Po dvoch a pol rokoch od publikácie vetvy 2.5 je pripravené vydanie OpenVPN 2.6.0, balíka na vytváranie virtuálnych súkromných sietí, ktorý umožňuje zabezpečiť šifrované spojenie medzi dvoma klientskými strojmi alebo prevádzkovať centralizovaný VPN server pre súčasnú prácu viacerých klientov. Kód OpenVPN je distribuovaný pod licenciou GPLv2, hotové binárne balíky sa vytvárajú pre Debian, Ubuntu, CentOS, RHEL a Windows.
Hlavné novinky:
- Zabezpečená podpora neobmedzeného počtu spojení.
- Súčasťou je modul jadra ovpn-dco, ktorý významne zvyšuje výkon. VPN. Zvýšenie výkonu sa dosahuje presunutím všetkých operácií šifrovania, spracovania paketov a riadenia komunikačného kanála na úroveň jadra Linuxu, čo umožňuje elimináciu dodatočných nákladov spojených s prepínaním kontextu, optimalizáciu práce priamym prístupom k internému API jadra a vylučuje pomalý prenos údajov medzi jadrom a priestorom používateľa (šifrovanie, dešifrovanie a smerovanie vykonáva modul bez odosielania prevádzky do spracovateľa v priestore používateľa).
V vykonaných testoch v porovnaní s konfiguráciou založenou na rozhraní tun použitie modulu na strane klienta a servera pri použití šifry AES-256-GCM umožnilo dosiahnuť nárast priepustnosti 8-krát (z 370 Mbit/s na 2950 Mbit/s). Pri použití modulu iba na strane klienta sa priepustnosť zvýšila trikrát pre odchádzajúcu prevádzku a nezmenila sa pre prichádzajúcu. Pri použití modulu len na strane servera sa priepustnosť zvýšila 4-krát pre prichádzajúcu prevádzku a o 35 % pre odchádzajúcu.
- Poskytla sa možnosť používať režim TLS so self-signed certifikátmi (pri použití možnosti „—peer-fingerprint“ nie je potrebné uvádzať parametre „—ca“ a „—capath“ a je možné sa zaobísť bez spustenia PKI servera založeného na Easy-RSA alebo podobnom softvéri).
- V UDP serveri bol implementovaný režim súhlasu spojenia založený na Cookie, pri ktorom sa ako identifikátor relácie používa Cookie založené na HMAC, čo umožňuje serveru vykonávať overenie bez ukladania stavu.
- Pridaná podpora pre zostavenie s knižnicou OpenSSL 3.0. Pridaný parameter „—tls-cert-profile insecure“ pre výber minimálnej úrovne bezpečnosti OpenSSL.
- Pridané nové príkazy remote-entry-count a remote-entry-get na počítanie počtu vonkajších pripojení a zobrazenie ich zoznamu.
- Pri schvaľovaní kľúčov je teraz prioritnejším spôsobom získavania materiálu na generovanie kľúčov mechanizmus EKM (Exported Keying Material, RFC 5705), namiesto špecifického mechanizmu OpenVPN PRF. Na použitie EKM je potrebná knižnica OpenSSL alebo mbed TLS 2.18+.
- Zabezpečená kompatibilita s OpenSSL v FIPS režime, čo umožňuje používať OpenVPN na systémoch, ktoré spĺňajú bezpečnostné požiadavky FIPS 140-2.
- V mlock bola implementovaná kontrola rezervácie dostatočnej veľkosti pamäte. Pri dostupnosti menej ako 100 MB RAM sa na zvýšenie limitu vykonáva volanie setrlimit().
- Pridaná možnosť „—peer-fingerprint“ na overenie správnosti alebo viazania certifikátu podľa fingerprintu na základe hash SHA256, bez použitia tls-verify.
- Pre skripty bola poskytnutá možnosť odloženej (deferred) autentifikácie, realizovanej pomocou možnosti „—auth-user-pass-verify“. Do skriptov a pluginov bola pridaná podpora informovania klienta o očakávajúcej (pending) autentifikácii pri použití odloženej autentifikácie.
- Pridaný režim kompatibility (—compat-mode), ktorý umožňuje pripojenie k starým serverom, na ktorých sa používa OpenVPN 2.3.x alebo staršie verzie.
- V zozname prenášanom pomocou parametra „—data-ciphers“ je povolené uvádzať prefix „?“, aby sa určili voliteľné šifry, ktoré sa použijú len v prípade podporovania v SSL-knižnici.
- Pridaná možnosť „—session-timeout“, pomocou ktorej možno obmedziť maximálny čas relácie.
- V konfiguračnom súbore je povolené uvádzať meno a heslo pomocou tagu <auth-user-pass><\/auth-user-pass>.
- Poskytnutá možnosť dynamického nastavenia MTU klienta, na základe údajov o MTU prenesených serverom. Na zmenu maximálnej veľkosti MTU bola pridaná možnosť „—tun-mtu-max“ (predvolene 1600).
- Pridaný parameter „—max-packet-size“ na určenie maximálnej veľkosti riadiacich paketov.
- Podpora režimu spustenia OpenVPN cez inetd bola zrušená. Možnosť ncp-disable bola odstránená. Možnosti verify-hash a režim statických kľúčov (zostáva iba TLS) boli označené za zastarané. Protokoly TLS 1.0 a 1.1 boli zaradené medzi zastarané (parameter tls-version-min je predvolene nastavený na 1.2). Vstavaná implementácia generátora pseudonáhodných čísel (—prng) bola odstránená, odporúča sa používanie implementácie PRNG z kryptoknižníc mbed TLS alebo OpenSSL. Podpora paketového filtra PF (Packet Filtering) bola ukončená. Predvolene je kompresia vypnutá (—allow-compression=no).
- Do predvoleného zoznamu šifier bol pridaný CHACHA20-POLY1305.
Zdroj: opennet.ru
