2.5 ဌာနခွဲကို ထုတ်ဝေပြီး နှစ်နှစ်ခွဲကြာပြီးနောက်၊ OpenVPN 2.6.0 ထုတ်ဝေမှုကို ပြင်ဆင်ခဲ့ပြီး၊ ကလိုင်းယင့်စက်နှစ်ခုကြားတွင် ကုဒ်ဝှက်ထားသော ချိတ်ဆက်မှုကို စုစည်းရန် သို့မဟုတ် ဗဟိုချုပ်ကိုင်ထားသော VPN ဆာဗာကို ပံ့ပိုးပေးသည့် ပကတိလျှို့ဝှက်ကွန်ရက်များကို ဖန်တီးရန်အတွက် ပက်ကေ့ဂျ်ကို ပြင်ဆင်ခဲ့သည်။ ဖောက်သည်များစွာ၏တစ်ပြိုင်နက်လည်ပတ်မှုအတွက်။ OpenVPN ကုဒ်ကို GPLv2 လိုင်စင်အောက်တွင် ဖြန့်ဝေထားပြီး၊ အဆင်သင့်လုပ်ထားသော ဒွိအထုပ်များကို Debian၊ Ubuntu၊ CentOS၊ RHEL နှင့် Windows အတွက် ထုတ်ပေးပါသည်။
အဓိက တီထွင်ဆန်းသစ်မှုများ-
- အကန့်အသတ်မရှိ ချိတ်ဆက်မှုများအတွက် ပံ့ပိုးမှုပေးသည်။
- ovpn-dco kernel module ပါ၀င်ပြီး VPN စွမ်းဆောင်ရည်ကို သိသိသာသာ အရှိန်မြှင့်နိုင်စေပါသည်။ ကုဒ်ဝှက်ခြင်းဆိုင်ရာ လုပ်ဆောင်ချက်အားလုံး၊ ထုပ်ပိုးမှုလုပ်ဆောင်ခြင်းနှင့် ဆက်သွယ်ရေးလမ်းကြောင်းစီမံခန့်ခွဲခြင်းတို့ကို Linux kernel ဘက်သို့ ရွှေ့ခြင်းဖြင့် အရှိန်အဟုန်ဖြင့် အောင်မြင်သည် နှင့် အသုံးပြုသူနေရာ (ကုဒ်ဝှက်ခြင်း၊ ကုဒ်ဝှက်ခြင်းနှင့် လမ်းကြောင်းပြခြင်းကို အသုံးပြုသူနေရာရှိ ကိုင်တွယ်သူထံ အသွားအလာမပို့ဘဲ module မှ လုပ်ဆောင်သည်)။
ပြုလုပ်ခဲ့သည့် စမ်းသပ်မှုများတွင် tun interface ကိုအခြေခံသည့် ဖွဲ့စည်းမှုပုံစံနှင့် နှိုင်းယှဉ်ပါက AES-256-GCM cipher ကို အသုံးပြု၍ client နှင့် server ဘက်ရှိ module များကိုအသုံးပြုခြင်းသည် ဖြတ်သန်းမှုတွင် 8 ဆတိုးလာစေရန် ဖြစ်နိုင်ချေရှိစေသည် (370 မှ Mbit/s မှ 2950 Mbit/s)။ မော်ဂျူးကို client ဘက်တွင်သာ အသုံးပြုသောအခါ၊ ဖြတ်သန်းမှုသည် အထွက်လမ်းကြောင်းအတွက် သုံးဆတိုးလာပြီး အဝင်အသွားအလာအတွက် ပြောင်းလဲခြင်းမရှိပေ။ မော်ဂျူးကို ဆာဗာဘက်တွင်သာ အသုံးပြုသောအခါ၊ အဝင်အသွားအလာအတွက် 4 ဆ တိုးလာပြီး အထွက်အသွားအလာအတွက် 35% တိုးလာသည်။
- ကိုယ်တိုင်ရေးထိုးထားသော လက်မှတ်များဖြင့် TLS မုဒ်ကို အသုံးပြုရန် ဖြစ်နိုင်သည် (“-peer-fingerprint” ရွေးချယ်မှုကို အသုံးပြုသောအခါ၊ သင်သည် “-ca” နှင့် “-capath” ဘောင်များကို ချန်လှပ်နိုင်ပြီး Easy-RSA သို့မဟုတ် Easy-RSA ပေါ်တွင် အခြေခံထားသော PKI ဆာဗာကို ရှောင်ပါ။ အလားတူ software)။
- UDP ဆာဗာသည် HMAC အခြေပြု Cookie ကို စက်ရှင်သတ်မှတ်မှုအဖြစ် အသုံးပြုသည့် Cookie-based ချိတ်ဆက်မှု ညှိနှိုင်းမှုမုဒ်ကို အကောင်အထည်ဖော်ပြီး ဆာဗာအား နိုင်ငံမဲ့စိစစ်ခြင်းကို လုပ်ဆောင်ခွင့်ပြုသည်။
- OpenSSL 3.0 စာကြည့်တိုက်ဖြင့် တည်ဆောက်ခြင်းအတွက် ပံ့ပိုးမှု ပေါင်းထည့်ထားသည်။ အနိမ့်ဆုံး OpenSSL လုံခြုံရေးအဆင့်ကို ရွေးချယ်ရန် "--tls-cert-profile insecure" ရွေးစရာကို ထည့်ထားသည်။
- ပြင်ပချိတ်ဆက်မှုအရေအတွက်ကိုရေတွက်ပြီး ၎င်းတို့စာရင်းကိုပြသရန် remote-entry-count နှင့် remote-entry-get ထိန်းချုပ်မှုဆိုင်ရာ ညွှန်ကြားချက်အသစ်များကို ပေါင်းထည့်ထားသည်။
- အဓိကသဘောတူညီချက်လုပ်ငန်းစဉ်အတွင်း၊ EKM (Exported Keying Material, RFC 5705) ယန္တရားသည် OpenVPN-သတ်မှတ်ထားသော PRF ယန္တရားအစား သော့ထုတ်လုပ်သည့်ပစ္စည်းရယူရန်အတွက် ဦးစားပေးနည်းလမ်းဖြစ်သည်။ EKM ကိုအသုံးပြုရန်၊ OpenSSL စာကြည့်တိုက် သို့မဟုတ် mbed TLS 2.18+ လိုအပ်ပါသည်။
- FIPS 140-2 လုံခြုံရေးလိုအပ်ချက်များနှင့် ကိုက်ညီသော စနစ်များတွင် OpenVPN ကို အသုံးပြုခွင့်ပေးသည့် FIPS မုဒ်တွင် OpenSSL နှင့် လိုက်ဖက်ညီမှုရှိသည်။
- mlock သည် လုံလောက်သော memory ကို သိမ်းဆည်းထားကြောင်း သေချာစေရန် စစ်ဆေးမှုကို လုပ်ဆောင်သည်။ RAM 100 MB ထက်နည်းသောအခါ၊ ကန့်သတ်ချက်ကို တိုးမြှင့်ရန် setrlimit() ကို ခေါ်သည်။
- tls-verify ကိုမသုံးဘဲ SHA256 hash ကိုအခြေခံထားသော လက်ဗွေကို အသုံးပြု၍ လက်မှတ်၏တရားဝင်မှု သို့မဟုတ် စည်းနှောင်မှုကို စစ်ဆေးရန် "--peer-fingerprint" ရွေးချယ်ခွင့်ကို ပေါင်းထည့်ထားသည်။
- “-auth-user-pass-verify” ရွေးချယ်မှုကို အသုံးပြု၍ ရွှေ့ဆိုင်းထားသော စစ်မှန်ကြောင်းအထောက်အထားပြခြင်းဆိုင်ရာ ရွေးချယ်ခွင့်ဖြင့် Script များကို ပေးထားပါသည်။ ရွှေ့ဆိုင်းထားသော စစ်မှန်ကြောင်းအထောက်အထားပြမှုကို အသုံးပြုသည့်အခါ ဆိုင်းငံ့နေသော စစ်မှန်ကြောင်းအထောက်အထားအကြောင်း ဖောက်သည်အား အသိပေးရန်အတွက် ပံ့ပိုးမှုအား scripts များနှင့် plugins များတွင် ထည့်သွင်းထားပါသည်။
- OpenVPN 2.3.x သို့မဟုတ် ဗားရှင်းအဟောင်းများသုံးသော ဆာဗာအဟောင်းများနှင့် ချိတ်ဆက်မှုများကို ခွင့်ပြုရန် လိုက်ဖက်ညီမှုမုဒ် (-compat-mode) ကို ထည့်သွင်းထားသည်။
- "--data-ciphers" ကန့်သတ်ဘောင်ကိုဖြတ်သွားသောစာရင်းတွင်၊ ရှေ့ဆက် "?" ကိုခွင့်ပြုထားသည်။ SSL စာကြည့်တိုက်တွင်သာ ပံ့ပိုးထားမှသာ အသုံးပြုမည့် ရွေးချယ်နိုင်သော စာဝှက်များကို သတ်မှတ်ရန်။
- သင်အများဆုံး session time ကိုကန့်သတ်နိုင်သည့် "-session-timeout" ရွေးချယ်စရာကိုထပ်ထည့်သည်။
- ဖွဲ့စည်းမှုဖိုင်သည် tag ကို အသုံးပြု၍ အမည်နှင့် စကားဝှက်ကို သတ်မှတ်ခွင့်ပြုသည်။ .
- ဆာဗာမှ ပေးပို့သော MTU ဒေတာအပေါ် အခြေခံ၍ သုံးစွဲသူ၏ MTU ကို ဒိုင်နမစ်ပုံစံဖြင့် ပုံဖော်နိုင်စွမ်းကို ပံ့ပိုးပေးထားသည်။ အမြင့်ဆုံး MTU အရွယ်အစားကို ပြောင်းလဲရန်၊ ရွေးချယ်စရာ “—tun-mtu-max” ကို ပေါင်းထည့်ခဲ့သည် (ပုံသေမှာ 1600) ဖြစ်သည်။
- ထိန်းချုပ်ပက်ကတ်များ၏ အမြင့်ဆုံးအရွယ်အစားကို သတ်မှတ်ရန် "--max-packet-size" ပါရာမီတာကို ထည့်သွင်းထားသည်။
- inetd မှတစ်ဆင့် OpenVPN စတင်ခြင်းမုဒ်အတွက် ပံ့ပိုးမှုကို ဖယ်ရှားထားသည်။ ncp-disable option ကို ဖယ်ရှားလိုက်ပါပြီ။ verify-hash option နှင့် static key မုဒ်ကို ရပ်ဆိုင်းလိုက်ပြီ ( TLS ကိုသာ ထိန်းသိမ်းထားသည်)။ TLS 1.0 နှင့် 1.1 ပရိုတိုကောများကို ရပ်တန့်လိုက်ပြီ (tls-version-min ပါရာမီတာကို မူရင်းအတိုင်း 1.2 သို့ သတ်မှတ်ထားသည်)။ Built-in pseudo-random နံပါတ် ဂျင်နရေတာ အကောင်အထည်ဖော်မှု (-prng) ကို ဖယ်ရှားလိုက်ပြီး၊ mbed TLS သို့မဟုတ် OpenSSL crypto စာကြည့်တိုက်များမှ PRNG အကောင်အထည်ဖော်မှုကို အသုံးပြုသင့်သည်။ PF (Packet Filtering) အတွက် ပံ့ပိုးမှုကို ရပ်ဆိုင်းလိုက်ပါပြီ။ မူရင်းအားဖြင့်၊ ဖိသိပ်မှုကို ပိတ်ထားသည် (--allow-compression=no)။
- CHACHA20-POLY1305 ကို မူရင်းစာဝှက်စာရင်းသို့ ထည့်ခဲ့သည်။
source: opennet.ru