolli TLS 1.0 e 1.1 sono stati considerati obsoleti (il parametro tls-version-min è impostato per default su 1.2). È stata rimossa l'implementazione integrata del generatore di numeri casuali (—prng), è necessario utilizzare l'implementazione PRNG dalle librerie crittografiche mbed TLS o OpenSSL. È stata interrotta la supporto per il filtro pacchetti PF (Packet Filtering). Per default la compressione è disattivata (—allow-compression=no).
- È stato aggiunto CHACHA20-POLY1305 alla lista dei cifrari di default.
Fonte: opennet.ru
