Po trzech latach od publikacji wersji 2.6 przygotowano wydanie OpenVPN 2.7.0, pakietu do tworzenia wirtualnych sieci prywatnych, który umożliwia zorganizowanie szyfrowanego połączenia między dwoma klientami lub zapewnienie działania scentralizowanego serwera VPN dla jednoczesnej pracy wielu klientów. Kod OpenVPN jest rozprowadzany na licencji GPLv2, gotowe pakiety binarne są tworzone dla Debian, Ubuntu, CentOS, RHEL i Windows.
Główne nowości:
- Na VPN-serwerach pojawiła się możliwość otwierania wielu gniazd przyjmujących połączenia, na przykład do jednoczesnego przyjmowania połączeń przez UDP i TCP lub na różnych portach sieciowych.
- Zrealizowano przejście na nową wersję modułu DCO, włączonego w główny skład jądra Linux 6.16. Moduł wchodzący w skład jądra ma zmienione API i jest dostarczany pod nazwą „ovpn”. Wsparcie dla starego modułu ovpn-dco zostało zakończone. Moduł przenosi operacje szyfrowania, przetwarzania pakietów i zarządzania kanałem komunikacyjnym do jądra Linux, co pozwala wyeliminować koszty związane z przełączaniem kontekstu, umożliwia optymalizację pracy dzięki bezpośredniemu dostępowi do wewnętrznego API jądra oraz eliminuje wolne przesyłanie danych między jądrem a przestrzenią użytkownika (szyfrowanie, deszyfrowanie i routowanie są wykonywane przez moduł bez przesyłania ruchu do przetwornika w przestrzeni użytkownika).
- W wersji dla Windows: we filtrach WFP aktywowany jest znacznik block-local; zapewniono generowanie dodatkowych interfejsów sieciowych w razie potrzeby; umożliwiono uruchamianie automatycznych usług z nienaodonnym użytkownikiem; w celu pracy z ustawieniami DNS wykorzystano NRPT (Tabela Polityki Rozwiązywania Nazw); zezwolono na korzystanie z sterownika win-dco w celu przyspieszenia serwerów VPN.
- Zaprezentowano nowy format kluczy i pakietów „epoch”, który w przeciwieństwie do standardowego formatu „DATA_V2” dodaje znacznik AEAD na końcu pakietu, automatycznie aktualizuje klucze po osiągnięciu limitu ich użycia, ma 64-bitowe identyfikatory pakietów, wykorzystuje operację XOR przy formowaniu wektora inicjalizacji.
- Dodano wsparcie dla lwipovpn – emulatora interfejsów sieciowych tun/tap w przestrzeni użytkownika, zrealizowanego na bazie stosu TCP/IP lwIP. Dzięki opcji "--dev-node unix:/path/to/lwipovpn" można emulować pełnoprawnego klienta VPN na tym samym systemie do testowania i debugowania OpenVPN.
- Dodano możliwość aktualizacji części ustawień klienta (IP, routowanie, MTU, DNS) poprzez wysyłanie serwerem wiadomości sterujących PUSH_UPDATE.
- W kliencie openVPN dla systemów Linux, BSD i macOS dodano opcję "--dns-updown" do uruchamiania skryptu stosującego ustawienia DNS przesłane przez serwer. Skrypt obsługuje konfigurację przez /etc/resolv.conf, systemd lub resolveconf.
- Dla platformy Linux dodano opcję "--route-table" do wykorzystania zdefiniowanych przez użytkownika tabel routingu.
- Wprowadzono wsparcie dla gałęzi mbedTLS 4. Dodano obsługę TLS 1.3 w konfiguracjach z biblioteką kryptograficzną mbedTLS.
- Dodano wsparcie dla systemu operacyjnego Haiku.
- Zaprzestano wsparcia dla trybu pracy ze statycznymi kluczami (należy użyć trybu TLS), NTLMv1, sterownika Windows wintun, OpenSSL 1.0.2, mbedTLS 2.x, kompresji danych przed wysyłką, opcji "--memstats" oraz "--opt-verify".
Źródło: opennet.ru
