Po dveh in pol letih od objave različice 2.5 je pripravljen izstop nove različice OpenVPN 2.6.0, paketa za ustvarjanje virtualnih zasebnih omrežij, ki omogoča šifrirano povezavo med dvema odjemalskima računalnikoma ali delovanje centraliziranega VPN strežnika za hkrati povezane več odjemalcev. Koda OpenVPN se distribuira pod licenco GPLv2, pripravljeni binarni paketi pa so na voljo za Debian, Ubuntu, CentOS, RHEL in Windows.
Glavne novosti:
- Zagotovljena je podpora za neomejeno število povezav.
- Vključena je jedrska modul ovpn-dco, ki znatno pospeši delovanje. VPN. Pospešek se doseže z izvajanjem vseh operacij šifriranja, obdelave paketov in upravljanja komunikacijskega kanala na ravni jedra Linux, kar omogoča odpravo stroškov preklapljanja konteksta, optimizacijo z neposrednim dostopom do notranjih API-jev jedra ter izključitev počasnega prenosa podatkov med jedrom in prostorom uporabnika (šifriranje, dešifriranje in usmerjanje opravi modul brez pošiljanja prometa v obdelovalnik v uporabniškem prostoru).
V opravljenih testih v primerjavi s konfiguracijo na osnovi vmesnika tun je uporaba modula na strani odjemalca in strežnika s šifro AES-256-GCM omogočila povečanje prepustnosti za 8-krat (s 370 Mbit/s na 2950 Mbit/s). Pri uporabi modula le na strani odjemalca se je prepustnost za odhodni promet povečala trikrat, medtem ko za prihajajoči promet ostaja nespremenjena. Pri uporabi modula le na strani strežnika se je prepustnost povečala za 4-krat za prihajajoči promet in za 35 % za odhodni promet.
- Zagotovljena je možnost uporabe TLS načina s samo-podpisanimi certifikati (z uporabo možnosti "--peer-fingerprint" ni potrebno navesti parametrov "--ca" in "--capath" ter se je mogoče izogniti zagonu PKI strežnika na osnovi Easy-RSA ali podobne programske opreme).
- V UDP strežniku je uveden način usklajevanja povezave na osnovi piškotkov, pri katerem se kot identifikator seje uporablja piškotek na osnovi HMAC, kar omogoča strežniku preverjanje brez ohranjanja stanja.
- Dodana je podpora za sestavo z knjižnico OpenSSL 3.0. Dodana je možnost "--tls-cert-profile insecure" za izbiro minimalne ravni varnosti OpenSSL.
- Dodane nove upravljačke komande remote-entry-count i remote-entry-get za brojanje vanjskih veza i ispis njihove liste.
- U procesu dogovaranja ključeva, prioritetnija metoda dobivanja materijala za generiranje ključeva sada je mehanizam EKM (Exported Keying Material, RFC 5705), umjesto specifičnog mehanizma OpenVPN PRF. Za korištenje EKM potrebna je OpenSSL biblioteka ili mbed TLS 2.18+.
- Osigurana je kompatibilnost s OpenSSL u FIPS modu, što omogućava korištenje OpenVPN na sistemima koji zadovoljavaju sigurnosne zahtjeve FIPS 140-2.
- Implementirana je provjera rezervacije dovoljne veličine memorije u mlocku. Kada je dostupno manje od 100 MB RAM-a, poziva se setrlimit() za povećanje limita.
- Dodana je opcija '—peer-fingerprint' za provjeru ispravnosti ili vezivanje certifikata prema fingerprint-u na osnovu SHA256 hash-a, bez upotrebe tls-verify.
- Za skripte je omogućena odgođena (deferred) autentifikacija, realizovana pomoću opcije '—auth-user-pass-verify'. U skriptama i pluginovima dodana je podrška za obavještavanje klijenta o čekanju (pending) autentifikacije prilikom upotrebe odgođene autentifikacije.
- Dodana je opcija kompatibilnosti (—compat-mode) koja omogućava povezivanje sa starijim serverima koji koriste OpenVPN 2.3.x ili starije verzije.
- Na listi prosleđenoj kroz parametar '—data-ciphers', odobren je prefiks '?' za određivanje neobaveznih šifara koje će biti uključene samo uz podršku u SSL-biblioteci.
- Dodana je opcija '—session-timeout' pomoću koje se može ograničiti maksimalno vreme sesije.
- U konfiguracionoj datoteci dozvoljeno je navođenje imena i lozinke pomoću taga <auth-user-pass><\/auth-user-pass>.
- Omogućena je dinamička postavka MTU klijenta na osnovu podataka o MTU koje prosleđuje server. Za promenu maksimalnog MTU dodana je opcija '—tun-mtu-max' (podrazumevano 1600).
- Dodana je opcija '—max-packet-size' za određivanje maksimalne veličine upravljačkih paketa.
- Podpora za zagon OpenVPN preko inetd je odstranjena. Možnost ncp-disable je odstranjena. Možnosti verify-hash in način statičnih ključev sta razglašeni za zastare (ohranjen je le TLS). Protokoli TLS 1.0 in 1.1 so prav tako razglašeni za zastarele (privzeta vrednost parametra tls-version-min je nastavljena na 1.2). Vgrajena implementacija generatorja pseudo naključnih števil (—prng) je odstranjena, priporočamo, da uporabite implementacijo PRNG iz kriptobibliotek mbed TLS ali OpenSSL. Podpora za filtriranje paketov PF (Packet Filtering) je prekinjena. Privzeto je stiskanje (—allow-compression=no) izklopljeno.
- Šifrirni algoritmi CHACHA20-POLY1305 so dodani v privzeti seznam.
Izvor: opennet.ru
